Préparez votre audit ISO 27001 avec l’Annexe A et les preuves sous les yeux.
Pour qui met en place ou fait vivre un SMSI : HodeiShield évalue les 93 mesures de l’Annexe A (édition 2022), réunit les preuves de chacune et vous indique ce qui manque avant l’audit de certification.
- Le SMSI de Hodeitek est certifié ISO/IEC 27001:2023 (n° 34/5700/26/10159) ; son périmètre inclut les systèmes qui soutiennent le SaaS HodeiShield. Ce n’est pas une certification de produit
- Données dans l’UE (OVH, Gravelines) ; Cloudflare (États-Unis) sur le chemin de la requête
Ce que demande ISO 27001, en bref
La norme fixe les exigences d’un système de management de la sécurité de l’information. L’Annexe A est un catalogue de référence de mesures, non une liste à satisfaire en entier.
Résumé informatif, pas de conseil. La certification dépend de votre périmètre, de vos décisions sur les risques et de l’appréciation de l’organisme de certification.
- Contexte, périmètre et leadership
- L’organisation détermine son contexte, ses parties intéressées et le périmètre du SMSI, et la direction fixe la politique et les rôles (articles 4 et 5).
- Apprécier et traiter les risques
- Les risques sont appréciés, leur traitement est choisi, les mesures nécessaires sont comparées à l’Annexe A et chaque inclusion ou exclusion est justifiée dans la Déclaration d’applicabilité (articles 6.1.2 et 6.1.3).
- Exploiter, mesurer et auditer
- Le SMSI fonctionne avec des informations documentées, sa performance est mesurée, et des audits internes et des revues de direction ont lieu (articles 7 à 9).
- S’améliorer en continu
- Les non-conformités sont corrigées et le système est amélioré en continu (article 10).
Les quatre thèmes de l’Annexe A et où intervient HodeiShield
L’Annexe A de l’édition 2022 regroupe 93 mesures en quatre thèmes. La plateforme les liste toutes sous forme de liste de contrôle, mais n’en travaille réellement qu’une partie.
A.5
Organisationnelles (37)
Fournisseurs, incidents, politiques et risques ont un module propre ; le reste se suit comme liste de contrôle avec vos preuves.
PartielA.6
Humaines (8)
La vérification des candidats, la sensibilisation et les accords de confidentialité se déroulent hors de la plateforme. Vous pouvez en consigner l’état et déposer la preuve.
Non couvertA.7
Physiques (14)
La sécurité des locaux et des équipements reste hors de la plateforme. Vous pouvez en consigner l’état et déposer la preuve.
Non couvertA.8
Technologiques (34)
CVE quotidiennes et alertes par composant à partir du SBOM ; l’agent endpoint apporte des vérifications comme preuve.
Partiel
De chaque exigence d’ISO 27001 à une capacité de HodeiShield
Avec la phase du cycle et la portée. Seulement ce que la plateforme soutient.
Direct : la plateforme le fait. Partiel : elle apporte des preuves ou une partie, le reste vous incombe. Non couvert : hors du périmètre de HodeiShield.
- Obligation:
Contexte de l’organisation, parties intéressées et périmètre du SMSI
Art. 4
Ce que fait HodeiShield:Hors de HodeiShield. Définir le périmètre et les parties intéressées relève de la direction.
PhaseHors du cyclePérimètreNon couvert - Obligation:
Apprécier les risques de sécurité de l’information
Art. 6.1.2
Ce que fait HodeiShield:Registre des risques avec matrice 5×5 inhérent et résiduel et appétence au risque déclarée. Pour les fournisseurs, ALE FAIR en euros avec une fourchette d’incertitude simulée (non calibrée). Les critères et la méthode d’appréciation sont à définir par vous.
Docs · Moteur de risque (s’ouvre dans un nouvel onglet)PhasePREDICTPérimètrePartiel - Obligation:
Traiter les risques et établir la Déclaration d’applicabilité
Art. 6.1.3
Ce que fait HodeiShield:Chaque risque porte son traitement et ses notes. Une mesure de l’Annexe A peut être marquée « non applicable », avec la raison dans les notes, et cesse de compter dans le score. HodeiShield ne génère pas la Déclaration d’applicabilité en tant que document.
Docs · Conformité (s’ouvre dans un nouvel onglet)PhaseHors du cyclePérimètrePartiel - Obligation:
Mettre en œuvre et suivre les mesures de l’Annexe A
Annexe A (93)
Ce que fait HodeiShield:Liste de contrôle des 93 mesures de l’édition 2022 : statut, responsable, échéance, notes et preuves par mesure. Le score correspond aux mesures mises en œuvre rapportées aux mesures applicables.
Démo · vue ISO 27001PhaseSENSEPérimètreDirect - Obligation:
Politiques et informations documentées
A.5.1 ; art. 7.5
Ce que fait HodeiShield:Preuves avec responsable, date de validité et statut, que vous déposez ou liez ; une preuve expirée cesse de compter. Une bibliothèque de politiques avec versions et historique de chaque modification. Le contenu des politiques vous appartient.
