ISO 27001 Annexe A expliquée : les 93 contrôles, démystifiés pour les PME

L’Annexe A n’est pas une liste de 93 choses à faire toutes. C’est un catalogue de 93 contrôles dont vous devez décider consciemment — implémenter, justifier ou exclure avec une raison écrite. Cette distinction est tout le jeu pour une petite équipe IT.

Si vous avez lu notre article pilier ISO 27001 pour les PME, vous savez déjà que la norme repose sur un Système de Management de la Sécurité de l’Information (SMSI) et une analyse de risque qui indique quels contrôles comptent. L’Annexe A est l’endroit où vivent les contrôles eux-mêmes. L’édition 2022 a réorganisé les anciens 114 contrôles (regroupés par domaine comme la cryptographie, le contrôle d’accès, les opérations) en 93 contrôles répartis sur quatre thèmes. Cette restructuration n’est pas cosmétique — elle change la façon dont vous lisez, sélectionnez et défendez votre ensemble de contrôles lors d’un audit.

Cette analyse détaillée passe en revue les quatre thèmes, nomme les contrôles qu’une équipe IT d’une à trois personnes devrait implémenter en premier, et explique la Déclaration d’Applicabilité — le document où vous justifiez chaque décision d’implémentation ou d’exclusion. Elle prolonge le modèle de menaces de notre article sur la défense contre l’injection de prompts, qui est lui-même une histoire A.8.16 (surveillance) et A.8.24 (cryptographie) déguisée.

Pourquoi la restructuration de 2022 compte

L’édition 2013 listait les contrôles dans 14 domaines. Le lecteur devait sauter entre « Cryptographie », « Contrôle d’accès » et « Sécurité des opérations » pour assembler une image cohérente de, par exemple, la protection d’une main-d’œuvre à distance. L’édition 2022 remplace ces domaines par quatre thèmes qui reflètent le fonctionnement réel des contrôles : organisationnel (ce que votre entreprise décide et documente), humain (ce que votre personnel fait), physique (où se trouvent vos actifs) et technologique (ce que vos systèmes imposent).

La norme ISO/IEC 27001:2022, Annexe A, indique que ses contrôles sont « directement dérivés et alignés avec ceux listés dans ISO/IEC 27002:2022, articles 5 à 8 ». Ces quatre articles sont les quatre thèmes. L’article 6.1.3 de la norme exige que vous compariez les résultats de votre traitement des risques à l’Annexe A « pour s’assurer qu’aucun contrôle de sécurité de l’information nécessaire n’est négligé » — l’Annexe A est le contrôle de complétude, pas la prescription.

Les quatre thèmes en un coup d’œil

Trente-sept contrôles organisationnels, c’est le plus gros panier, et pour une bonne raison : la plupart des défaillances de sécurité dans une PME sont des défaillances de processus, pas de technologie. Une politique manquante, un accord fournisseur non signé ou un plan d’incident non testé vous coûte bien plus qu’un outil manquant.

Contrôles organisationnels (A.5.1–A.5.37)

Ce sont les décisions que la direction possède. Les contrôles qui pèsent le plus sur une petite équipe :

• A.5.1 Politiques de sécurité de l’information — Vous avez besoin d’une politique de haut niveau, approuvée par la direction, revue à intervalles planifiés. Pour une PME, ce peut être un document de cinq pages, mais il doit exister et être accusé réception par le personnel.
• A.5.9 Inventaire des informations et autres actifs associés — Vous ne pouvez pas protéger ce que vous n’avez pas listé. Un simple tableur d’actifs (ordinateur portable, locataire SaaS, base de données clients) avec un propriétaire chacun est la fondation sur laquelle tous les autres contrôles s’appuient.
• A.5.15 Contrôle d’accès — La règle selon laquelle l’accès logique et physique est accordé selon le besoin opérationnel. Ce contrôle unique pilote A.5.16 (identité), A.5.17 (informations d’authentification) et A.5.18 (revue des droits d’accès).
• A.5.23 Sécurité de l’information pour l’utilisation des services cloud — L’acquisition, l’utilisation, la gestion et la sortie des services cloud doivent suivre un processus défini. Si votre PME tourne sur une pile SaaS, c’est là qu’est possédé votre risque cloud.
• A.5.24–A.5.30 Gestion des incidents et continuité — A.5.24 (planification), A.5.25 (appréciation des événements), A.5.26 (réponse), A.5.27 (apprentissage), A.5.29 (sécurité pendant perturbation) et A.5.30 (disponibilité TIC pour la continuité d’activité). Ensemble, ils forment votre cycle de vie des incidents.

L’article cluster sur les 5 erreurs de configuration cloud les plus fréquentes en PME est effectivement une analyse A.5.23 et A.8.x — lisez-le après celui-ci pour les modes de défaillance cloud concrets.

Contrôles humains (A.6.1–A.6.8)

Seulement huit contrôles, et ce sont les plus souvent baclés. Deux comptent immédiatement :

• A.6.3 Sensibilisation, éducation et formation à la sécurité de l’information — Le personnel doit recevoir une formation « pertinente pour sa fonction ». Pour une PME, une session d’intégration de 30 minutes plus un exercice de phishing annuel y satisfait ; ce qui fait échouer les audits, c’est de n’en avoir aucune trace.
• A.6.7 Travail à distance — Mesures de sécurité pour le travail hors des locaux. Associez-le à A.8.1 (appareils utilisateurs) et A.8.24 (cryptographie pour le VPN/chiffrement de l’appareil) et votre risque de télétravail est largement couvert.

