Les PME investissent des budgets dans la certification avant de jeter les bases nécessaires pour réduire réellement les risques. Voici pourquoi les calculs fonctionnent rarement, et voici ce qu'il faut faire à la place.

Tous les deux ou trois mois, un directeur technique ou un responsable informatique pose une version ou une autre de la même question : « On nous pousse à adopter la norme ISO27001 : notre entreprise cliente la souhaite, notre assureur la demande, notre conseil d'administration l'a vue sur une terrasse. Devons-nous simplement le faire ? »

Ma réponse est presque toujours la même : cela dépend entièrement du fait que vous achetez un titre ou un certificat.

Ce n'est pas la même chose. Et entre 50 000 et 80 000 euros pour une PME de taille moyenne qui passe par une mise en œuvre complète de la norme ISO27001 auprès d'un cabinet de conseil, vous feriez mieux de savoir clairement laquelle vous avez besoin et pourquoi.

La question de 50 000€ que personne ne pose à voix haute

Voyons clairement ce que ce budget vous apporte réellement dans le cadre d'un engagement ISO typique d'une PME :

Une évaluation des lacunes. Un registre des risques que vous ne remplirez qu'une seule fois et que vous oublierez presque. Un ensemble de politiques que votre personnel ne lira pas. Une déclaration d'applicabilité que votre auditeur examinera minutieusement. Six à douze mois d'heures de consultant pour traduire le langage du framework en procédures internes. Un audit. Un certificat.

Ensuite : les cycles de renouvellement. Audits de surveillance. Les services de consultants sont permanents pour maintenir l'ISMS « en vie ».

Rien de tout cela n'est mauvais en soi et ne peut mener à certaines améliorations, mais il n'est pas ciblé et n'est pas spécifique à votre entreprise ou à ses besoins commerciaux. Mais voici la question embarrassante : l'une de ces activités a-t-elle réduit de manière significative la probabilité ou l'impact d'une violation ?

Pour de nombreuses PME, la réponse honnête est : pas vraiment ou pas proportionnellement aux dépenses.

Le rapport IBM sur le coût d'une violation de données révèle que le coût moyen mondial d'une violation de données en 2025 est de 4,44 millions de dollars. Posons également une question : combien de temps votre entreprise pourra-t-elle survivre hors ligne ? Par ailleurs, les points d'entrée les plus courants (stockage cloud mal configuré, points de terminaison non corrigés, hameçonnage, identités surprivilégiées) ne sont pas des problèmes liés à la norme ISO27001. Il s'agit de problèmes d'hygiène opérationnelle. Et 50 000 euros de conseil ISO ne corrigent pas les autorisations de votre compartiment S3.

Le piège de la conformité

Voici le véritable piège : la conformité est un instantané. La sécurité est une posture.

La norme ISO27001 est conçue pour prouver, à un moment donné, que vous disposez d'un système de gestion pour la sécurité des informations. Cela ne prouve pas que vos commandes fonctionnent. Cela ne prouve pas que votre environnement cloud n'est pas mal configuré pour le moment. Cela prouve que vous disposez de la documentation et d'un processus de révision de la documentation.

Ce n'est pas du cynisme, c'est l'architecture de la norme. La clause 6 concerne la planification et l'évaluation des risques. L'annexe A répertorie 93 contrôles. Mais rien n'exige que ces contrôles soient réellement efficaces. Il n'y a pas de vérification continue. L'auditeur vérifiera vos politiques ; il n'exécutera pas votre scanner cloud.

Dès que vous quittez la salle d'audit, le temps passe à la dérive.

Pour une entreprise cliente exigeant la norme ISO27001 auprès de son fournisseur PME, le certificat apporte un confort contractuel. Pour la PME elle-même, la question est de savoir si ce confort est mérité ou réalisé.

Quand 50 000€ ont du sens

Je ne dis pas de ne pas suivre la norme ISO27001. Je dis d'être honnête et sûr de ce que vous achetez.

L'investissement est clairement logique sur le plan commercial lorsque :

Vous vendez dans des secteurs réglementés. Si vos principaux clients sont issus des services financiers, de la santé ou du secteur public de l'UE, la norme ISO27001 est souvent une porte d'achat, et non une préférence. Dans ce cas, le coût de la certification est un coût des recettes et non un investissement en matière de sécurité. Modélisez-le de cette façon.

