ISO 27001 : guide complet de l’annexe A et de ses contrôles

L’annexe A de la norme ISO/IEC 27001:2022 répertorie 93 contrôles destinés à protéger les informations d’une organisation contre les risques liés à la cybersécurité, aux erreurs humaines, aux incidents physiques et aux défaillances techniques. Ces mesures couvrent aussi bien la gouvernance que les accès informatiques, la protection des locaux ou la gestion des prestataires. Leur sélection dépend de l’analyse des risques et doit être documentée dans la déclaration d’applicabilité.

📋 ISO 27001 : à quoi sert l’annexe A ?

L’annexe A constitue un catalogue de référence pour déterminer les mesures de sécurité à prendre en considération dans un système de management de la sécurité de l’information (SMSI). Elle aide les organisations à structurer leur réponse aux risques touchant les données, les systèmes informatiques, les applications et les infrastructures.

La norme ISO/IEC 27001 ne se limite pas à l’installation de protections techniques. Elle demande à l’organisation de définir un cadre de management, d’évaluer ses risques, de choisir les traitements appropriés et de vérifier régulièrement leur efficacité.

L’annexe A intervient dans cette démarche en proposant des contrôles couvrant plusieurs domaines :

• La confidentialité, afin de limiter l’accès aux informations aux personnes autorisées.
• L’intégrité, pour préserver l’exactitude des données et empêcher les modifications non autorisées.
• La disponibilité, pour maintenir l’accès aux informations et aux services lorsque l’organisation en a besoin.
• La traçabilité, pour conserver des éléments permettant d’identifier les actions réalisées sur les systèmes et les données.

Ces objectifs concernent notamment les données clients, les documents internes, les informations financières, les identifiants de connexion et les applications métiers.

A lire aussi: Audit 27001 : durée, prix, documents et exigences

🧩 Les 4 catégories des 93 contrôles ISO 27001

La version 2022 de la norme regroupe les contrôles de l’annexe A en quatre catégories. La répartition comprend 37 contrôles organisationnels, 8 contrôles relatifs aux personnes, 14 contrôles physiques et 34 contrôles technologiques.

Catégorie	Nombre de contrôles	Principaux domaines
Contrôles organisationnels	37	Gouvernance, politiques, fournisseurs, conformité, gestion des risques
Contrôles relatifs aux personnes	8	Recrutement, sensibilisation, formation, obligations du personnel
Contrôles physiques	14	Locaux, équipements, accès physiques, protection environnementale
Contrôles technologiques	34	Identités, authentification, réseaux, chiffrement, sauvegardes, développement sécurisé
Total	93	Protection organisationnelle, humaine, physique et informatique

1. Les contrôles organisationnels : 37 mesures

Cette catégorie concerne les règles, les responsabilités et les processus encadrant la sécurité de l’information. Elle vise à établir une organisation claire, depuis les décisions de la direction jusqu’au suivi des prestataires.

Les contrôles couvrent notamment :

• Les politiques de sécurité : rédaction, approbation, diffusion et révision des règles applicables.
• La répartition des responsabilités : attribution des missions liées à la sécurité et séparation des tâches lorsque cela est nécessaire.
• La gestion des actifs : inventaire des informations, des équipements et des ressources associées.
• La classification des informations : définition de niveaux de sensibilité et de règles de traitement adaptées.
• La gestion des fournisseurs : évaluation des risques liés aux prestataires, aux services externalisés et à leurs engagements contractuels.
• La gestion des incidents : préparation des procédures de signalement, de traitement et de retour d’expérience.
• La continuité d’activité : préparation aux interruptions susceptibles de compromettre les activités de l’entreprise.
• La conformité : identification des obligations légales, réglementaires et contractuelles applicables.

Une entreprise qui confie l’hébergement de ses données à un prestataire cloud doit, par exemple, évaluer les risques associés à ce service, définir les exigences de sécurité dans ses contrats et contrôler les engagements du fournisseur.

2. Les contrôles relatifs aux personnes : 8 mesures

Les collaborateurs, les prestataires et les autres intervenants peuvent être à l’origine d’incidents de sécurité, volontairement ou par inadvertance. Cette catégorie porte sur les mesures liées aux personnes tout au long de leur relation avec l’organisation.

