Accueil / Standard volontaire
Standard volontaire
Mapping ISO 27001
ISO 27001 peut faciliter la cartographie, mais une certification ne répond pas seule à chaque engagement client.
Effet de cette exigence
Cette règle ne se lit pas seule.
- Transferts
- Relation bilatérale
- Sources pays revues le
Hypothèses, limites et sources de cette lecture
Point de lecture
Le certificat est une pièce, pas le dossier entier
Sa portée et ses limites restent visibles face à l’exigence exacte du client.
- Relier exigence client et contrôles pertinents
- Conserver le périmètre exact du certificat
- Identifier les exceptions techniques
- Ne pas transformer un mapping en attestation
Matrice de correspondance
Utiliser ISO 27001 comme structure sans confondre contrôle, certificat et engagement client.
Exigence du client
La phrase et son périmètre restent la référence.
Contrôle ISO pertinent
La correspondance aide à organiser la recherche, pas à conclure seule.
Périmètre certifié
Entités, sites, services et exclusions du certificat sont vérifiés.
Preuve complémentaire
Les éléments propres au client comblent ce que le certificat ne démontre pas.
Chemin de décision
Utiliser ISO 27001 sans sur-promettre
Le mapping organise la recherche de soutien ; il ne transforme ni un contrôle voisin ni un certificat limité en réponse universelle au client.
01Phrase du client
Conserver l’exigence dans sa rédaction exacte, son contexte contractuel et le périmètre de service auquel elle s’applique.
02Correspondance argumentée
Expliquer pourquoi un contrôle du système de management contribue à la réponse et quels éléments opérationnels restent à examiner.
03Portée du certificat
Vérifier entités, sites, activités, exclusions, version du standard et validité avant de citer la certification.
04Preuve complémentaire
Ajouter configurations, échantillons, journaux ou décisions propres au service lorsque le certificat ne démontre pas l’affirmation attendue.
Utiliser le référentiel avec précision
Ce que le mapping permet, ce qu’il faut encore établir et les raccourcis à éviter.
Questions à traiter
- « Êtes-vous certifiés ISO 27001 ? » — et sinon, pourquoi
- Le périmètre exact du certificat quand il existe
- La correspondance entre leurs exigences et vos contrôles
- Ce que la certification ne couvre pas chez vous
Éléments qui étayent la réponse
- Certificat et déclaration d’applicabilité à jour
- Périmètre écrit noir sur blanc (entités, sites, services)
- Table de correspondance exigence client → contrôle
- Preuves d’exécution des contrôles clés, pas seulement leur description
Confusions à éviter
- Présenter le certificat comme réponse universelle au questionnaire
- Laisser croire que le périmètre couvre des services qu’il exclut
- Se certifier pour un marché qui demandait en réalité des preuves opérationnelles
- Négliger que certains clients exigent les deux : certificat et preuves
Dossier d’assurance, AU-041Exemple de démonstration
Périmètre annoncéGestion des départs et comptes à privilègesConstat
Procédure déclaréeDésactivation sous 24 h, validée par la sécuritéConstat
Répétition d’entretien« On envoie un mail à l’admin quand on y pense »Constat
Divergence observéeLa pratique contredit la procédure qui sera montréeÉcart
ImpactConstat quasi certain le jour de l’auditÉcart
ActionRétablir le flux RH→IT et briefer les interviewés sur le réelDécision
Lecture des couleursConstat factuelÉcart ou risqueDécision ou action
Démonstration
Utiliser le certificat sans lui faire démontrer davantage que sa portée.
Le cas part de la phrase du client, vérifie la correspondance au contrôle et ajoute la preuve propre au service lorsque le certificat reste trop général.
Comprendre la qualification d’une preuve →Appliquer cette lecture
Rapprocher le périmètre certifié de l’exigence exacte du client.
La demande exacte du client et le certificat avec son périmètre permettent d’identifier ce qui est déjà soutenu et la preuve complémentaire à réunir.