Une foncier institutionnelle vous demande d'obtenir ISO 27001 dans les 12 mois. Vous regardez la norme, vous voyez 93 controles, et vous paniquez. Inutile. Voici le plan d'action concret pour un asset manager de taille moyenne.
Ce que ISO 27001 demande vraiment
La norme ISO/IEC 27001:2022 demande un Systeme de Management de la Securite de l'Information (SMSI). Concretement : une approche structuree, documentee, auditee, sur la securite des donnees.
Les 93 controles de l'Annexe A sont des recommandations applicables selon votre analyse de risques. Vous ne devez pas tous les implementer - seulement ceux pertinents pour votre activite.
Les 5 chantiers prioritaires
1. Inventaire des actifs
Liste de tous les actifs informationnels : applications, bases de donnees, serveurs, postes de travail, telephones, comptes utilisateurs. Avec proprietaire et classification (public / interne / confidentiel / secret).
2. Politique d'acces (RBAC)
Qui a acces a quoi ? Le principe du moindre privilege doit etre formalise : on accorde le minimum d'acces necessaire au role. Audit trail des modifications de droits obligatoire.
3. Gestion des incidents
Procedure de declaration d'incident, registre des incidents, communication aux parties prenantes. Test annuel obligatoire.
4. Continuite d'activite
Plan de continuite (PCA) avec RTO/RPO documentes. Sauvegardes regulieres testees. Procedure de restauration validee au moins une fois par an.
5. Audit interne et revue de direction
Audit interne annuel par un auditeur qualifie, suivi d'une revue de direction. C'est la pierre angulaire de la certification.
Les pieges classiques
- Vouloir tout implementer en meme temps. Mauvaise idee : prioriser par risque.
- Sous-estimer le cout humain (DRH, IT, juridique, RSSI mobilises 3-6 mois)
- Choisir un cabinet de conseil generaliste sans expertise SaaS
- Negliger la sensibilisation des utilisateurs (le maillon faible)
Logimmo et ISO 27001
La plateforme est construite ISO-ready : audit trail natif, RBAC fin, SSO obligatoire, chiffrement TLS, hebergement OVH (lui-meme certifie ISO 27001). Nos clients PRISMATIC° et Foncea ont passe leur audit du premier coup.
"On a fait passer notre audit ISO 27001 du premier coup. L'audit trail Logimmo, le SSO Azure AD : tout est ne pour des structures multi-pays."
Henri L. - RSSI Group, PRISMATIC°