ISO 27001 annexe A 2022 : les 93 mesures par thème

Camille doit rendre la sécurité démontrable

Des contrôles présents, des preuves difficiles à réunir

Camille est responsable sécurité d’une entreprise de services travaillant avec des clients financiers. Ce personnage fictif sert de fil conducteur à un cas pédagogique: il ne s’agit pas d’un témoignage client Elitek. Dans son quotidien, les politiques sont dispersées entre l’espace documentaire, les procédures d’exploitation et les pièces jointes échangées avec les clients. Des contrôles techniques existent, mais leurs responsables et les modalités de vérification restent imprécis.

Un donneur d’ordre demande la preuve que les accès aux environnements sensibles sont régulièrement revus. Camille hésite entre transmettre un export des comptes et faire valider les habilitations par les responsables métiers. Elle retient cette validation et conserve la trace des décisions: l’export décrit une situation, mais ne démontre pas, à lui seul, que les droits sont justifiés.

Transformer la sécurité en système de management

Camille doit construire un système de management de la sécurité de l’information (SMSI): un dispositif qui relie les risques, les décisions de traitement, les responsabilités et la vérification de leur efficacité. La difficulté n’est donc pas seulement technique. Il faut pouvoir expliquer pourquoi une mesure existe, qui la pilote et quelles preuves attestent son fonctionnement.

L’annexe A de la norme constitue un ensemble de mesures de référence, pas une liste d’outils à acheter. Camille s’en sert pour vérifier que le traitement des risques n’omet pas de mesures nécessaires, puis documenter leur applicabilité dans la déclaration d’applicabilité. Le guide consacré à la formation et à la certification ISO 27001 permet de situer ce cadre.

Distinguer le droit, le contrat et la certification

DORA est applicable depuis le 17 janvier 2025 (règlement DORA). Pour Camille, les exigences liées à DORA imposent d’abord de qualifier le statut de son entreprise et les prestations fournies, sans déduire un assujettissement direct de sa seule clientèle financière.

Cadre	Vérification à conduire par Camille
Obligations directes	Établir si l’entreprise relève du champ des textes, selon son activité et son statut.
Exigences contractuelles	Identifier les clauses clients concernant les incidents, les audits et les preuves attendues.
Certification volontaire	Définir le périmètre du SMSI et les objectifs de certification, éventuellement demandée contractuellement.

Environ 15 000 entités françaises seraient concernées par NIS 2 (ANSSI, estimation). Ce contexte justifie une analyse d’applicabilité, pas une conclusion automatique. Pour Camille, la norme structure la démonstration de maîtrise; elle ne vaut pas conformité réglementaire automatique.

Son arbitrage: traiter les risques plutôt que tout cocher

Pourquoi Camille écarte la reprise automatique

Camille, responsable sécurité d’un éditeur de logiciel hébergé, récupère une grille historique dont toutes les lignes portent la mention « conforme ». Pourtant, un contrat client impose une traçabilité des accès d’administration que son prestataire ne sait pas encore démontrer. Elle suspend la validation de cette conformité: son arbitrage consiste à traiter cette exposition avant de reprendre les statuts de l’ancien fichier.

L’ancienne annexe A comportait 114 mesures (ISO/IEC 27001, comparaison des éditions reprise dans le référentiel PECB). Une correspondance entre intitulés ne prouve pas que les risques restent couverts. Camille fait examiner les regroupements, les reformulations et l’évolution de la structure à partir des normes officielles: le tableau de correspondance facilite la lecture, mais ne remplace ni l’analyse du contenu ni la vérification des preuves.

Quel texte utiliser pour décider et mettre en œuvre ?

Pour cadrer le travail, elle distingue les fonctions des textes de référence. Le système de management de la sécurité de l’information (SMSI) doit répondre à des exigences; les recommandations techniques et organisationnelles servent ensuite à construire des réponses adaptées.