Vous vous préparez pour DORA, NIS2 ou une acquisition. La norme ISO27001 présente un chevauchement significatif avec de nombreux cadres. Bien fait, cela devient votre base de preuves. Si c'est mal fait, il s'agit d'une documentation parallèle qui ne correspond à rien de réel.

Vous avez déjà mis en place des contrôles de base. C'est ce qui manque à la plupart des PME. La norme ISO27001 est une couche de gestion qui vient s'ajouter aux contrôles techniques et ne les remplace pas. Si vous n'avez pas encore mis en œuvre l'authentification multifacteur, géré la posture du cloud, défini une politique sur les terminaux et défini une cadence d'application des correctifs, l'ISMS que vous créez est une façade de gouvernance qui s'ajoute à une base non sécurisée.

Les mathématiques alternatives

Qu'est-ce que 50 000€ permettent d'acheter réellement en matière de contrôles de sécurité directs ?

- Une plateforme de gestion de la posture de sécurité dans le cloud (CSPM) couvrant votre environnement AWS, Azure ou GCP : 8 000 à 15 000 euros par an
- Détection et réponse des terminaux (EDR) pour 50 à 100 sièges : 10 000 euros à 18 000 euros par an
- Un engagement vCISO avec des revues trimestrielles, la propriété de la feuille de route et la préparation aux incidents : 18 000 à 30 000 euros par an
- Formation à la simulation de phishing et à la sensibilisation à la sécurité : 3 000 à 6 000 euros par an

C'est à peu près le même budget. Ces contrôles réduisent activement votre surface d'attaque au quotidien. Et de plus en plus, les plateformes qui combinent l'analyse du cloud avec le mappage automatisé des infrastructures (ISO27001, CIS, NIS2) vous permettent de vous mettre en conformité en tant que sous-produit de l'amélioration de la posture de sécurité, et non l'inverse.

Le certificat fait suite aux travaux. Pas l'inverse.

Ce que CloudSoul observe sur le marché

Chez CloudSoul, nous travaillons avec des PME qui se trouvent exactement à la croisée des chemins. La conversation que nous entendons le plus souvent est la suivante : « Nous avons reçu un questionnaire d'une nouvelle entreprise cliente nous demandant notre statut ISO, et maintenant nous sommes poussés à dépenser. »

Ce n'est pas le bon point de départ. Notre approche consiste à commencer par votre environnement réel, à analyser votre situation en matière de cloud, à effectuer une comparaison par rapport à votre secteur d'activité, à établir une feuille de route hiérarchisée indiquant ce qui doit réellement être corrigé et dans quel ordre, puis à associer automatiquement ce travail aux contrôles du framework. Vous n'avez pas à choisir entre sécurité et conformité. Vous devez les séquencer correctement.

La question de 50 000 euros se transforme lorsque vous la posez différemment : « Comment créer une sécurité qui facilite la conformité ? » contre « Comment acheter la conformité tout en espérant que la sécurité suivra ? »

L'une de ces questions a un retour sur investissement clair. L'autre possède une facture de renouvellement.

Un résultat final honnête

La norme ISO27001 est une norme légitime et bien conçue. Le problème n'est pas la norme, c'est la dynamique du marché qui en fait une case à cocher pour les PME qui n'ont aucune base de sécurité et qui ont des délais impartis pour les clients.

Avant de signer un contrat de conseil pour l'ISO, testez trois choses sous pression :

1. Quelle est votre surface de menace réelle ? Savez-vous à quoi ressemble votre environnement cloud aujourd'hui ? Ce n'est pas ce que dit la politique, mais ce que voit le scanner.
2. Qu'est-ce qui détermine la chronologie ? S'il s'agit d'une exigence interne ou d'un client, pouvez-vous y répondre avec une feuille de route montrant une amélioration active de la sécurité plutôt qu'un simple certificat ?
3. Que se passera-t-il au jour 366 ? Qui gère l'ISMS après le départ des consultants ? Si la réponse est « personne », vous avez acheté un cadre sans peinture.

L'importance de la sécurité ne commence pas par un certificat. Cela commence par savoir ce que vous protégez réellement, quelles sont vos lacunes et ce qu'il faut corriger en premier lieu.

Le certificat peut arriver plus tard. Et quand ce sera le cas, cela signifiera quelque chose.