Elle couvre notamment :

• Les vérifications préalables à l’embauche, lorsque la législation et le niveau de risque le permettent.
• Les conditions contractuelles, avec les obligations de sécurité applicables au personnel.
• La sensibilisation à la cybersécurité, notamment face au phishing, aux pièces jointes malveillantes et aux demandes frauduleuses.
• La formation, pour permettre aux collaborateurs d’appliquer les règles correspondant à leurs missions.
• Les mesures disciplinaires, selon les procédures internes et le droit applicable.
• La gestion des changements de poste ou des départs, notamment pour adapter ou supprimer les droits d’accès.
• Les engagements de confidentialité, lorsque la nature des informations manipulées le justifie.

Un programme de sensibilisation peut inclure des exercices de phishing, des rappels sur la protection des identifiants et des consignes de signalement des incidents. Son efficacité doit être évaluée au-delà de la simple participation aux formations.

3. Les contrôles physiques : 14 mesures

La sécurité informatique dépend également de la protection des locaux, des équipements et des supports contenant des informations. Un accès physique non autorisé peut permettre le vol d’un ordinateur, la consultation de documents confidentiels ou la perturbation d’un système.

Les contrôles physiques portent notamment sur :

• Les périmètres de sécurité autour des zones sensibles.
• Les entrées et les sorties, avec des mécanismes adaptés de contrôle d’accès.
• La protection des bureaux et des salles, en particulier des espaces accueillant des équipements informatiques.
• La surveillance physique, selon les risques et les contraintes applicables.
• La protection contre les menaces environnementales, telles que l’incendie, les dégâts des eaux ou les interruptions d’alimentation électrique.
• La sécurité des équipements, pendant leur installation, leur transport, leur maintenance et leur retrait.
• L’effacement ou la destruction des supports, avant leur réaffectation ou leur élimination.

Dans un centre informatique, les mesures peuvent comprendre des badges nominatifs, des restrictions d’accès aux salles serveurs, des dispositifs de détection d’incendie et des procédures d’intervention en cas de panne électrique.

Les dispositifs retenus doivent correspondre aux risques réels. Un bureau administratif et un centre de données n’ont pas nécessairement besoin du même niveau de protection physique.

4. Les contrôles technologiques : 34 mesures

Les contrôles technologiques concernent les systèmes, les réseaux, les applications et les données. Ils regroupent de nombreuses mesures utilisées pour prévenir les intrusions, limiter les accès non autorisés et détecter les activités suspectes.

Les principaux domaines sont les suivants :

• Gestion des identités et des accès : création des comptes, attribution des autorisations et suppression des accès devenus inutiles.
• Authentification : protection des connexions, gestion des secrets d’authentification et recours à l’authentification multifacteur selon les risques.
• Protection contre les logiciels malveillants : détection, prévention et traitement des menaces.
• Sauvegardes : réalisation de copies protégées et vérification de leur restauration.
• Journalisation et surveillance : collecte des événements pertinents, protection des journaux et détection des activités anormales.
• Sécurité des réseaux : filtrage des communications, segmentation et contrôle des connexions.
• Cryptographie : choix des mécanismes de chiffrement et gestion des clés.
• Gestion des vulnérabilités : identification des failles, évaluation de leur gravité et application des correctifs.
• Configuration sécurisée : maîtrise des paramètres des systèmes, équipements et applications.
• Développement sécurisé : intégration de contrôles de sécurité pendant la conception, les tests et la mise en production.

Une organisation peut, par exemple, limiter les comptes administrateurs à un nombre restreint de personnes, activer une authentification multifacteur, centraliser les journaux de sécurité et tester périodiquement la restauration de ses sauvegardes.

La mise en place de ces mesures doit rester cohérente avec les risques identifiés. Installer un outil de sécurité sans définir les responsabilités de surveillance, de traitement des alertes et de maintenance ne suffit pas à démontrer l’efficacité du contrôle.

A voir également: Combien coûte une certification ISO 27001 ? (Budget et Frais Cachés)

🔎 Les principaux contrôles de l’annexe A à examiner

Les 93 contrôles ne présentent pas tous le même niveau de priorité pour chaque organisation. Certains domaines méritent toutefois une attention particulière lors de l’analyse des risques.

