Ressource gratuite · ISO/IEC 27001:2022
Checklist des documents obligatoires ISO 27001
L'ISO 27001:2022 exige des informations documentées précises, et les auditeurs attendent en pratique quelques politiques de plus. Cette liste distingue les deux : vous rédigez ce qui est requis et laissez le reste. Téléchargez le CSV pour suivre l'avancement.
Documents exigés par la norme
- Périmètre du SMSI (clause 4.3)
- Politique de sécurité de l'information (5.2)
- Processus et critères d'appréciation des risques (6.1.2)
- Processus de traitement des risques (6.1.3)
- Déclaration d'applicabilité (6.1.3 d)
- Objectifs de sécurité de l'information et plans pour les atteindre (6.2)
Enregistrements exigés par la norme
- Preuves de compétence des personnes assurant des tâches de sécurité (7.2)
- Résultats de l'appréciation des risques de sécurité (8.2)
- Résultats du traitement des risques, dont le plan de traitement et l'acceptation du risque résiduel (6.1.3 e, f ; 8.3)
- Preuves des résultats de surveillance et de mesure (9.1)
- Programme d'audit interne et résultats d'audit (9.2)
- Résultats des revues de direction (9.3)
- Nature des non-conformités, actions entreprises et résultats des actions correctives (10.2)
Politiques et enregistrements généralement attendus
- Politique de contrôle d'accès
- Charte d'utilisation acceptable
- Politique de cryptographie et de gestion des clés
- Politique de sauvegarde et preuves de tests de restauration
- Plan de réponse aux incidents et journal des incidents
- Politique de sécurité des fournisseurs et tiers, avec revues des fournisseurs
- Plan de continuité d'activité et des TIC, avec résultats de tests
- Politique de développement sécurisé et de gestion des changements
- Inventaire des actifs et schéma de classification de l'information
- Politique de télétravail et d'appareils mobiles
Hygiène documentaire
- Chaque document a un propriétaire, une version, une date et une approbation
- Les documents sont revus selon un calendrier et après tout changement important
- L'accès aux documents est maîtrisé et la version en vigueur est facile à trouver
- Les versions obsolètes ne sont conservées que pour une raison et marquées comme remplacées
D'après l'ISO/CEI 27001:2022. Les références de clause indiquent où la norme exige des informations documentées ; le troisième groupe relève de la pratique d'audit courante, pas d'une exigence formelle. Voir iso.org.
FAQ sur les documents ISO 27001
- Combien de documents l'ISO 27001 exige-t-elle ?
- La norme nomme environ 6 documents (périmètre, politique, processus d'appréciation et de traitement des risques, DdA, objectifs) et environ 7 types d'enregistrements. L'Annexe A ajoute des politiques et procédures selon les mesures applicables.
- Faut-il une politique distincte pour chaque mesure de l'Annexe A ?
- Non. Rédigez les politiques que vos risques et la DdA appellent, et restez concis. Une politique pour une pratique inexistante, ou une règle que personne ne suit, est un risque en audit.
- Quelle différence entre document et enregistrement ?
- Un document dit ce qui doit se passer (politique, procédure). Un enregistrement prouve ce qui s'est passé (rapport d'audit, revue des accès, registre de formation). Les auditeurs testent les deux.
- La révision 2022 a-t-elle changé les documents requis ?
- Les informations documentées requises sont pour l'essentiel identiques à 2013. Le principal changement est la nouvelle structure de l'Annexe A, que votre Déclaration d'applicabilité doit suivre.
Rédigez moins, prouvez plus
CATAAM génère la DdA et conserve des preuves maîtrisées pour vos politiques et enregistrements : vos documents restent à jour sans projet de gestion documentaire.