Système de management de la sécurité de l’information
L'ISO/IEC 27001 est la norme internationale de référence pour gérer la sécurité de l'information : identifier vos risques, choisir les bonnes mesures, les faire vivre et les améliorer. Säfeli vous aide à mettre en place votre système de management, de l'analyse des écarts jusqu'à l'audit de certification, réalisé par un organisme de certification accrédité.
Principes
Une approche par les risques et un cycle d'amélioration continue : planifier, mettre en œuvre, vérifier, améliorer. Les articles 4 à 10 fixent les exigences du système, l'annexe A les mesures de référence.
Enjeux internes et externes, parties intéressées, périmètre du système de management.
ISO/IEC 27001:2022, art. 4Engagement de la direction, politique de sécurité de l’information, rôles et responsabilités.
Art. 5Appréciation et traitement des risques, déclaration d’applicabilité, objectifs de sécurité.
Art. 6Ressources, compétences, sensibilisation, communication et informations documentées.
Art. 7Mise en œuvre du plan de traitement des risques et maîtrise des processus.
Art. 8Surveillance, mesure, audit interne et revue de direction.
Art. 9Non-conformités, actions correctives et amélioration continue.
Art. 1093 mesures de sécurité de référence, retenues ou écartées selon vos risques.
Annexe APour qui
Répondre aux exigences de vos clients et structurer votre sécurité.
Démontrer à vos clients que leurs données sont entre de bonnes mains.
Bureau, production et produits connectés dans un même système.
Sites, filiales et fournisseurs : un cadre commun et auditable.
Nos prestations
Un accompagnement par étapes, adapté à la taille de votre entreprise, pour un système utile au quotidien et pas seulement un classeur.
Nous comparons vos pratiques aux exigences des articles 4 à 10 et aux mesures de l'annexe A, définissons avec vous le périmètre du système et établissons une feuille de route réaliste.
Ce que vous recevez
Références
Actifs, menaces, vulnérabilités, conséquences : nous définissons une méthode adaptée, apprécions vos risques avec vous et construisons le plan de traitement et la déclaration d'applicabilité.
Ce que vous recevez
Références
Politique de sécurité, rôles, procédures, mesures techniques et organisationnelles, sensibilisation du personnel, indicateurs : nous rédigeons avec vous une documentation proportionnée et vous aidons à la faire vivre.
Ce que vous recevez
Références
Nous réalisons l'audit interne, préparons la revue de direction et vous accompagnons pendant l'audit de certification, puis lors des audits de surveillance. L'organisme de certification accrédité, choisi par vous, prononce la certification.
Ce que vous recevez
Références
Annexe A
L'édition 2022 regroupe les mesures de sécurité en quatre thèmes. Vous retenez celles qui traitent vos risques et justifiez les autres dans la déclaration d'applicabilité.
Politiques, rôles, gestion des actifs, fournisseurs, incidents, continuité, conformité.
37 mesures, A.5Recrutement, sensibilisation et formation, confidentialité, télétravail, signalement.
8 mesures, A.6Zones sécurisées, contrôle des accès physiques, équipements, supports de stockage.
14 mesures, A.7Accès, authentification, protection contre les logiciels malveillants, sauvegardes, journalisation, réseau, développement.
34 mesures, A.8Normes
La norme certifiable et les guides qui l’accompagnent.
| Rôle | Norme | Objet |
|---|---|---|
| Exigences | ISO/IEC 27001:2022 | Exigences du système de management de la sécurité de l’information |
| Exigences | ISO/IEC 27001:2022/Amd 1:2024 | Prise en compte du changement climatique dans le contexte (art. 4.1 et 4.2) |
| Guide | ISO/IEC 27002:2022 | Mise en œuvre des mesures de sécurité de l’annexe A |
| Guide | ISO/IEC 27005:2022 | Gestion des risques liés à la sécurité de l’information |
| Certification | ISO/IEC 27006-1:2024 | Exigences pour les organismes qui certifient selon l’ISO/IEC 27001 |
| Continuité | ISO 22301:2019 | Systèmes de management de la continuité d’activité |
Les mesures de l’annexe A de l’ISO/IEC 27001 reprennent celles de l’ISO/IEC 27002, qui en détaille la mise en œuvre.
Notre méthode
Votre entreprise, vos objectifs, votre calendrier. 30 minutes.
Périmètre, état des lieux, feuille de route.
Risques, mesures, documentation, sensibilisation.
Audit interne, revue de direction, audit de certification.
Marché suisse
En Suisse, les organismes de certification ISO/IEC 27001 sont accrédités par le Service d'accréditation suisse (SAS), qui exige une séparation claire entre la certification et le conseil : nous vous préparons, un organisme accrédité vous certifie. La loi sur la protection des données exige des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles : un système de management selon l'ISO/IEC 27001 est un moyen structuré de le démontrer.
Sources : SECO, Service d’accréditation suisse ; LPD, RS 235.1, art. 8 ; OPDo, RS 235.11, art. 1 à 3.
Questions fréquentes
Votre projet soulève une question particulière ? Posez-la directement à un consultant.
Réserver un appelNon. La certification est réalisée par un organisme de certification accrédité, indépendant de celui qui vous a aidé à mettre en place le système. Nous vous préparons : analyse des écarts, appréciation des risques, documentation, audit interne, puis accompagnement pendant l'audit de certification.
L'ISO/IEC 27001 fixe les exigences du système de management de la sécurité de l'information : c'est la norme certifiable. L'ISO/IEC 27002 est un guide qui détaille, mesure par mesure, comment mettre en œuvre les 93 mesures de l'annexe A.
Sources : ISO/IEC 27001:2022 ; ISO/IEC 27002:2022
Non. Vous retenez les mesures nécessaires pour traiter vos risques et justifiez dans la déclaration d'applicabilité celles que vous écartez. Une PME de vingt personnes et un grand groupe n'appliquent pas les mêmes mesures de la même façon.
Sources : ISO/IEC 27001:2022, art. 6.1.3
Cela dépend de la taille de l'entreprise, du périmètre choisi et de ce qui existe déjà. Il faut aussi que le système fonctionne un certain temps avant l'audit, pour disposer d'un audit interne et d'une revue de direction. Nous vous donnons une estimation réaliste après l'analyse des écarts.
Non. La période de transition vers l'édition 2022 s'est terminée le 31 octobre 2025 : les certificats selon l'ISO/IEC 27001:2013 ne sont plus valables. Si vous n'avez pas fait la transition, nous vous aidons à mettre votre système à jour avant un nouvel audit.
Sources : IAF MD 26
Non, c'est une démarche volontaire. Mais elle est souvent demandée par les clients, les partenaires ou les appels d'offres, et elle aide à démontrer que vous prenez des mesures appropriées pour protéger les données, comme l'exige la loi sur la protection des données.
Sources : LPD, RS 235.1, art. 8
Réserver un appel
Choisissez directement un créneau de 30 minutes avec un ingénieur. Pas d'échange d'e-mails : vous choisissez l'heure, nous préparons l'échange.
Choisir un créneauCoordonnées
