Qui devrait lire ceci : celui ou celle qui se trouvera dans la salle avec l’auditeur de certification et aimerait savoir à l’avance quelles questions ont une bonne réponse et lesquelles n’en ont qu’une honnête.
L’audit de certification, ce sont deux visites aux objectifs différents. Se tromper sur cette différence est la première cause de glissement d’une première certification, car la préparation qui fait passer la première visite n’est pas celle qui fait passer la seconde.
L’étape 1 demande si le système est conçu
L’étape 1 est une revue documentaire. L’auditeur établit si un SMSI existe sur le papier, s’il couvre ce qu’exige la norme, et si l’étape 2 vaut la peine d’être programmée. Elle peut se dérouler à distance, sur site, ou en mode mixte.
Ce qu’il demande :
- L’énoncé du périmètre et la frontière retenue, et si elle est défendable
- La déclaration d’applicabilité, avec une justification pour chaque mesure incluse et chaque mesure exclue
- La méthode d’appréciation des risques et l’appréciation elle-même
- Le corpus de politiques
- La preuve que le programme d’audit interne et la revue de direction existent en tant que processus, pas qu’ils aient déjà eu lieu
- Les rôles, les responsabilités, et qui, dans la direction, porte le sujet
Ce qu’il vérifie réellement, c’est si les documents décrivent un seul système cohérent. Un périmètre qui dit une chose, une appréciation des risques qui couvre plus large, et une déclaration d’applicabilité qui exclut des mesures dont le périmètre a manifestement besoin : voilà l’échec classique de l’étape 1. Si la frontière n’est pas fixée, l’auditeur ne peut pas établir ce qu’il devra tester à l’étape 2, et tout s’arrête là. C’est pourquoi le périmètre et la déclaration d’applicabilité méritent plus d’attention que le corpus de politiques auquel la plupart des équipes consacrent leur temps.
Les constats d’étape 1 sont généralement présentés comme des points d’attention plutôt que comme des non-conformités formelles, avec l’attente qu’ils soient clos avant l’étape 2. Les consultants savent produire des documents, donc l’étape 1 se passe bien. C’est précisément pourquoi elle prédit mal l’étape 2.
L’étape 2 demande si le système a tourné
L’étape 2 est le véritable audit. L’auditeur ne lit plus ce que vous avez écrit, il teste si cela s’est produit. Il interroge des personnes, échantillonne des enregistrements et suit des fils.
Sa forme :
- Échantillonnage. Il choisit des mesures et demande des preuves sur une période. Pas une revue d’accès, une série de revues datées. Pas la politique de sauvegarde, le dernier test de restauration et son résultat.
- Entretiens. Il demande aux personnes nommées dans vos politiques ce qu’elles font vraiment. Une politique rédigée par quelqu’un d’extérieur échoue ici, car la personne nommée décrit autre chose.
- Traçage. Il prend un fil et le suit de bout en bout. Un risque du registre, son traitement, la mesure qui l’implémente, la preuve que la mesure a tourné, la revue qui confirme son efficacité.
- Articles 9 et 10. Résultats d’audit interne, comptes rendus de revue de direction, non-conformités soulevées et actions correctives closes avec analyse des causes et vérification d’efficacité. C’est là que le séquencement décrit dans audit interne et revue de direction paie ou ne paie pas.
On attend généralement que le système de management ait fonctionné pendant une période, typiquement autour de trois mois, avant l’étape 2, car l’échantillonnage suppose un historique. C’est du temps calendaire, incompressible, la contrainte au cœur de combien de temps prend réellement ISO 27001.
Majeure, mineure, et celles qui n’en sont pas
Trois issues, aux coûts très différents.
Une non-conformité majeure est une défaillance systémique : un élément requis du système de management est absent, ou une mesure s’est effondrée d’une manière qui compromet le système. Un programme d’audit interne manquant est majeur. Un plan de traitement des risques sans aucun propriétaire est majeur. Les majeures bloquent la certification. Vous corrigez, vous fournissez les preuves, et selon la gravité l’auditeur peut devoir revenir. Comptez des semaines, pas des jours, et éventuellement une nouvelle visite.
Une non-conformité mineure est un manquement isolé dans un système qui fonctionne par ailleurs. Une revue d’accès manquée sur une année. Une évaluation fournisseur non classée. Les mineures ne bloquent généralement pas la certification. Vous soumettez un plan d’action correctif, typiquement sous quelques semaines, et la clôture est vérifiée à la visite de surveillance suivante ou sur pièces avant l’émission du certificat.
