Qu'est-ce que ISO 27001 ?
ISO/IEC 27001:2022 est la norme de référence mondiale pour gérer la sécurité de l'information. Elle définit les exigences d'un Système de Management de la Sécurité de l'Information (SMSI) — le cadre de gouvernance, de risque et de contrôle qui protège la confidentialité, l'intégrité et la disponibilité de l'information.
La révision 2022 réorganise l'Annexe A en 93 mesures réparties en quatre thèmes — organisationnel, humain, physique et technologique — et introduit des attributs qui facilitent la cartographie vers d'autres référentiels comme NIS2, DORA et les référentiels nationaux.
L'Annexe A en bref : 93 mesures, 4 thèmes
A.5 — Organisationnel (37)
A.6 — Humain (8)
A.7 — Physique (14)
A.8 — Technologique (34)
Liste des 93 mesures de l'Annexe A (ISO 27001:2022)
Les intitulés des 93 mesures, par thème. Les mesures marquées « nouvelle » n'existaient pas dans la version 2013. Le texte normatif de chaque mesure figure dans la norme ISO/IEC 27001, et les recommandations de mise en œuvre dans ISO/IEC 27002.
A.5 — Contrôles organisationnels (37)
- A.5.1Politiques de sécurité de l'information
- A.5.2Rôles et responsabilités en sécurité de l'information
- A.5.3Séparation des tâches
- A.5.4Responsabilités de la direction
- A.5.5Relations avec les autorités
- A.5.6Relations avec des groupes de travail spécialisés
- A.5.7Renseignement sur les menacesnouvelle
- A.5.8Sécurité de l'information dans la gestion de projet
- A.5.9Inventaire des informations et autres actifs associés
- A.5.10Utilisation acceptable des informations et autres actifs
- A.5.11Restitution des actifs
- A.5.12Classification des informations
- A.5.13Marquage des informations
- A.5.14Transfert des informations
- A.5.15Contrôle d'accès
- A.5.16Gestion des identités
- A.5.17Informations d'authentification
- A.5.18Droits d'accès
- A.5.19Sécurité de l'information dans les relations fournisseurs
- A.5.20Prise en compte de la sécurité dans les accords fournisseurs
- A.5.21Gestion de la sécurité dans la chaîne d'approvisionnement TIC
- A.5.22Surveillance et gestion des changements des services fournisseurs
- A.5.23Sécurité de l'information pour les services cloudnouvelle
- A.5.24Planification et préparation de la gestion des incidents
- A.5.25Évaluation et décision sur les événements de sécurité
- A.5.26Réponse aux incidents de sécurité
- A.5.27Apprentissage des incidents de sécurité
- A.5.28Collecte de preuves
- A.5.29Sécurité de l'information pendant les perturbations
- A.5.30Préparation TIC pour la continuité d'activiténouvelle
- A.5.31Exigences légales, réglementaires et contractuelles
- A.5.32Droits de propriété intellectuelle
- A.5.33Protection des enregistrements
- A.5.34Protection des données à caractère personnel
- A.5.35Revue indépendante de la sécurité de l'information
- A.5.36Conformité aux politiques et normes de sécurité
- A.5.37Procédures d'exploitation documentées
A.6 — Contrôles relatifs aux personnes (8)
- A.6.1Sélection des candidats
- A.6.2Termes et conditions d'emploi
- A.6.3Sensibilisation et formation à la sécurité
- A.6.4Processus disciplinaire
- A.6.5Responsabilités après la fin ou le changement d'emploi
- A.6.6Accords de confidentialité
- A.6.7Télétravail
- A.6.8Signalement des événements de sécurité
A.7 — Contrôles physiques (14)
- A.7.1Périmètres de sécurité physique
- A.7.2Accès physique
- A.7.3Sécurisation des bureaux et locaux
- A.7.4Surveillance de la sécurité physiquenouvelle
- A.7.5Protection contre les menaces physiques et environnementales
- A.7.6Travail dans les zones sécurisées
- A.7.7Bureau propre et écran verrouillé
- A.7.8Emplacement et protection du matériel
- A.7.9Sécurité des actifs hors site
