Guide · ISO 27001 · Paris
Un appel d’offres publié cette semaine exige une certification ISO 27001, et personne dans l’entreprise n’a jamais mis la sécurité de l’information par écrit. Ce type de demande arrive souvent sans préavis, auprès d’une équipe qui n’a ni le temps ni le modèle pour y répondre. Cette page présente l’accompagnement ISO 27001 à Paris : ce qu’il recouvre, comment le projet s’enchaîne et ce qu’il faut préparer avant de demander un devis.
Sommaire
L’accompagnement ISO 27001, c’est quoi ?
Un système de management qui se prouve
L’accompagnement ISO 27001 met en place un système de management de la sécurité de l’information, appelé SMSI. Il ne s’agit pas d’un lot de modèles à remplir, mais d’un fonctionnement qui décrit l’entreprise réelle : ce qui est protégé, contre quels risques, et quelles décisions sont validées par la direction. Le référentiel détaille ses mesures dans ISO 27002.
La certification reste une décision extérieure
Le projet prépare l’audit de certification sans le remplacer. La décision revient à un organisme de certification indépendant de l’accompagnant, et le certificat se maintient ensuite par des audits de surveillance.
Contexte local · Paris
Contexte local : l’accompagnement ISO 27001 à Paris
À Paris, deux pôles sont à connaître : le Quartier central des affaires et Paris Rive Gauche, dans le 13e arrondissement. Une entreprise qui a son siège dans l’un de ces secteurs peut avoir des équipes ou des serveurs dans un autre arrondissement, ou dans une commune voisine de la petite couronne. Le périmètre doit alors dire quels lieux entrent dans le SMSI, dès la première réunion.
Dans un immeuble de bureaux, les contrôles d’accès, les salles techniques et les réseaux partagés ne relèvent pas toujours du locataire. Il faut recenser chaque lieu, puis indiquer qui en a la responsabilité : le gestionnaire de l’immeuble, le locataire ou un prestataire. Ces réponses alimentent directement l’analyse de risques.
Lorsque les équipes sont réparties entre Paris et un bureau des Hauts-de-Seine, la question de l’inclusion porte aussi sur les personnes qui se déplacent et sur les postes portables. Une liste des sites, avec leurs responsables et leurs usages, évite de découvrir un oubli pendant l’audit interne.
- Repères
- Quartier central des affaires, Paris Rive Gauche (13e)
- Zones voisines
- Hauts-de-Seine, Seine-Saint-Denis, Val-de-Marne
Les situations qui déclenchent une demande
- Un client qui réclame des preuves : le questionnaire de sécurité arrive sur le bureau du dirigeant, et personne ne sait quelle politique montrer.
- Un projet relancé à zéro : un premier essai s’est arrêté faute de temps, et le dossier dort depuis des mois.
- Des procédures importées : des modèles achetés en ligne décrivent un fonctionnement que l’entreprise n’a jamais eu.
- Des écarts au suivi : un audit de surveillance a relevé des points que personne n’a eu le temps de traiter.
Ce que comprend une prestation
Le périmètre, avant tout
Le périmètre fixe ce qui entre dans le SMSI : activités, sites, systèmes et équipes, ainsi que les éléments écartés et la raison de leur exclusion. Cette étape conditionne la suite, car un périmètre trop large ralentit le projet, et un périmètre trop étroit n’intéresse pas les clients qui posent la question.
Risques et déclaration d’applicabilité
L’analyse de risques recense les actifs, évalue les menaces et propose un traitement pour chaque risque, validé par la direction. La déclaration d’applicabilité reprend ensuite les mesures de l’annexe de la norme, avec pour chacune une décision motivée : retenue ou exclue.
Audit interne et préparation à l’audit
Un audit interne vérifie que le système fonctionne réellement avant l’audit officiel. Les constats remontent en revue de direction, qui décide des actions correctives. Enfin, la préparation rassemble les preuves et organise les entretiens, l’entreprise restant maîtresse de ses réponses.
Ce qui fait varier le prix
Le coût d’un accompagnement ne se réduit pas à un tarif unique. Plusieurs éléments le font varier :
- le nombre de sites et de systèmes inclus dans le périmètre ;
- l’état des pratiques déjà écrites, ou leur absence ;
- le temps que les équipes internes peuvent réserver au projet ;
- la part de la documentation rédigée par l’entreprise elle-même ;
- la personne qui conduit l’audit interne, et le suivi prévu après la certification.
Pour comparer deux propositions, vérifiez qu’elles couvrent le même périmètre et la même répartition de la documentation.
Bien choisir son prestataire
Trois questions aident à départager les offres :
- Comment l’analyse de risques est-elle menée, et avec quelle méthode ?
- Quelle part de la documentation l’entreprise rédige-t-elle elle-même ?
- Qui réalise l’audit interne, et avec quelle indépendance ?
Une réponse floue sur l’un de ces trois points mérite d’être reprise avant la signature.
Les étapes de votre demande à Paris
- Décrire le périmètre souhaité : sites, activités et systèmes concernés.
- Rassembler l’existant : politiques, procédures et exigences déjà reçues.
- Recevoir le devis, avec le détail des livrables et de la documentation.
- Lancer le cadrage et l’analyse de risques avec la direction.
- Planifier l’audit interne avant toute demande de certification.
Pour approfondir, l’accompagnement ISO 27001 présente l’ensemble du projet, et la page accompagnement ISO 27001 dans le Val-de-Marne couvre aussi ce département voisin. Les départements limitrophes ont leurs propres pages : Hauts-de-Seine et Seine-Saint-Denis. Pour démarrer, décrivez votre besoin dans le formulaire : un spécialiste de l’accompagnement ISO 27001 à Paris vous recontacte, gratuitement et sans engagement.