Domaine	Mesures à prévoir	Exemple de preuve
Gouvernance	Politique de sécurité approuvée et révisée	Politique datée et validée par la direction
Gestion des accès	Attribution contrôlée des droits et revues périodiques	Registre des habilitations et comptes rendus de revue
Authentification	Protection des connexions sensibles	Paramètres MFA et règles d’authentification
Cryptographie	Protection des informations sensibles	Politique de chiffrement et règles de gestion des clés
Incidents	Détection, signalement et traitement des événements	Registre des incidents et rapports d’analyse
Sauvegardes	Copies protégées et tests de restauration	Journaux de sauvegarde et résultats des tests
Vulnérabilités	Détection des failles et suivi des correctifs	Rapports d’analyse et tickets de remédiation
Fournisseurs	Évaluation et suivi des prestataires	Évaluations des risques et clauses contractuelles
Continuité	Préparation aux interruptions majeures	Plans de continuité et résultats des exercices
Sécurité physique	Contrôle des accès aux zones sensibles	Registres d’accès et procédures de visite

Les preuves doivent montrer que les mesures sont appliquées et suivies. Une politique écrite ne suffit pas si les procédures associées ne sont pas respectées ou si aucun contrôle ne permet d’en vérifier l’application.

📝 La déclaration d’applicabilité : le document qui relie les risques aux contrôles

La déclaration d’applicabilité (DDA), appelée Statement of Applicability ou SoA en anglais, occupe une place importante dans la démarche ISO 27001. L’exigence 6.1.3 demande notamment à l’organisation de déterminer les contrôles nécessaires au traitement des risques, de les comparer à ceux de l’annexe A et de justifier les inclusions comme les exclusions.

La norme n’impose donc pas de mettre en œuvre automatiquement les 93 contrôles dans toutes les situations. En revanche, l’organisation doit examiner le catalogue et justifier les décisions prises. Un contrôle supplémentaire peut également être nécessaire lorsqu’il découle de l’analyse des risques ou d’une obligation applicable.

Que doit contenir la DDA ?

La déclaration d’applicabilité indique généralement :

• Les contrôles retenus et leur statut d’application.
• Les justifications associées aux contrôles sélectionnés.
• Les raisons motivant l’exclusion des contrôles jugés non applicables.
• Les références aux traitements de risques et aux documents pertinents.
• L’état de mise en œuvre des mesures, selon le format adopté par l’organisation.

La DDA doit rester cohérente avec l’analyse des risques, le plan de traitement et les pratiques réellement appliquées. Elle peut être mise à jour lorsqu’un système informatique change, qu’un nouveau service est déployé ou que le niveau de risque évolue.

Exemple de sélection des contrôles

Une PME qui exploite une application SaaS hébergée dans le cloud peut identifier plusieurs risques : compromission de comptes, perte de données, indisponibilité du service et exposition d’informations clients.

Son plan de traitement peut notamment prévoir :

1. L’authentification multifacteur pour les accès sensibles.
2. Des sauvegardes protégées avec des tests réguliers de restauration.
3. Une journalisation adaptée aux incidents à détecter.
4. Des engagements contractuels et des évaluations de sécurité du fournisseur cloud.
5. Une procédure de gestion des incidents et un plan de reprise.

Ces choix doivent être justifiés par l’analyse des risques. Les mesures ne sont pas sélectionnées uniquement parce qu’elles figurent dans l’annexe A, mais parce qu’elles sont pertinentes pour le périmètre du SMSI et les risques recensés.

Découvrez aussi: Audit 27001 : durée, prix, documents et exigences

🔗 ISO 27001 et ISO 27002 : quelle différence ?

Les normes ISO/IEC 27001 et ISO/IEC 27002 sont complémentaires, mais elles n’ont pas la même finalité.

Point de comparaison	ISO/IEC 27001:2022	ISO/IEC 27002:2022
Finalité	Exigences d’un système de management de la sécurité de l’information	Recommandations relatives aux contrôles de sécurité
Public concerné	Organisations qui mettent en place ou font certifier un SMSI	Équipes chargées de définir et d’appliquer les mesures
Contenu	Exigences de management et annexe A	Conseils et précisions sur les contrôles
Certification	Sert de référence à la certification du SMSI	Ne constitue pas, à elle seule, la norme de certification du SMSI
Mise en œuvre	Définit les exigences et le cadre de management	Aide à déterminer les modalités d’application des contrôles

L’ISO 27001 fixe les exigences à respecter pour le SMSI. L’ISO 27002 apporte des recommandations plus détaillées pour sélectionner et mettre en œuvre les mesures de sécurité. Les organisations peuvent aussi compléter ces références avec des exigences réglementaires, contractuelles ou sectorielles.

