Préparation à la certification ISO 27001 pour les entreprises canadiennes

Ce que représente la certification ISO 27001 pour une entreprise canadienne

La certification ISO 27001 est l’assurance écrite, donnée par un organisme de certification indépendant, que votre système de management de la sécurité de l’information (SMSI) répond aux exigences d’ISO/IEC 27001:2022. Cette troisième édition de la norme a été publiée en octobre 2022.¹⁴ L’ISO rédige la norme et laisse la certification à d’autres : elle n’assure pas de services de certification, et une entreprise ne peut donc pas être certifiée par l’ISO elle-même.⁴

Au Canada, le Conseil canadien des normes (CCN) accrédite les organismes qui auditent et certifient les SMSI selon ISO/IEC 27001. Le CCN se présente comme le seul organisme d’accréditation canadien reconnu à l’international pour ce programme; signataire de l’accord de reconnaissance multilatérale de l’International Accreditation Forum, il permet aux organismes qu’il accrédite d’offrir une certification reconnue partout dans le monde.⁶

La démarche reste volontaire. Selon l’ISO, certaines organisations appliquent la norme pour ses bonnes pratiques et d’autres visent la certification pour rassurer leurs clients; son Étude ISO 2022 recense plus de 70 000 certificats valides dans 150 pays.¹ Le CCN cite le respect des exigences d’admissibilité aux marchés publics, la conformité réglementaire et la différenciation concurrentielle parmi les raisons de faire appel à un organisme accrédité.⁶

Mise en œuvre ISO 27001 : ce que la norme exige de votre SMSI

La mise en œuvre ISO 27001 consiste à organiser la gestion de vos risques informationnels en système : vous fixez le périmètre, évaluez et traitez les risques, appliquez des mesures de sécurité, puis faites vivre et améliorez le tout. Selon son domaine d’application, la norme vise toutes les organisations, quels que soient leur type, leur taille ou leur nature, et il est inacceptable d’exclure une exigence des articles 4 à 10 lorsqu’on se déclare conforme.²

L’édition 2022 a remplacé celle de 2013; son texte a été aligné sur la structure harmonisée des normes de systèmes de management et sur ISO/IEC 27002:2022, le guide qui accompagne les mesures de sécurité.² ISO/IEC 27002 traite notamment du contrôle d’accès, de la cryptographie, de la sécurité des ressources humaines et de la réponse aux incidents, tandis qu’ISO/IEC 27001 décrit les exigences relatives au SMSI lui-même.³ L’amendement 1, paru en 2024, ajoute des changements concernant les actions liées au climat.¹

• Article 4, contexte de l’organisation : les parties intéressées par vos informations et les limites du SMSI (4.3).²
• Article 5, leadership : engagement de la direction, politique de sécurité de l’information (5.2) et rôles attribués (5.3).²
• Article 6, planification : actions face aux risques et aux opportunités (6.1), objectifs de sécurité et plan pour les atteindre (6.2).²
• Article 7, support : ressources, compétences, sensibilisation, communication et informations documentées (7.5).²
• Article 8, fonctionnement : le traitement des risques appliqué au quotidien (8.1).²
• Articles 9 et 10 : vérifier que le système fonctionne, par l’audit interne et la revue de direction, puis l’améliorer.

Analyse des écarts ISO 27001 : le point de départ

L’analyse des écarts ISO 27001 compare vos façons de faire actuelles à chaque exigence de la norme et aux mesures de sécurité dont vous aurez probablement besoin. Vous connaissez ainsi l’ampleur du chantier avant de réserver un auditeur. Nous la menons par entrevues, par un examen de vos systèmes et par la lecture des documents que vous avez déjà.