- A.7.10Supports de stockage
- A.7.11Services généraux
- A.7.12Sécurité du câblage
- A.7.13Maintenance du matériel
- A.7.14Mise au rebut ou réutilisation sécurisée du matériel
A.8 — Contrôles technologiques (34)
- A.8.1Appareils utilisateurs
- A.8.2Droits d'accès à privilèges
- A.8.3Restriction d'accès à l'information
- A.8.4Accès au code source
- A.8.5Authentification sécurisée
- A.8.6Gestion de la capacité
- A.8.7Protection contre les logiciels malveillants
- A.8.8Gestion des vulnérabilités techniques
- A.8.9Gestion de la configurationnouvelle
- A.8.10Suppression des informationsnouvelle
- A.8.11Masquage des donnéesnouvelle
- A.8.12Prévention des fuites de donnéesnouvelle
- A.8.13Sauvegarde des informations
- A.8.14Redondance des installations de traitement
- A.8.15Journalisation
- A.8.16Activités de surveillancenouvelle
- A.8.17Synchronisation des horloges
- A.8.18Utilisation de programmes utilitaires à privilèges
- A.8.19Installation de logiciels sur les systèmes opérationnels
- A.8.20Sécurité des réseaux
- A.8.21Sécurité des services réseau
- A.8.22Cloisonnement des réseaux
- A.8.23Filtrage webnouvelle
- A.8.24Utilisation de la cryptographie
- A.8.25Cycle de développement sécurisé
- A.8.26Exigences de sécurité des applications
- A.8.27Principes d'architecture et d'ingénierie système sécurisés
- A.8.28Codage sécurisénouvelle
- A.8.29Tests de sécurité en développement et recette
- A.8.30Développement externalisé
- A.8.31Séparation des environnements de développement, test et production
- A.8.32Gestion des changements
- A.8.33Données de test
- A.8.34Protection des systèmes pendant les tests d'audit
Les 11 nouvelles mesures de la version 2022
A.5.7Renseignement sur les menaces
Collecter et analyser l'information sur les menaces pour que les mesures suivent la menace réelle.
A.5.23Sécurité de l'information pour les services cloud
Définir comment les services cloud sont acquis, utilisés, gérés et quittés.
A.5.30Préparation TIC pour la continuité d'activité
Planifier, mettre en œuvre et tester la continuité TIC au regard des objectifs de continuité (RTO, RPO).
A.7.4Surveillance de la sécurité physique
Surveiller les locaux en continu contre les accès physiques non autorisés.
A.8.9Gestion de la configuration
Définir, documenter et surveiller les configurations sécurisées du matériel, des logiciels, services et réseaux.
A.8.10Suppression des informations
Supprimer l'information qui n'est plus nécessaire, sur les systèmes, appareils et supports.
A.8.11Masquage des données
Masquer les données — pseudonymiser ou anonymiser — selon la politique de contrôle d'accès.
A.8.12Prévention des fuites de données
Appliquer la prévention des fuites aux systèmes, réseaux et postes qui détiennent des informations sensibles.
A.8.16Activités de surveillance
Surveiller réseaux, systèmes et applications pour détecter les comportements anormaux et y réagir.
A.8.23Filtrage web
Gérer l'accès aux sites web externes pour réduire l'exposition aux contenus malveillants.
A.8.28Codage sécurisé
Appliquer des principes de codage sécurisé au développement logiciel.
A.5.30 relie directement le SMSI à la continuité d'activité : les objectifs de reprise viennent du RTO et du RPO fixés par le BIA. C'est le cœur de ResiPlan, logiciel de continuité d'activité.
ISO 27001:2013 → 2022 : où sont passées les mesures A.5 à A.18 ?
La version 2013 comptait 114 mesures en 14 domaines (A.5 à A.18). La version 2022 les regroupe en 93 mesures et 4 thèmes. Les certificats selon la version 2013 ne sont plus valides depuis le 31 octobre 2025. Le tableau indique, pour chaque ancien domaine, les mesures 2022 qui reprennent son contenu.