🆕 ISO 27001:2022 : les changements par rapport à la version 2013

La révision de 2022 a réorganisé les contrôles de l’annexe A. Leur nombre est passé de 114 dans l’édition 2013 à 93 dans l’édition 2022. Cette réduction provient notamment du regroupement de contrôles et de la réorganisation du catalogue.

La version 2022 introduit également 11 contrôles nouveaux. Ils couvrent notamment des sujets liés aux menaces, aux services cloud, à la surveillance physique, à la gestion de la configuration, à la prévention des fuites de données et à l’effacement des informations.

Parmi les nouveaux sujets figurent :

• La veille sur les menaces, afin d’obtenir et d’analyser des informations utiles sur les risques cyber.
• La sécurité des services cloud, avec des responsabilités et des règles adaptées à leur acquisition, leur utilisation et leur sortie.
• La préparation aux incidents, pour anticiper les moyens et procédures nécessaires à leur traitement.
• La surveillance physique, afin de détecter les accès ou activités physiques non autorisés.
• La gestion de la configuration, pour maintenir des paramètres de sécurité maîtrisés.
• La prévention des fuites de données, avec des mesures adaptées aux informations à protéger.
• Le filtrage Web, pour limiter l’accès à des contenus ou destinations présentant des risques.
• Le codage sécurisé, afin de réduire les vulnérabilités introduites pendant le développement.

Le passage à la version 2022 ne consiste donc pas simplement à supprimer 21 mesures de l’ancien catalogue. Les organisations doivent revoir leur correspondance entre les anciens et les nouveaux contrôles, puis vérifier que leur analyse des risques et leur DDA restent pertinentes.

🛠️ Comment préparer la mise en œuvre des contrôles ?

La mise en œuvre de l’annexe A doit s’appuyer sur une démarche structurée. Le nombre de contrôles et la diversité des domaines concernés rendent nécessaire une coordination entre la direction, les équipes informatiques, les ressources humaines, les responsables métiers et les prestataires concernés.

1. Définir le périmètre du SMSI

Il faut déterminer les activités, les informations, les applications, les infrastructures et les entités concernées. Le périmètre influence directement les risques à étudier et les mesures à retenir.

Une entreprise peut, par exemple, inclure sa plateforme SaaS, les données clients et les équipes qui administrent le service, sans nécessairement intégrer toutes ses activités dans le même périmètre de certification.

2. Réaliser l’analyse des risques

L’organisation recense les actifs et les situations susceptibles de compromettre la confidentialité, l’intégrité ou la disponibilité des informations. Chaque risque est évalué selon une méthode définie, en tenant compte des menaces, des vulnérabilités et des conséquences possibles.

Les risques retenus servent ensuite à déterminer les traitements nécessaires.

3. Sélectionner les contrôles et compléter la DDA

Les contrôles de l’annexe A sont examinés en fonction des risques, du périmètre, des obligations applicables et des exigences contractuelles. Les contrôles retenus sont documentés, tout comme les exclusions et leurs justifications.

L’organisation peut ajouter d’autres mesures lorsque celles-ci sont nécessaires à son traitement des risques.

4. Attribuer les responsabilités

Chaque contrôle doit être associé à des responsabilités clairement définies. Selon le domaine concerné, la mise en œuvre peut relever de la direction informatique, du responsable de la sécurité des systèmes d’information (RSSI), des ressources humaines, des services généraux ou des achats.

Il faut également prévoir les ressources, les échéances et les modalités de contrôle.

5. Conserver les preuves d’application

Les procédures, les configurations, les registres, les comptes rendus de revue et les résultats de tests permettent de démontrer que les mesures sont appliquées. Les preuves doivent être suffisamment précises pour établir la réalité des contrôles et leur suivi.

6. Évaluer et réviser les mesures

Les contrôles doivent être examinés régulièrement et lorsque des changements importants surviennent. Les audits internes, les incidents, les tests de restauration et les revues d’accès peuvent révéler des écarts à corriger.

La direction doit également examiner les résultats du SMSI dans le cadre des revues prévues par la norme.