Pour les prestataires informatiques, un système de management de la sécurité de l’information (SMSI) certifié selon ISO 27001 est aujourd’hui plus important que jamais. Son introduction comporte des défis, mais ouvre aussi de nouvelles opportunités – pour davantage de structure, de sécurité et de confiance. Dans cet article, nous revenons sur notre propre parcours et partageons ouvertement ce que nous ferions différemment aujourd’hui.
Chez Netstream, l’introduction de notre système de management de la sécurité de l’information (SMSI) en 2022 a plutôt été menée au pas de charge. Nous avons néanmoins réussi à mettre en place le SMSI en un peu moins de trois mois. Après notre premier audit de recertification – qui a lieu tous les trois ans – nous faisons le bilan et nous demandons : referions-nous la même chose aujourd’hui ? Pas tout à fait.
Nos attentes initiales étaient tout sauf optimistes. Lorsque nous avons envisagé pour la première fois une certification ISO 27001, nous tablions sur des coûts à six chiffres – et sur une durée de projet d’un à deux ans. Pas étonnant que le sujet ait d’abord été remis au placard.
Face à la demande croissante du marché et aux exigences grandissantes en matière de sécurité de l’information, nous avons finalement décidé de nous attaquer au sujet de manière proactive. Notre objectif était clair : mettre en œuvre la certification ISO 27001 de manière efficace et durable – et d’une façon adaptée à notre statut de PME.
Les étapes de la mise en place de notre SMSI : mise en œuvre et enseignements
1. Estimer le budget de manière réaliste
Pour être honnêtes, nous n’avions au départ aucune idée précise des coûts qu’entraînerait réellement l’introduction d’un SMSI. Les estimations antérieures nous semblaient clairement trop élevées. Nous avons donc opté pour une approche pragmatique : au lieu de travailler avec un cadre budgétaire fixe, nous nous sommes demandé ce que valait fondamentalement pour nous le passage à la certification ISO 27001 – et avons constamment remis en question cette valeur de référence.
Pour beaucoup, lancer un projet sans budget fixe peut sembler dissuasif. Mais avec une petite équipe et des circuits de décision courts, ce cadre flexible nous a justement aidés à investir de manière ciblée – sans perdre le contrôle.
2. Accepter de l’aide
Pour nous, c’était clair dès le départ : sans soutien professionnel, ce serait difficile. Nous avons donc cherché un partenaire de conseil qui comprenne notre situation et nous aide à construire un SMSI qui nous corresponde – pragmatique, efficace et applicable au quotidien.
3. Un SMSI aux bonnes dimensions
Nous ne voulions pas créer un système convaincant sur le papier, mais difficilement applicable dans la pratique. C’est pourquoi nous avons veillé dès le début à ce que notre SMSI reste pragmatique – sans renoncer à l’ambition de satisfaire sérieusement et de manière traçable aux exigences d’ISO 27001.
4. Impliquer l’équipe – pas seulement l’informer
Ne commettez pas l’erreur de simplement imposer la décision d’introduire un SMSI par-dessus la clôture. Ce sont en fin de compte les collaboratrices et collaborateurs qui doivent faire vivre le système.
C’est pourquoi il était important pour nous d’impliquer très tôt les personnes clés au lieu de simplement les informer. Nous avons parlé ouvertement des craintes et des réserves, mais avons aussi recueilli les idées de l’équipe et les avons intégrées à la mise en œuvre.
5. Clarifier tôt les outils et la structure
Notre première version du SMSI était éparpillée dans une multitude d’outils et de plateformes : Word, Excel, Confluence et d’innombrables dossiers.
Un logiciel spécialisé n’est certes pas indispensable, mais il peut être d’une aide considérable, notamment pour la gestion des risques ou des directives.
Aujourd’hui, nous misons sur une solution SMSI centrale, que nous complétons de manière ciblée avec des outils comme Confluence et Jira – parce qu’ils ont fait leurs preuves dans notre quotidien. Ce qui aide aussi : une ligne directrice claire et simple indiquant aux collaborateurs où trouver quels contenus.
6. Définir le périmètre de manière réfléchie
Qu’est-ce qui fait réellement partie de notre SMSI ? Au début, à vrai dire, nous n’avions pas de réponse claire.
Aujourd’hui, nous le savons : un périmètre bien délimité simplifie non seulement la documentation, mais aussi l’ensemble du processus de certification. À l’époque, nous avons avancé à tâtons, étape par étape.