| Domaine 2013 | Mesures 2013 | Mesures 2022 |
|---|---|---|
| A.5Politiques de sécurité de l'information | 2 | A.5.1 |
| A.6Organisation de la sécurité de l'information | 7 | A.5.2, A.5.3, A.5.5, A.5.6, A.5.8, A.6.7, A.8.1 |
| A.7Sécurité des ressources humaines | 6 | A.5.4, A.6.1, A.6.2, A.6.3, A.6.4, A.6.5 |
| A.8Gestion des actifs | 10 | A.5.9, A.5.10, A.5.11, A.5.12, A.5.13, A.7.10 |
| A.9Contrôle d'accès | 14 | A.5.15, A.5.16, A.5.17, A.5.18, A.8.2, A.8.3, A.8.4, A.8.5, A.8.18 |
| A.10Cryptographie | 2 | A.8.24 |
| A.11Sécurité physique et environnementale | 15 | A.7.1, A.7.2, A.7.3, A.7.5, A.7.6, A.7.7, A.7.8, A.7.9, A.7.10, A.7.11, A.7.12, A.7.13, A.7.14, A.8.1 |
| A.12Sécurité liée à l'exploitation | 14 | A.5.37, A.8.6, A.8.7, A.8.8, A.8.13, A.8.15, A.8.17, A.8.19, A.8.31, A.8.32, A.8.34 |
| A.13Sécurité des communications | 7 | A.5.14, A.6.6, A.8.20, A.8.21, A.8.22 |
| A.14Acquisition, développement et maintenance des systèmes | 13 | A.5.8, A.8.25, A.8.26, A.8.27, A.8.29, A.8.30, A.8.31, A.8.32, A.8.33 |
| A.15Relations avec les fournisseurs | 5 | A.5.19, A.5.20, A.5.21, A.5.22 |
| A.16Gestion des incidents de sécurité de l'information | 7 | A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8 |
| A.17Sécurité de l'information dans la continuité d'activité | 4 | A.5.29, A.8.14 |
| A.18Conformité | 8 | A.5.31, A.5.32, A.5.33, A.5.34, A.5.35, A.5.36 |
ISO 27001 avec ResiPlan
ResiPlan embarque le catalogue complet de l'Annexe A ISO 27001:2022. Lancez une analyse d'écart de maturité (0–4) mesure par mesure, attachez vos preuves, et votre déclaration d'applicabilité et votre score de conformité se construisent automatiquement.
Grâce aux tables de correspondance, une cotation ISO 27001 se reporte sur NIS2, CyFun, CYRA et BIO là où la correspondance est exacte. DORA et les autres référentiels nationaux s'évaluent séparément.
Questions fréquentes
Qu'est-ce que l'Annexe A de l'ISO 27001 ?
L'Annexe A est la liste de référence des mesures de sécurité de l'information de l'ISO/IEC 27001. La version 2022 compte 93 mesures en quatre thèmes. Une organisation n'est pas tenue de toutes les appliquer : elle les choisit lors du traitement du risque et consigne chaque décision, justifiée, dans la déclaration d'applicabilité.
Combien de mesures comporte l'ISO 27001:2022 ?
93 mesures dans l'Annexe A, en quatre thèmes : 37 organisationnelles (A.5), 8 humaines (A.6), 14 physiques (A.7) et 34 technologiques (A.8).
Qu'est-ce que la déclaration d'applicabilité (SoA) ?
La SoA recense les mesures de l'Annexe A applicables, leur statut et la justification de toute exclusion. ResiPlan la génère à partir de votre évaluation.
ISO 27001 aide-t-elle pour NIS2 et DORA ?
Oui. Les mesures ISO 27001 se cartographient sur les exigences NIS2 et le risque TIC de DORA. Dans ResiPlan, une évaluation ISO pré-remplit les contrôles NIS2 et CYRA équivalents via le report croisé.
Quelles sont les nouvelles mesures de l'ISO 27001:2022 ?
Onze : A.5.7 Renseignement sur les menaces, A.5.23 Sécurité des services cloud, A.5.30 Préparation TIC pour la continuité d'activité, A.7.4 Surveillance de la sécurité physique, A.8.9 Gestion de la configuration, A.8.10 Suppression des informations, A.8.11 Masquage des données, A.8.12 Prévention des fuites de données, A.8.16 Activités de surveillance, A.8.23 Filtrage web et A.8.28 Codage sécurisé.
Où sont passées les mesures A.12, A.14 et A.18 dans la version 2022 ?
Les domaines de 2013 n'existent plus. La sécurité de l'exploitation (A.12) se retrouve surtout en A.8 (8.6–8.8, 8.13, 8.15, 8.17, 8.19, 8.31, 8.32, 8.34) et en A.5.37 ; le développement (A.14) en A.8.25–8.33 et A.5.8 ; la conformité (A.18) en A.5.31–5.36. Le tableau de cette page couvre les 14 anciens domaines.
Combien de temps pour la certification ISO 27001 ?
En général 6 à 12 mois pour bâtir et faire vivre le SMSI avant l'audit Stage 1/Stage 2. Une analyse d'écart en amont indique précisément votre point de départ.