Texte	Fonction	Usage dans le dossier de Camille
ISO/IEC 27001	Exigences du SMSI et annexe de référence des mesures	Établir les exigences applicables et vérifier qu’aucune mesure nécessaire n’a été omise
ISO/IEC 27002	Recommandations de mise en œuvre des mesures	Concevoir la gestion des accès privilégiés et les preuves de son fonctionnement

Comment rendre l’arbitrage vérifiable ?

Camille formalise sa décision dans la déclaration d’applicabilité, ou Statement of Applicability (SoA). Ce document recense les mesures nécessaires, justifie leur inclusion, indique leur état de mise en œuvre et motive les exclusions de mesures de l’annexe A. Des mesures complémentaires peuvent être nécessaires: l’annexe n’est pas un catalogue exhaustif des réponses aux risques.

Son raisonnement part du périmètre hébergé, des risques évalués, des obligations applicables et des engagements contractuels. Elle demande au prestataire des preuves de journalisation et consigne les actions restant à réaliser, plutôt que de déclarer la mesure mise en œuvre. Cette traçabilité s’inscrit dans la démarche pour mettre en place un SMSI ISO 27001.

Enfin, les certificats relevant de l’ancienne version devaient migrer avant le 31 octobre 2025 (PECB, calendrier de transition ISO/IEC 27001). Camille traite cette migration comme un repère historique déjà passé, non comme un délai encore disponible pour différer les corrections.

Elle traduit chaque thème en actions et en preuves

Responsable sécurité d’un éditeur logiciel, vous préparez l’audit après une migration cloud. Face à une documentation abondante mais peu vérifiable, vous privilégiez les contrôles démontrables plutôt qu’une nouvelle politique générale. Chaque responsable métier doit alors produire une trace exploitable.

L’annexe A regroupe les mesures selon les thèmes présentés plus haut. Vous déclinez chacune en fiche synthétique: finalité, risque traité, responsable, action, preuve. Ces reformulations s’appuient sur la norme officielle sans en reproduire le texte protégé; leur applicabilité reste justifiée selon vos risques.

Organiser les responsabilités et sécuriser les mouvements du personnel

Dans votre registre organisationnel, la gouvernance attribue les décisions; les politiques fixent les règles. L’inventaire des actifs désigne leurs propriétaires. Vous reliez ensuite fournisseurs, services cloud, gestion des incidents et continuité aux engagements contractuels et aux procédures opérationnelles.

La fiche « revue fournisseur » vise la maîtrise des dépendances, traite le risque d’interruption ou de fuite et désigne le responsable achats avec validation sécurité. L’action consiste à examiner garanties, sous-traitants, réversibilité et écarts; la preuve associe compte rendu daté, décisions et suivi des corrections.

Côté personnes, vous encadrez la sélection du personnel selon le contexte légal, les engagements contractuels, la confidentialité, le travail à distance et le signalement. La sensibilisation cybersécurité des salariés rend ces règles praticables. Pour un départ, les ressources humaines déclenchent la procédure, le manager confirme le périmètre, puis l’équipe informatique révoque les accès. Ticket clôturé, restitution du matériel et traces de désactivation prouvent l’exécution.

Protéger les locaux, même avec une infrastructure cloud

Votre local technique impose un périmètre sécurisé, des entrées autorisées et une surveillance adaptée. La fiche couvre également les menaces environnementales, la protection des équipements, la gestion des supports et leur élimination sécurisée. Le responsable des locaux conserve la revue nominative des accès et les justificatifs d’intervention. Le cloud ne supprime ni les risques des locaux internes ni ceux des terminaux utilisés à distance.

Vérifier les protections techniques par des essais

Avec l’équipe informatique, vous déclinez les fiches sur les identités, privilèges, authentification, vulnérabilités, configurations, sauvegardes, journalisation, réseaux, cryptographie et développement sécurisé. Chaque action reçoit un propriétaire et un critère de vérification.

Un test de restauration confronte les données récupérées aux besoins métier; une revue des comptes privilégiés documente maintien, retrait ou correction des droits. Un plan de test structuré pour l’audit relie procédure, résultat et anomalie. Vous étendez ce modèle à l’ensemble des mesures, sans supposer de répartition chiffrée entre thèmes.

