Pourquoi ISO 27001 repose autant sur les politiques
ISO 27001 est une norme de management, pas une checklist technique. Les auditeurs ne se soucient pas de la qualité de votre pare-feu — ils veulent savoir si vous avez décidé comment le configurer, si vous l'avez écrit, communiqué, revu, et si vous prouvez l'avoir appliqué. Les politiques documentées sont le tissu conjonctif.
Si vous démarrez votre démarche de certification, les 14 politiques ci-dessous sont la base. En sauter une est le moyen le plus rapide d'écoper d'une non-conformité.
Les 14 politiques obligatoires
- Politique de sécurité de l'information — document de haut niveau signé par le dirigeant.
- Politique d'usage acceptable — ce que les collaborateurs peuvent ou ne peuvent pas faire.
- Politique de contrôle d'accès — attribution, revue et révocation des droits.
- Politique de mots de passe — longueur, rotation, MFA, gestionnaires.
- Politique de cryptographie — algorithmes, gestion des clés, périmètre.
- Politique de sauvegarde — fréquence, rétention, tests de restauration.
- Politique antivirus / EDR — ce qui tourne sur chaque poste et serveur.
- Politique de gestion des changements — comment livrer en production sans casse.
- Politique de réponse aux incidents — détection, triage, communication, retour d'expérience.
- Politique de continuité d'activité — que faire si une région tombe.
- Politique de classification des données — public / interne / confidentiel / restreint.
- Politique fournisseurs — DPA, questionnaires, audits.
- Politique de télétravail — laptops, VPN, règle de l'ordinateur familial.
- Politique d'accès à distance — VPN, SSH, IPsec, TLS.
Ce que l'auditeur vérifie réellement
Pour chaque politique, l'auditeur pose trois questions :
- Approbation : qui l'a approuvée, quand, sur quelle version ?
- Communication : comment les collaborateurs l'ont-ils découverte (email d'onboarding, intranet, accusé de réception) ?
- Revue : quand a-t-elle été révisée pour la dernière fois (annuel ou après un changement majeur) ?
Si vous ne pouvez pas répondre aux trois, la politique est non-conforme — même si son contenu est parfait.
Comment PolicyForge accélère cela
Chaque modèle PolicyForge est mappé à un contrôle ISO 27001 précis, fourni en français et en anglais, et inclut un bloc d'approbation, des notes de communication et un champ de date de revue. Vous générez les 14 politiques en moins de 30 minutes et arrivez à votre audit avec la documentation déjà en forme.