Une PME possède souvent plus d’éléments qu’elle ne le croit : règles de mots de passe, sauvegardes, consignes sur les portables dans le guide de l’employé, fournisseur TI qui applique les mises à jour. L’analyse indique ce qui compte déjà comme preuve, ce qu’il faut mettre par écrit et ce qui manque. Vous recevez une liste classée selon l’effort et le risque, qui distingue ce que nous corrigeons ensemble et ce qui demande une décision de la direction.

L’analyse fixe aussi le périmètre tôt. Faire certifier une seule équipe produit ou un seul bureau est un choix légitime, et c’est à vous de définir ces limites selon la norme.² Un périmètre étroit et réaliste mène souvent une petite entreprise plus vite à son premier audit qu’une tentative de tout couvrir d’un coup.

Du périmètre au certificat : le parcours de l’audit ISO 27001

L’audit ISO 27001 se déroule par étapes auprès de l’organisme de certification que vous choisissez : un audit initial en deux temps, l’étape 1 et l’étape 2, puis des audits de surveillance pendant la validité du certificat et, plus tard, un audit de renouvellement de la certification.⁷⁵ L’organisme planifie les deux étapes de l’audit initial et vous indique à l’avance ce que chacune examinera.

Notre travail se situe avant l’étape 1 et entre les deux étapes. À l’arrivée de l’auditeur, le périmètre est écrit, les risques sont évalués et ont un responsable, la déclaration d’applicabilité est signée, les politiques sont approuvées et appliquées, et un audit interne a déjà mis le système à l’épreuve. Si l’étape 1 soulève des points, nous vous aidons à les régler avant l’étape 2.

Pour choisir l’organisme, l’ISO recommande d’en évaluer plusieurs, de vérifier qu’ils appliquent les normes d’évaluation de la conformité pertinentes et de contrôler leur accréditation; la base CertSearch permet de vérifier une certification accréditée.⁴ Pour annoncer le résultat, l’ISO demande la référence complète, par exemple « certifié ISO/IEC 27001:2022 ».¹

Notre rôle de consultant ISO 27001

Comme consultant ISO 27001, nous participons à l’établissement et au maintien de votre SMSI; les règles internationales applicables aux organismes de certification appellent cela du conseil en système de management et le tiennent à l’écart de l’audit de certification.⁵ Tout commence par un appel de 30 minutes, suivi d’une lettre de mandat qui précise le travail, les dates et ce que nous pouvons toucher.

Ce que vous avez en main avant l’audit de certification

Avant l’audit de certification, vous disposez d’un ensemble complet de documents du SMSI au nom de votre entreprise, rédigés en langage clair, avec une annexe technique pour la personne qui gère vos TI. Tout vous appartient et reste utile une fois le certificat obtenu.

• L’énoncé du périmètre du SMSI, ses limites et leurs motifs
• Le registre des risques avec responsables, décisions de traitement et dates
• La déclaration d’applicabilité signée, chaque mesure reliée à une preuve
• Les politiques et procédures approuvées, avec la trace de leur lecture par le personnel
• Le rapport d’audit interne et les notes de revue de direction
• Une courte liste de ce qui reste à faire avant l’étape 1, avec les responsables

ISO 27001, SOC 2 ou CyberSécuritaire Canada : ce que vos clients demandent

ISO/IEC 27001 convient quand un client ou un acheteur public exige un certificat ISO par son nom, ou quand vous vendez à l’étranger, puisque le certificat repose sur une accréditation reconnue à l’international.⁶ Un client de logiciels qui réclame un rapport SOC 2 demande autre chose : une attestation d’un cabinet de CPA, préparée sur notre page préparation SOC 2.

Si un partenaire canadien demande CyberSécuritaire Canada, le travail est plus léger et a sa propre page. La vue d’ensemble de la conformité situe ces normes par rapport aux règles ontariennes et fédérales. Le registre des risques et les politiques faits pour un référentiel servent aux autres, donc l’ordre peut suivre vos clients. Un rôle de responsable de la sécurité à temps partagé, souvent appelé RSSI virtuel, est offert sur demande.