Docs · Conformité (s’ouvre dans un nouvel onglet)PhaseSENSEPérimètrePartiel - Obligation:
Sécurité dans les relations avec les fournisseurs et dans la chaîne d’approvisionnement TIC
A.5.19 à A.5.22
Ce que fait HodeiShield:Questionnaires par jeton avec relances, scan externe périodique, CVE quotidiennes et SBOM des fournisseurs. Les clauses du contrat et le suivi du service vous appartiennent.
Docs · Moteur de risque (s’ouvre dans un nouvel onglet)PhaseSENSEPREDICTPérimètrePartiel - Obligation:
Gestion des incidents de sécurité de l’information
A.5.24 à A.5.28
Ce que fait HodeiShield:Un registre unique des incidents, chacun classé une seule fois et accompagné de preuves. Les procédures de réponse et les enseignements tirés sont documentés par vous.
Démo · registre des incidentsPhaseHors du cyclePérimètrePartiel - Obligation:
Gestion des vulnérabilités techniques
A.8.8
Ce que fait HodeiShield:Synchronisation quotidienne des CVE et alertes par composant sur les SBOM que vous ingérez. L’agent endpoint remonte par cycle et ses vérifications n’entrent pas dans le score de conformité.
Docs · Chaîne SBOM, CVE et alerte (s’ouvre dans un nouvel onglet)PhaseSENSEPérimètrePartiel - Obligation:
Suivi, mesure et preuve pour l’auditeur ou un client
Art. 9.1
Ce que fait HodeiShield:Posture par référentiel et attestation ATTEST avec la bande ISO 27001, signée en ML-DSA-65 et vérifiable hors ligne. Elle prouve l’intégrité, l’origine et le moment, pas la véracité.
Docs · Vérificateur ATTEST (s’ouvre dans un nouvel onglet)PhaseATTESTPérimètrePartiel - Obligation:
Audit interne et revue de direction
Art. 9.2 et 9.3
Ce que fait HodeiShield:Hors de HodeiShield. Le score et les preuves peuvent les alimenter, mais c’est à vous de les réaliser et de les documenter.
PhaseHors du cyclePérimètreNon couvert
Ce que HodeiShield ne fait pas avec ISO 27001
Ce qui reste en dehors, dit avant la démo.
Il ne certifie pas votre organisation
La certification ISO/IEC 27001 est délivrée par un organisme accrédité après un audit. HodeiShield mesure votre posture avec les preuves que vous fournissez et ne remplace pas cet audit. Le SMSI certifié de Hodeitek SL est celui de l’entreprise et ne se transmet pas à votre organisation.
Il ne génère pas la Déclaration d’applicabilité
Vous pouvez marquer une mesure comme non applicable et noter pourquoi, mais la plateforme ne produit pas ce document et ne décide pas quelles mesures vous concernent.
Il ne modélise pas les articles du système de management
Le catalogue est celui de l’Annexe A. Contexte, objectifs, compétences, audit interne et revue de direction n’ont pas de module propre ; le registre des risques et les preuves peuvent les alimenter.
Les preuves ne se collectent pas toutes seules
Elles sont déposées ou liées à la main. Les collecteurs cloud sont prévus et n’existent pas aujourd’hui, et l’agent endpoint remonte par cycle, pas en temps réel.
Questions sur ISO 27001
Des réponses à la portée exacte.
HodeiShield me certifie-t-il ISO 27001 ?
Non. La certification est délivrée par un organisme accrédité après l’audit de votre système de management. HodeiShield mesure votre posture avec les preuves que vous fournissez et signale ce qui manque ; être prêt pour l’audit dépend de vos preuves et de vos décisions.
Comment l’Annexe A est-elle notée ?
Chacune des 93 mesures a un statut que vous fixez. Le score est le pourcentage de mesures mises en œuvre parmi les mesures applicables. Une mesure non évaluée ne fait pas monter le score : seule la mention « non applicable » sort du calcul. C’est une auto-évaluation, pas un audit.
Génère-t-il la Déclaration d’applicabilité ?
Non. Vous pouvez marquer des mesures comme non applicables et noter la raison, mais la Déclaration d’applicabilité en tant que document, avec la justification de chaque inclusion et exclusion, c’est vous qui la rédigez.
La même preuve sert-elle pour l’ENS ou NIS2 ?
Le crosswalk relie les mesures d’ISO 27001 à leurs équivalents dans l’ENS, NIS2, SOC 2, ISO 42001 et NIST CSF 2.0 pour ne pas prouver deux fois la même chose. Une équivalence oriente le travail, mais ne remplace pas le jugement de l’auditeur de chaque norme.
Avec quelle édition de la norme travaille-t-il ?
Avec ISO/IEC 27001:2022. Le catalogue reprend les 93 mesures de son Annexe A : A.5.1 à A.5.37, A.6.1 à A.6.8, A.7.1 à A.7.14 et A.8.1 à A.8.34.
Solutions associées
Besoin d’aide pour combler les écarts ?
HodeiShield vous montre où ils se trouvent. Si vous avez besoin d’une équipe pour les combler, Hodeitek propose du conseil en gouvernance, risques et conformité.
Vous êtes MSSP ? Programme partenaires
Parcourez l’Annexe A avec vos preuves sous les yeux
Lors de la démo, nous marquons les mesures qui vous concernent et voyons quelles preuves vous avez déjà, lesquelles expirent et ce qui manque avant l’audit.
Sans engagement. Données d’exemple.