ISO 27001 version 2022 : ce qui a réellement changé

La révision de 2022 est souvent présentée comme une simple réorganisation. Pour une organisation déjà certifiée, c’est une sous-estimation : onze mesures sont nouvelles, et ce sont précisément celles qu’aucun SMSI de 2018 ne traitait.

La restructuration de l’annexe A

On passe de 114 mesures en 14 domaines à 93 mesures en 4 thèmes :

• Organisationnelles — 37 mesures
• Liées aux personnes — 8 mesures
• Physiques — 14 mesures
• Technologiques — 34 mesures

La réduction du nombre ne signifie pas un allègement : elle vient surtout de fusions. Plusieurs mesures de 2013 ont été regroupées en une seule, plus large.

La norme introduit aussi des attributs permettant de filtrer les mesures selon différentes vues — type de mesure, propriété de sécurité, concept de cybersécurité, capacité opérationnelle. Utile pour construire des tableaux de bord ; sans effet sur les exigences.

Les onze mesures nouvelles

Ce sont elles qui font le travail de transition.

• 5.7 Veille sur les menaces — collecter et analyser l’information sur les menaces.
• 5.23 Sécurité dans l’utilisation de services en nuage — voir notre article sur la responsabilité partagée.
• 5.30 Préparation des TIC pour la continuité d’activité — le pont avec ISO 22301.
• 7.4 Surveillance de la sécurité physique.
• 8.9 Gestion de la configuration.
• 8.10 Suppression des informations.
• 8.11 Masquage des données.
• 8.12 Prévention des fuites de données.
• 8.16 Activités de surveillance.
• 8.23 Filtrage web.
• 8.28 Codage sécurisé.

Trois d’entre elles posent systématiquement problème en audit de transition : la veille sur les menaces, la gestion de la configuration et la prévention des fuites de données. Ce sont des sujets qui demandent un dispositif réel, pas une procédure.

Ce qui n’a pas changé

Le corps de la norme — clauses 4 à 10 — reste très proche : contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration.

Les exigences structurantes demeurent : appréciation des risques (6.1.2), traitement (6.1.3), déclaration d’applicabilité (6.1.3 d), audits internes (9.2), revue de direction (9.3).

Un SMSI bien construit sous 2013 ne s’effondre pas. Il se complète.

Comment mener la transition

Ne convertissez pas votre SoA, reconstruisez-la. Une table de correspondance mécanique entre 114 et 93 mesures produit des justifications incohérentes que l’auditeur détectera.

Traitez les onze nouveautés comme un projet à part. Pour chacune : est-elle applicable, que fait-on déjà, quel écart, quelle échéance.

Attention à l’affichage. Une SoA de transition qui déclare les onze mesures « en place » sans qu’aucun document nouveau n’ait été produit est le premier écart que cherchera l’auditeur.

L’articulation avec la réglementation

La révision 2022 rapproche la norme des attentes de NIS 2. La veille sur les menaces, la continuité, la surveillance et la sécurité de la chaîne d’approvisionnement figurent des deux côtés.

Une organisation certifiée 2022 couvre une part significative des mesures de l’article 21 de la directive. Ce n’est pas une équivalence — NIS 2 impose des obligations de notification et de responsabilité des dirigeants qu’ISO 27001 ne traite pas — mais c’est un socle commun considérable.

Les attributs : la nouveauté qu’on n’exploite presque jamais

La révision 2022 introduit cinq attributs applicables à chaque mesure : le type de mesure (préventive, détective, corrective), les propriétés de sécurité couvertes (confidentialité, intégrité, disponibilité), les concepts de cybersécurité (identifier, protéger, détecter, répondre, rétablir), les capacités opérationnelles, et les domaines de sécurité.

Ils sont presque toujours ignorés, parce qu’ils ne sont pas exigés : la norme les présente comme un outil de tri, pas comme une obligation. C’est dommage, car ils répondent à une question que les comités posent régulièrement et à laquelle la liste de mesures ne répond pas.

Trier les mesures par type révèle immédiatement un déséquilibre courant : beaucoup de préventif, peu de détectif, presque rien en correctif. C’est un argument utilisable devant une direction, parce qu’il ne demande aucune compétence technique pour être compris. La même lecture par concept de cybersécurité montre souvent que « répondre » et « rétablir » sont les parents pauvres du dispositif — ce que confirme le premier exercice de crise.

Les trois mesures qui posent le plus de difficultés

Le renseignement sur les menaces. Beaucoup d’organisations le traitent en s’abonnant à un flux d’information, ce qui ne satisfait pas l’exigence. La mesure demande que l’information collectée soit analysée et qu’elle produise des décisions. Un auditeur cherchera la trace d’une décision prise à la suite d’une alerte : une règle de détection ajoutée, un correctif accéléré, une consigne diffusée. Sans cette trace, l’abonnement ne démontre rien.

La sécurité pour l’usage de services en nuage. Elle couvre l’ensemble du cycle : sélection, contractualisation, usage, et surtout sortie. C’est la clause de réversibilité qui manque le plus souvent — comment récupérer les données, dans quel format, sous quel délai, et à quel coût. Elle se négocie avant signature ; ensuite, il n’y a plus de levier.

La prévention des fuites de données. C’est la mesure la plus fréquemment traitée par l’achat d’un outil, et celle où l’outil seul produit le moins de résultat. Sans classification préalable de ce qui doit être protégé, le dispositif génère un volume d’alertes ingérable et finit désactivé. La question à traiter en premier n’est pas technique : quelles données justifient réellement une surveillance de leur circulation ?

Ce que l’auditeur regarde en premier

Lors d’un audit de transition, trois documents concentrent l’attention.

• La déclaration d’applicabilité mise à jour, avec la justification des exclusions. Une exclusion mal motivée est le constat le plus fréquent — en particulier sur les mesures nouvelles, écartées parce qu’elles étaient absentes de la version précédente.
• La table de correspondance entre l’ancienne et la nouvelle structure, qui démontre qu’aucune mesure existante n’a été perdue dans la reprise.
• Les preuves d’application des mesures nouvelles, sur une période suffisante. Une mesure déclarée applicable et mise en œuvre trois semaines avant l’audit ne produit pas d’historique exploitable.

Le point de vigilance porte moins sur la conformité formelle que sur la cohérence : une organisation qui déclare appliquer une mesure de surveillance continue et ne dispose d’aucune trace d’analyse sur douze mois crée une contradiction que l’auditeur relèvera.

Ce que la transition coûte réellement

Pour un système de management déjà certifié et réellement opérationnel, l’effort se concentre sur la reprise documentaire et sur trois à cinq mesures nouvelles à instruire — l’ordre de grandeur se compte en semaines-homme, pas en mois.

Pour un système principalement documentaire, la révision agit comme un révélateur : les mesures nouvelles portent sur la détection, la réponse et le nuage, c’est-à-dire précisément les domaines où un dispositif de façade ne peut pas produire de preuve. C’est là que les transitions dérapent, et le coût réel n’est pas celui de la mise à jour normative mais celui de la mise en œuvre qui avait été différée.

Sources

• ISO/IEC 27001:2022
• ISO/IEC 27002:2022 — recommandations de mise en œuvre des 93 mesures
• Directive (UE) 2022/2555 (NIS 2), article 21

Aller plus loin

Notre formation ISO/IEC 27001 Transition traite spécifiquement les écarts entre les deux versions. Pour un projet complet, voir Lead Implementer et Lead Auditor.