Accompagnement ISO 27001 pour PME et ETI
Préparez votre certification avec un périmètre clair, un système de management de la sécurité de l'information (SMSI) documenté et des preuves vérifiables. Nous cadrons avec votre équipe l'analyse des écarts, les livrables et la préparation à l'audit, selon votre maturité et vos échéances.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Norme
ISO/IEC 27001:2022Annexe A
93 contrôles
Thèmes
4 domaines
Cycle
3 ans, surveillance annuelle
Certificat
Organisme accrédité
Ce que nous cadrons avec votre équipe
Définir le périmètre
Activités, équipes, sites, systèmes et échéances : le cadrage précise ce que le SMSI couvrira et les responsabilités de chacun.
Organiser les livrables
État des écarts, analyse des risques, déclaration d’applicabilité et plan de traitement : le devis identifie les documents à construire ou à reprendre avec votre équipe.
Préparer les preuves et la revue
Un plan d’action attribue les actions et les preuves attendues. La revue de préparation relève les écarts restants avant l’audit indépendant.
Pour le premier échange, préparez votre échéance, les demandes de vos clients, votre périmètre envisagé et les politiques ou audits déjà disponibles. Votre direction désigne un responsable interne ; les équipes concernées restent impliquées dans la mise en œuvre et la validation.
Un client vous demande surtout des preuves avant signature ? Consultez aussi notre accompagnement aux questionnaires sécurité. Pour hiérarchiser vos risques, découvrez la démarche EBIOS Risk Manager.
Réponse directe
Qu'est-ce que l'accompagnement ISO 27001 ?
L'accompagnement ISO 27001 prépare une PME ou une ETI à l'audit de certification de la norme ISO/IEC 27001:2022. Il couvre l'analyse des écarts aux exigences du SMSI et aux contrôles applicables, la construction du système de management (politiques, déclaration d'applicabilité, plan de traitement du risque) et la préparation à l'audit. Un pentest peut compléter les preuves techniques si le périmètre le justifie. Laucked prépare la démarche ; le certificat est délivré par un organisme certificateur accrédité indépendant.
Quatre thèmes à examiner selon vos risques
L’Annexe A contient 93 contrôles de référence. Leur applicabilité se justifie dans la déclaration d’applicabilité ; ces exemples ne constituent pas une évaluation de votre entreprise.
/organisationnel
Contrôles organisationnels
Politique de sécurité, gestion des fournisseurs, inventaire des actifs : identifier les responsables, les documents et les preuves à examiner.
/humain
Contrôles liés aux personnes
Sensibilisation, confidentialité et gestion des arrivées et départs : vérifier les pratiques et leur traçabilité.
/physique
Contrôles physiques
Locaux, équipements et hébergement : répartir les responsabilités avec les prestataires et vérifier les preuves dans le périmètre retenu.
/technologique
Contrôles technologiques
Durcissement, gestion des vulnérabilités, contrôle d'accès et journalisation. Selon votre déclaration d'applicabilité, le pentest peut apporter une partie des preuves techniques attendues sur ce thème.
Zone Laucked
Accompagnement
- Diagnostic et analyse d’écart
- Construction du SMSI et analyse de risque
- Pré-audit et preuve technique
Zone organisme certificateur
Audit officiel
- Audit de certification, étapes 1 et 2
- Décision et délivrance du certificat
La frontière est nette : nous préparons et testons, l'organisme certificateur évalue et décide. Cette séparation protège l'indépendance de l'audit, et elle est exigée par le schéma de certification.
Quatre prestations qui mènent à l'audit
Chaque brique répond à un besoin concret de la démarche, et s'enchaîne avec la suivante.
Diagnostic et analyse d'écart
On confronte votre fonctionnement réel aux exigences de la norme et aux 93 contrôles de l'Annexe A 2022. À la sortie, vous avez la liste des écarts à combler, classés par effort, et un calendrier réaliste vers l'audit.
Construction du SMSI et analyse de risque
Périmètre, politiques, déclaration d'applicabilité et plan de traitement du risque. L'objectif est un système de management qui tient debout au quotidien et résiste à l'audit.
Pré-audit et audit à blanc
On rejoue l'audit de certification dans vos conditions. Les non-conformités remontent pendant qu'il reste du temps pour les corriger, avant le passage de l'organisme certificateur.
Preuve technique par pentest
La norme n'impose pas de pentest. Selon votre analyse de risque et votre déclaration d'applicabilité, certains contrôles techniques se prouvent mieux par un test. Le pentest peut alors apporter cette preuve et alimenter le plan de traitement.
Combien coûte un accompagnement ISO 27001 ?
Il n'existe pas de prix unique. Le budget dépend de votre point de départ et de l'ampleur du système à mettre en place. Voici les facteurs que nous chiffrons après le diagnostic.
Le périmètre certifié : un produit, un service ou toute l'organisation.
L'effectif concerné et le nombre de sites inclus dans le périmètre.
La maturité de départ, constatée au diagnostic, et le volume d'écarts à combler.
L'étendue du système de management à construire ou à reprendre.
Le besoin de preuve technique par pentest sur les contrôles technologiques.
L'articulation avec des référentiels déjà en place, comme NIS2 ou le RGPD.
L'analyse d'écart ISO 27001 porte sur votre organisation et vos preuves ; un diagnostic de surface exposée ne suffit pas à l'établir. Le devis précise les prestations retenues, la charge attendue de vos équipes et les éventuels tests techniques. Les frais de l'organisme certificateur sont distincts.
Questions fréquentes
L'ISO 27001 se relie au reste de votre dossier de sécurité
La certification arrive rarement seule. Elle croise souvent NIS2, la preuve technique et les exigences de votre assureur.
Cadrons votre chemin vers l'ISO 27001
Partagez votre périmètre, vos documents existants et votre échéance cible. Nous définissons les étapes, les responsabilités et le devis avec vous. La décision de certification appartient à l'organisme certificateur indépendant.