A.6.8 (signalement d’événements) est la contrepartie humaine de A.8.16 (surveillance) — le personnel a besoin d’un canal pour signaler une activité suspectée, et ce canal doit être documenté.

Contrôles physiques (A.7.1–A.7.14)

Quatorze contrôles couvrant les locaux, les équipements et les supports. Pour une PME sans datacenter, la plupart sont légers :

• A.7.1 Périmètres de sécurité physique et A.7.2 Entrée physique — Une porte verrouillée et un registre de qui entre dans la salle où se trouvent le serveur ou le disque de sauvegarde.
• A.7.7 Bureau propre et écran verrouillé — Verrouillez l’écran quand vous vous éloignez ; rangez le papier contenant des données clients dans un tiroir. Trivial à dire, facile à rater en pratique.
• A.7.10 Supports de stockage — Gérez les clés USB et disques externes de l’acquisition à la destruction en passant par l’utilisation et le transport. Le contrôle que la plupart des PME enfreignent en distribuant des clés USB non chiffrées lors d’activités externes.

Contrôles technologiques (A.8.1–A.8.34)

Trente-quatre contrôles — la plus grande surface technique, et là où les équipes IT commencent instinctivement. Résistez à commencer ici ; commencez plutôt par A.5.9 (inventaire) et A.5.15 (contrôle d’accès). Les contrôles technologiques à fort effet de levier :

• A.8.2 Droits d’accès privilégiés — Restreindre et gérer les comptes admin. Un mot de passe root/admin partagé est une non-conformité ; des comptes admin nommés avec journalisation sont conformes.
• A.8.7 Protection contre les maliciels — Protection des terminaux, appuyée par la sensibilisation des utilisateurs.
• A.8.9 Gestion de configuration — Configurations de sécurité documentées et revues pour le matériel, les logiciels, les services et les réseaux. Les CIS Benchmarks s’y cartographient proprement.
• A.8.13 Sauvegarde de l’information — Copies de sauvegarde maintenues et régulièrement testées. « Testées » est le mot opératoire ; une sauvegarde non testée est un vœu.
• A.8.15 Journalisation et A.8.16 Surveillance des activités — Les journaux doivent être produits, stockés, protégés et analysés (A.8.15) ; les réseaux, systèmes et applications doivent être surveillés pour détecter un comportement anormal (A.8.16). Ces deux contrôles sont la fondation de la détection et des défenses contre l’injection de prompts décrites dans notre article cluster précédent.
• A.8.24 Utilisation de la cryptographie — Règles définies incluant la gestion des clés. Si vous chiffrez les portables mais pas le disque de sauvegarde, votre récit cryptographique a un trou.

La Déclaration d’Applicabilité est le livrable

Vous n’implémentez pas les 93 contrôles. L’article 6.1.3 d) exige une Déclaration d’Applicabilité (DA) qui liste, pour chaque contrôle de l’Annexe A, s’il est applicable, votre justification si vous l’avez exclu, et le statut de son implémentation. Les auditeurs lisent la DA avant toute chose — c’est votre argument que vous avez considéré chaque contrôle et fait un choix défendable.

Pour une PME, une DA bien construite applique typiquement 40 à 55 des 93 contrôles et exclut les autres avec une rationale d’une ligne (« Non applicable : pas de développement logiciel interne » pour A.8.25–A.8.31, ou « Acceptation du risque : site physique de faible valeur » pour A.7.4 surveillance continue). Les exclusions ne sont pas une faiblesse — l’exclusion documentée et justifiée est exactement ce que la norme demande. Nous couvrons la construction de la DA dans notre article modèle.

Comment une PME devrait séquencer l’Annexe A

1. L’inventaire d’abord (A.5.9) — listez les actifs et leurs propriétaires. Tout se réfère à cela.
2. Les politiques ensuite (A.5.1, A.5.2) — une courte politique de haut niveau et des rôles définis.
3. Le contrôle d’accès troisième (A.5.15–A.5.18, A.8.2) — comptes nommés, moindre privilège, revue périodique.
4. La détection quatrième (A.8.15, A.8.16) — journalisation et surveillance sur les actifs qui comptent.
5. La résilience cinquième (A.8.13, A.5.24–A.5.30) — sauvegardes testées et plan d’incident écrit.

Cette séquence — inventaire, politique, accès, détection, résilience — couvre une quinzaine de contrôles et vous donne 70 % de la valeur d’audit pour 30 % de l’effort. Les contrôles restants se remplissent au gré des exigences de votre analyse de risque.

Que faire ensuite

L’Annexe A cesse d’être intimidante dès que vous la traitez comme un catalogue de décisions plutôt qu’une liste de tâches. Construisez l’inventaire, rédigez la courte politique, dressez la DA, et laissez votre analyse de risque — pas les 93 entrées — piloter ce que vous implémentez ensuite. Si vous voulez un second avis sur les contrôles qui s’appliquent à votre environnement et où se trouvent les écarts avant un audit, réservez une session de préparation de 30 minutes.

Vous voulez structurer une mise en œuvre ISO 27001:2022 ? Réservez 30 min pour une évaluation de préparation ISO 27001 — nous cartographions vos contrôles face à l’Annexe A et identifions les écarts avant l’audit. Bilingue FR/EN, sans engagement. → /iso-27001-assessment/