7. Bien recenser les risques – sans s’y noyer
Notre première analyse des risques était un monstre Excel confus qui nous donnait régulièrement des maux de tête. Souvent, nous ne savions plus nous-mêmes ce que nous étions en train d’évaluer.
Il est rapidement apparu que nous avions besoin d’une solution pour recenser les risques de manière structurée et traçable – tout en gardant la vue d’ensemble nécessaire.
Abandonner Excel a demandé plus d’efforts que prévu, mais cela en valait la peine. Aujourd’hui, nous travaillons avec un outil SaaS spécialisé qui nous aide tant pour l’évaluation que pour le suivi des risques.
8. Élaborer des directives applicables au quotidien
Une directive s’écrit vite, mais elle n’est pas pour autant automatiquement utile.
Nous avons compris tôt qu’il est essentiel de se demander pour chaque policy : est-elle vraiment pertinente ? Est-elle compréhensible ? Et surtout : pouvons-nous l’appliquer au quotidien ?
Le risque de se disperser est grand et de créer au final un système formellement correct, mais que personne ne fait vraiment vivre. Notre objectif a donc toujours été : autant que nécessaire, aussi peu que possible.
9. Documenter, documenter, documenter
Un aspect central, mais aussi fastidieux du SMSI. Si la documentation n’est pas prise en compte dès le départ, on le paie plus tard. Au bout du compte, les auditeurs veulent voir des preuves.
ISO 27001 ne prescrit pas la manière de documenter – et c’est précisément là que réside l’opportunité. Nous avons choisi une voie adaptée à notre façon de travailler : aujourd’hui, nous misons sur Jira, complété par Confluence, et documentons directement là où nous travaillons de toute façon. Cela fait gagner du temps et offre une vue d’ensemble.
10. Tout le monde n’a pas besoin de connaître la Cryptographic Policy
L’une des plus grandes illusions lors de l’introduction d’un SMSI : croire que tout le monde doit désormais tout savoir. Ce n’est pas le cas. Au lieu de distribuer des recueils entiers de directives, nous nous sommes demandé de manière ciblée : qui a besoin de quel savoir ? Une information bien placée apporte davantage que 40 pages de policy que personne ne lit.
11. Un audit sans panique ? La préparation aide.
Lors de notre premier audit début 2022, tout s’est cumulé : pandémie, audit en ligne et la moitié de l’équipe malade. L’audit s’est déroulé par appel vidéo – avec partage d’écran, questions spontanées et l’attente que tous les documents soient trouvés du premier coup. Nous avions certes tout classé quelque part, mais la recherche de certaines preuves sur le moment a été… disons : un défi.
Aujourd’hui, nous savons ce qui aide : rassembler à l’avance toutes les preuves, policies, rapports et liens pertinents – idéalement classés par chapitre de la norme. Ainsi, le pouls reste bas, même quand la caméra tourne.
12. Après la certification, c’est avant la certification
Une fois le certificat en main, on pourrait penser : c’est fait. Mais à vrai dire, c’est là que le travail commence vraiment.
Depuis notre première certification, nous avons complètement chamboulé notre SMSI plus d’une fois – repensé, réorganisé, reconstruit. Pas pour le plaisir, mais parce que nous avons compris qu’un SMSI doit s’adapter à l’entreprise, et non l’inverse.
Aujourd’hui, nous voyons les choses plus sereinement : le SMSI n’est pas un projet achevé, mais une partie vivante de notre exploitation. Et si on s’y prend bien, une partie même plutôt utile.
Conclusion
Nos débuts dans le monde de la sécurité de l’information ont été plutôt chaotiques – avec beaucoup de questions, quelques détours et des décisions spontanées.
Aujourd’hui, trois ans plus tard, nous disposons d’un SMSI qui nous correspond : applicable, efficace et en constante évolution.
Ce que nous avons appris ? Que la perfection ne devrait pas être l’objectif. Un SMSI peut grandir, s’adapter et même être repensé de temps à autre – l’essentiel est qu’il reste applicable dans la pratique.
Et oui : l’investissement en valait la peine. Pas seulement parce que nous sommes désormais certifiés, mais parce que nous comprenons mieux les risques, avons structuré plus clairement nos processus – et que la confiance de nos clients et partenaires s’est renforcée.
À toutes celles et ceux qui se trouvent face à cette décision : commencez de manière pragmatique, restez flexibles – et considérez le SMSI non pas comme un exercice obligé, mais comme une chance de mieux positionner l’entreprise.
