Accompagnement ISO 27001 pour PME et ETI
Obtenir l'ISO 27001 demande un système de management qui tient, des preuves pour 93 contrôles et un audit officiel à passer. Nous vous accompagnons sur tout le chemin qui précède cet audit, du premier diagnostic jusqu'au pré-audit qui valide que vous êtes prêt.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Norme
ISO/IEC 27001:2022Annexe A
93 contrôles
Thèmes
4 domaines
Cycle
3 ans, surveillance annuelle
Certificat
Organisme accrédité
Réponse directe
Qu'est-ce que l'accompagnement ISO 27001 ?
L'accompagnement ISO 27001 prépare une PME ou une ETI à l'audit de certification de la norme ISO/IEC 27001:2022. Il couvre le diagnostic d'écart face aux 93 contrôles de l'Annexe A, la construction du système de management (politiques, déclaration d'applicabilité, plan de traitement du risque), le pré-audit qui rejoue l'audit officiel, et la preuve technique apportée par le pentest. Laucked prépare la démarche ; le certificat est délivré par un organisme certificateur accrédité indépendant.
Là où une PME a réellement des écarts à combler
La version 2022 regroupe ses 93 contrôles en quatre thèmes. Le diagnostic situe votre point de départ thème par thème. Voici le constat le plus fréquent que nous faisons en arrivant chez une PME logicielle.
/organisationnel
Contrôles organisationnels
Politique de sécurité, gestion des fournisseurs et inventaire des actifs sont souvent partiels ou n'ont pas été revus depuis la dernière refonte du SI.
/humain
Contrôles liés aux personnes
La sensibilisation et les clauses de confidentialité existent en général, mais sans traçabilité exploitable lors d'un audit.
/physique
Contrôles physiques
Quand l'hébergement est externalisé chez un prestataire certifié, l'essentiel de ce thème est couvert par les attestations du prestataire.
/technologique
Contrôles technologiques
Durcissement, gestion des vulnérabilités, contrôle d'accès et journalisation. Selon votre déclaration d'applicabilité, le pentest peut apporter une partie des preuves techniques attendues sur ce thème.
Zone Laucked
Accompagnement
- Diagnostic et analyse d’écart
- Construction du SMSI et analyse de risque
- Pré-audit et preuve technique
Zone organisme certificateur
Audit officiel
- Audit de certification, étapes 1 et 2
- Décision et délivrance du certificat
La frontière est nette : nous préparons et testons, l'organisme certificateur évalue et décide. Cette séparation protège l'indépendance de l'audit, et elle est exigée par le schéma de certification.
Quatre prestations qui mènent à l'audit
Chaque brique répond à un besoin concret de la démarche, et s'enchaîne avec la suivante.
Diagnostic et analyse d'écart
On confronte votre fonctionnement réel aux exigences de la norme et aux 93 contrôles de l'Annexe A 2022. À la sortie, vous avez la liste des écarts à combler, classés par effort, et un calendrier réaliste vers l'audit.
Construction du SMSI et analyse de risque
Périmètre, politiques, déclaration d'applicabilité et plan de traitement du risque. L'objectif est un système de management qui tient debout au quotidien et résiste à l'audit.
Pré-audit et audit à blanc
On rejoue l'audit de certification dans vos conditions. Les non-conformités remontent pendant qu'il reste du temps pour les corriger, avant le passage de l'organisme certificateur.
Preuve technique par pentest
La norme n'impose pas de pentest. Selon votre analyse de risque et votre déclaration d'applicabilité, certains contrôles techniques se prouvent mieux par un test. Le pentest peut alors apporter cette preuve et alimenter le plan de traitement.
Combien coûte un accompagnement ISO 27001 ?
Il n'existe pas de prix unique. Le budget dépend de votre point de départ et de l'ampleur du système à mettre en place. Voici les facteurs que nous chiffrons après le diagnostic.
Le périmètre certifié : un produit, un service ou toute l'organisation.
L'effectif concerné et le nombre de sites inclus dans le périmètre.
La maturité de départ, constatée au diagnostic, et le volume d'écarts à combler.
L'étendue du système de management à construire ou à reprendre.
Le besoin de preuve technique par pentest sur les contrôles technologiques.
L'articulation avec des référentiels déjà en place, comme NIS2 ou le RGPD.
Le diagnostic de surface est gratuit et sert à cadrer ces facteurs. L'accompagnement est ensuite chiffré sur devis, sans grille publique, pour coller au périmètre réel plutôt qu'à un forfait standard.
Questions fréquentes
L'ISO 27001 se relie au reste de votre dossier de sécurité
La certification arrive rarement seule. Elle croise souvent NIS2, la preuve technique et les exigences de votre assureur.
Cadrons votre chemin vers l'ISO 27001
Le diagnostic situe votre point de départ et pose un calendrier réaliste vers l'audit de certification. Il est gratuit, et la suite est chiffrée sur devis selon votre périmètre.