Les résultats attendus: des décisions traçables, pas un score

Transformer les déclarations en décisions documentées

Dans ce cas fictif, vous préparez le comité de sécurité alors que l’équipe infrastructure déclare les sauvegardes opérationnelles, sans compte rendu de restauration disponible. Vous arbitrez en faveur d’un test documenté avant de considérer la mesure comme effectivement mise en œuvre. La conséquence attendue est une décision explicite: conserver l’action ouverte, désigner son responsable et préciser la preuve nécessaire à sa clôture.

Le livrable central serait une déclaration d’applicabilité justifiée, reliant les mesures retenues aux risques, aux exigences pertinentes et à leur état de mise en œuvre, avec justification des exclusions. Des responsables désignés porteraient ensuite un plan de traitement précisant actions, échéances, moyens et critères de clôture. Le dossier de preuves rassemblerait les éléments datés permettant de vérifier ces décisions, sans confondre document rédigé et pratique effective.

Vérifier les pratiques sur le périmètre concerné

Pour votre prochain comité, le tableau de suivi prendrait la forme suivante. Chaque vérification devrait préciser son périmètre, son auteur et les éventuelles réserves.

Situation initiale	Livrable visé	Vérification
Sauvegardes déclarées opérationnelles	Compte rendu de restauration testée	Données restaurées contrôlées, écarts consignés et suites attribuées
Politique d’accès publiée	Revue des habilitations tracée	Décisions validées par les responsables métiers et retraits d’accès vérifiés
Sensibilisation diffusée	Compréhension évaluée par mises en situation	Réponses examinées et incompréhensions suivies d’actions adaptées

Les indicateurs seraient renseignés avec les données réelles de l’entreprise: mesures applicables effectivement déployées, actions échues encore ouvertes, revues réalisées et tests concluants. Leur lecture exige de définir la période observée, le périmètre et les critères de validation. Aucun objectif numérique arbitraire: une tendance ne serait interprétable qu’avec les écarts associés et les décisions prises. Ces éléments constitueraient des résultats attendus du cas, non la revendication d’un audit réussi, d’une certification obtenue ou d’une baisse mesurée des incidents.

Engager des moyens sans les confondre avec les résultats

Pour structurer cette démarche, la formation ISO 27001 Lead Implementer d’Elitek constitue une option: son tarif est de 2 990 € TTC, avec examen PECB non inclus et sur devis (fiche formation Elitek). Sa durée est de 35 h (fiche formation Elitek). Cet investissement soutient la montée en compétence du responsable sécurité; il ne remplace ni les arbitrages internes ni la production des preuves. La formation ne certifie pas l’entreprise.

Ce que vous pouvez reproduire dans votre SMSI

Partir d’un risque et conserver une trace exploitable

Vous êtes responsable sécurité chez un prestataire de maintenance: un technicien quittant l’entreprise conserve un accès distant au portail client. Vous arbitrez avec l’exploitation une désactivation immédiate, malgré une intervention encore ouverte, et faites réattribuer celle-ci. Cet incident devient le point de départ d’une amélioration documentée du système de management de la sécurité de l’information (SMSI).

Pour chaque mesure retenue, utilisez cette trame commune, accessible aux responsables opérationnels:

Champs à renseigner	Application au cas
Mesure; risque associé	Retrait des droits au départ; accès non autorisé aux données clients.
Exigence légale ou contractuelle	Clause de sécurité du contrat client, avec sa référence exacte.
Décision d’applicabilité; justification	Applicable: les accès distants exposent les informations du périmètre.
Responsable; état	Responsable informatique; procédure à déployer.
Preuve; échéance	Ticket de révocation et journal technique; date validée avec l’exploitation.
Méthode de vérification	Rapprocher les départs signalés des comptes actifs et tester la révocation.