Observations et pistes d’amélioration ne sont pas des non-conformités. Elles n’appellent pas d’action corrective. Les équipes y réagissent régulièrement de façon excessive, y consacrent des efforts, et arrivent à l’audit suivant en ayant traité un conseil comme une instruction.
Le point pratique : le nombre de constats compte beaucoup moins que leur nature. Une étape 2 avec six mineures et aucune majeure est un bon audit. Une majeure et rien d’autre est un mauvais audit.
Ce que les auditeurs acceptent, et ce qu’ils refusent
Trois schémas reviennent.
Ils acceptent une mesure que vous avez décidé de ne pas implémenter, si la décision est documentée et justifiée. La déclaration d’applicabilité existe pour cela. Ce qu’ils n’acceptent pas, c’est une mesure marquée applicable, décrite dans une politique, et qui ne tourne pas.
Ils acceptent des preuves imparfaites produites sur le moment, plutôt que des preuves parfaites produites après coup. Un relevé de correctifs avec des trous que vous pouvez expliquer vaut mieux qu’un tableur rétrospectif impeccable. Les auditeurs en ont vu beaucoup, et les métadonnées de fichiers ne sont pas subtiles.
Ils acceptent « nous le savons, c’est au registre, voici le traitement et la date ». Un risque ouvert avec un propriétaire et un plan est un système de management qui fonctionne. Le même risque non documenté est un constat.
L’instinct de cacher les problèmes est à l’envers. Les non-conformités que votre propre audit interne a trouvées et closes prouvent que le système fonctionne. C’est précisément ce qui est certifié.
Ce qui déraille réellement
Par ordre de fréquence :
- Les preuves n’existent pas sur la fenêtre d’échantillonnage. Les mesures ont été conçues, rien n’a enregistré leur fonctionnement.
- Le périmètre a été mal tracé et une partie du travail doit être refaite.
- Les politiques décrivent une entreprise qui n’existe pas. Les entretiens le révèlent en quelques minutes.
- L’article 9 est mince. Audit interne conduit trop tard, revue de direction sans ses entrées obligatoires.
- Actions correctives closes sans cause racine ou sans vérifier que le correctif a fonctionné.
Chacun de ces points est un échec de préparation, pas un échec de sécurité. Cela mérite d’être noté. Aucun ne signifie que l’entreprise est vulnérable. Ils signifient que l’enregistrement ne soutient pas l’affirmation.
Après l’étape 2
L’auditeur recommande la certification, il ne l’accorde pas. La revue et la décision propres à l’organisme de certification suivent, et le certificat est émis ensuite. Prévoyez ce délai plutôt que de promettre un certificat à un client pour la semaine suivant l’audit.
Le certificat suit ensuite un cycle de trois ans : surveillance en années deux et trois, recertification à la fin. Les coûts de ce cycle complet figurent dans ce que la norme ISO 27001 coûte réellement à une PME.
Pour savoir ce qu’une étape 2 trouverait avant d’en réserver une, c’est ce que produit un audit structuré en amont du programme : la même liste d’écarts hiérarchisée, sans le certificat en jeu.
La réalité technique : ce que réussir l’étape 2 ne vous dit pas
L’étape 2 teste la conformité, pas la sécurité. Cette distinction n’est pas de la pédanterie, c’est tout l’écart.
L’auditeur échantillonne si une mesure a fonctionné comme décrite. Il ne teste pas si elle est efficace. L’A.8.8 demande de gérer les vulnérabilités techniques, et une analyse mensuelle assortie d’un rapport y satisfait même si les constats critiques de ce rapport datent de huit mois. L’A.8.15 demande des journaux, et des journaux écrits sur un disque que personne n’interroge y satisfont. L’A.8.16 demande des activités de surveillance, et c’est l’écart le plus large, car une procédure documentée remplit la mesure alors que rien n’observe réellement.
Une étape 2 propre dit donc à un client que votre système de management fonctionne. Elle ne lui dit pas, et n’a jamais été conçue pour lui dire, si vous détecteriez une intrusion. Ce sont deux questions différentes, et la seconde se règle par un outillage qui produit des constats en continu et les fait atterrir dans le même enregistrement de preuves, pas par un audit mieux préparé. La version complète de cet argument se trouve dans les mesures de l’annexe A regroupées pour le travail réel, qui sépare les mesures qui consignent un travail de celles qui sont un travail.
