Accueil / Audit TI / Audit ISO 27001
Audit ISO 27001 pour les entreprises du Québec
Un audit ISO 27001, c’est la moitié du chemin vers la conformité. Nous évaluons votre système de management de la sécurité de l’information (SMSI) face aux exigences de la norme ISO/IEC 27001:2022, et vous indiquons précisément ce qui reste à faire.
L’enjeu
Pourquoi la certification ISO/IEC 27001 est-elle indispensable?
Face à des cyberattaques qui se multiplient, la norme ISO/IEC 27001 fournit un cadre structuré pour identifier, évaluer et traiter les vulnérabilités de manière proactive, avant qu’elles ne se transforment en incidents critiques.
Son approche globale couvre à la fois les processus, les personnes et les technologies. Un SMSI conforme réduit les risques, renforce la cyber-résilience, soutient la conformité réglementaire et la performance globale de l’organisation.
L’audit évalue la mise en place de vos politiques, procédures et contrôles de sécurité pour identifier les non-conformités, les faiblesses et les axes d’amélioration. C’est une étape nécessaire pour obtenir la certification.
Notre service d’audit ISO 27001
Un audit simple, complet et adapté à votre contexte
01
Audit de la politique, des directives et des procédures
Nous évaluons la pertinence et l’efficacité de vos documents de SMSI, leur alignement sur vos objectifs stratégiques et sur les exigences légales comme la Loi 25.
02
Vérification de la mise en œuvre
Nous confirmons que vos équipes suivent les procédures établies et que les mesures de sécurité définies sont réellement appliquées et opérationnelles.
03
Évaluation des écarts
Nous mesurons dans quelle mesure votre SMSI répond aux exigences de la norme et identifions les non-conformités, les zones d’amélioration et les risques.
04
Échantillonnage et examen des contrôles
Un échantillon représentatif de vos contrôles techniques, organisationnels et procéduraux est vérifié pour juger de leur efficacité au quotidien.
05
Rapport d’audit
Une analyse claire de vos forces, non-conformités et risques, avec des recommandations hiérarchisées : un véritable outil de décision pour la direction.
Le détail de la norme
Ce que l’audit examine, exigence par exigence
La norme ISO/IEC 27001 dans sa version 2022 — la seule reconnue depuis la fin de la période de transition — se compose de deux ensembles distincts. Un audit rigoureux couvre les deux.
Les exigences du système de management (chapitres 4 à 10)
Ces sept chapitres ne sont pas négociables : aucune exclusion n’est possible. Ils encadrent la façon dont votre organisation pilote sa sécurité de l’information.
- Contexte de l’organisation — le périmètre du SMSI est-il défini, documenté et défendable devant un auditeur? Les parties intéressées et leurs exigences sont-elles recensées?
- Leadership — l’implication de la direction est-elle démontrable par des décisions, des ressources et des arbitrages, ou la sécurité est-elle déléguée sans mandat?
- Planification — votre appréciation des risques suit-elle une méthode reproductible? Votre déclaration d’applicabilité justifie-t-elle chaque mesure retenue et chaque exclusion?
- Support — compétences, sensibilisation, communication et maîtrise de la documentation.
- Fonctionnement — les traitements de risques planifiés sont-ils réellement déployés, et les changements maîtrisés?
- Évaluation des performances — audits internes, indicateurs de sécurité et revue de direction.
- Amélioration — les non-conformités passées ont-elles fait l’objet d’une analyse de cause et d’une correction vérifiée?
Les 93 mesures de l’annexe A
La version 2022 a restructuré l’annexe A en quatre thèmes. Contrairement aux chapitres 4 à 10, ces mesures peuvent être exclues — à condition de justifier chaque exclusion dans votre déclaration d’applicabilité. C’est précisément là que se concentrent la plupart des écarts relevés.
| Thème | Mesures | Exemples de sujets couverts |
|---|---|---|
| Organisationnel | 37 | Politiques, rôles, gestion des fournisseurs, continuité, conformité légale |
| Personnes | 8 | Filtrage à l’embauche, sensibilisation, départs, télétravail |
| Physique | 14 | Zones sécurisées, équipements, supports de stockage, bureau propre |
| Technologique | 34 | Gestion des accès, journalisation, chiffrement, sauvegardes, développement sécurisé |
Audit blanc ou audit de certification?
La confusion est fréquente, et elle coûte cher quand on s’en aperçoit trop tard.
L’audit de certification est conduit par un organisme accrédité, en deux étapes. L’étape 1 vérifie que votre documentation existe et se tient. L’étape 2, plus exigeante, vérifie que ce qui est écrit est réellement appliqué : l’auditeur interroge vos équipes, réclame des preuves, échantillonne vos registres. Une non-conformité majeure à ce stade suspend le processus.
L’audit blanc suit la même méthode et examine les mêmes exigences, mais sans conséquence : rien n’est transmis à un organisme. Sa valeur n’est pas de vous rassurer, mais de vous montrer ce qu’un tiers verra, pendant qu’il est encore temps de corriger.
Nous réalisons les deux types d’intervention. Pour comprendre en détail comment se déroule un audit blanc et les écarts qu’il révèle le plus souvent, consultez notre article Audit blanc ISO 27001 : à quoi s’attendre avant la certification.
FAQ
Questions fréquentes
Faut-il être certifié pour se faire auditer?
Non, et c’est souvent l’inverse. Un audit d’écarts se réalise avant toute démarche de certification : il sert justement à savoir quel chemin reste à parcourir, et à chiffrer l’effort.
Notre entreprise est petite. La norme est-elle disproportionnée?
La norme s’applique au périmètre que vous définissez, pas à une taille d’organisation. Une PME de trente employés peut certifier un périmètre restreint et pertinent. Ce sont les exigences clients ou les appels d’offres qui imposent généralement la démarche, quelle que soit la taille.
La conformité à la Loi 25 remplace-t-elle ISO 27001?
Non, les deux répondent à des logiques différentes. La Loi 25 est une obligation légale québécoise centrée sur les renseignements personnels. ISO 27001 est un cadre volontaire de management couvrant toute l’information sensible. Ils se renforcent : un SMSI bien construit facilite la démonstration de conformité à la Loi 25. Voir notre page Conformité TI.
Que se passe-t-il si l’audit révèle beaucoup d’écarts?
C’est le résultat le plus utile. Un rapport qui ne relève rien n’apprend rien. Les écarts sont hiérarchisés selon leur gravité et leur effort de correction, de sorte que vous sachiez par où commencer plutôt que de tout entreprendre en même temps.
Intervenez-vous ailleurs qu’à Montréal?
Nous sommes établis à Longueuil et intervenons partout au Québec, sur place ou à distance selon la nature du mandat.
Parlons de votre situation
Où en êtes-vous dans votre démarche?
Un échange de vingt minutes suffit généralement pour situer votre niveau de maturité et déterminer si un audit d’écarts est la bonne prochaine étape.