Dérouler la séquence avec les fonctions concernées

Définissez le périmètre: portail, équipes, prestataires et interfaces concernés. Appréciez ensuite les risques, déterminez les mesures nécessaires, puis comparez-les à l’annexe A pour détecter les omissions. Celle-ci constitue un contrôle de complétude, pas une liste à appliquer indistinctement.

Documentez la déclaration d’applicabilité: mesures nécessaires, justification de leur inclusion, état de mise en œuvre et justification des exclusions de l’annexe A. Déployez les actions, puis vérifiez leur efficacité: une procédure publiée ne prouve pas qu’un compte est effectivement désactivé.

Réunissez les métiers pour valider la continuité des interventions, les ressources humaines pour déclencher les départs, les achats pour encadrer les prestataires, les services généraux pour les accès physiques et l’informatique pour les habilitations. Consignez les arbitrages et les preuves attendues. Pour développer cette capacité en interne, préparez un financement de formation avec votre employeur, fondé sur les actions du SMSI à réaliser.

Distinguer le résultat organisationnel du titre individuel

Certification	Objet évalué
SMSI de l’organisation	Conformité du système de management sur un périmètre défini.
Individuelle PECB	Compétences et expérience du professionnel selon le titre visé.

L’examen PECB Lead Implementer dure 3 heures, à livre ouvert avec les documents autorisés (PECB, modalités d’examen). Le réussir ne suffit pas: le niveau Lead exige 5 ans d’expérience professionnelle, dont 2 ans en sécurité de l’information, et 300 heures d’activités liées au SMSI (PECB, exigences de certification). Ces conditions concernent le titre individuel, pas le droit de mettre en œuvre l’annexe A.

FAQ

Toutes les mesures de l’annexe A sont-elles obligatoires ?

Non, leur mise en œuvre intégrale n’est pas une obligation automatique. L’organisation détermine les mesures nécessaires à partir de ses risques, de son périmètre et de ses exigences légales ou contractuelles. Elle compare ensuite sa sélection avec l’annexe A pour vérifier qu’aucune mesure nécessaire n’a été oubliée. La déclaration d’applicabilité documente les choix, leur justification et l’état de mise en œuvre. Une exclusion doit être défendable; l’absence de budget ne suffit pas, à elle seule, à la justifier.

Quelle différence entre l’annexe A et ISO/IEC 27002 ?

L’annexe A d’ISO/IEC 27001 fournit les mesures de référence à examiner lors du traitement des risques du SMSI. ISO/IEC 27002 développe des recommandations pour comprendre leur finalité et les mettre en œuvre selon le contexte. Ces textes sont complémentaires, mais ils ne jouent pas le même rôle: la certification du système de management repose sur ISO/IEC 27001. Consulter uniquement un résumé de l’annexe ne remplace donc ni la lecture des exigences, ni l’analyse des risques de votre organisation.

Une entreprise qui utilise uniquement le cloud peut-elle exclure les mesures physiques ?

Pas automatiquement. Même avec une infrastructure externalisée, l’entreprise conserve généralement des locaux, des terminaux, des supports et des personnes exposés à des risques physiques. Elle doit aussi comprendre quelles protections relèvent du fournisseur et quelles preuves permettent de les évaluer. Certaines mesures peuvent être exclues si le périmètre et l’analyse des risques le justifient réellement. La déclaration d’applicabilité doit expliquer cette décision, plutôt que reprendre une exclusion générale fondée sur le seul usage du cloud.

Quelles preuves préparer pour démontrer l’application des mesures ?

Les preuves dépendent de la mesure, du risque traité et du fonctionnement réel de l’organisation. Elles peuvent comprendre des politiques approuvées, des revues d’accès, des comptes rendus de tests de restauration, des évaluations de fournisseurs ou des traces de sensibilisation. Un document seul ne démontre pas toujours l’efficacité: il faut pouvoir expliquer qui applique la mesure, comment son fonctionnement est vérifié et comment les écarts sont corrigés. Privilégiez des preuves datées, accessibles et cohérentes avec votre déclaration d’applicabilité.