3 audits ISO 27001 passés à chercher des preuves dans des boîtes mail — le dossier en 7 étapes qui a sauvé le quatrième

Trois audits ISO 27001 accompagnés, trois fois la même scène : l’auditeur demande la preuve qu’une mesure fonctionne, et l’équipe part fouiller dans des boîtes mail, des dossiers partagés et la mémoire de la personne qui était là l’année dernière. La mesure existait à chaque fois. La preuve, non. Voici la méthode en sept étapes pour constituer un dossier de preuves qui tient devant un auditeur ISO 27001 et devant un contrôle NIS2 — et qui, surtout, se remplit tout seul le reste de l’année.

Étape 1 — Distinguer la preuve d’existence de la preuve de fonctionnement

C’est la distinction qui explique la quasi-totalité des écarts constatés en audit, et elle est rarement formulée clairement.

La preuve d’existence montre que la mesure a été décidée et documentée : une politique signée, une procédure rédigée, une configuration en place. La preuve de fonctionnement montre que la mesure a produit son effet sur la période : des enregistrements datés, répétés, couvrant tout l’intervalle.

Une politique de gestion des accès parfaitement rédigée est une preuve d’existence. La liste des revues d’habilitations réellement menées, avec les dates et les comptes retirés, est une preuve de fonctionnement. Un auditeur expérimenté passe environ trente secondes sur la première et l’essentiel de son temps sur la seconde.

Passez votre liste de mesures en revue et marquez pour chacune ces deux colonnes. Dans les PME que nous accompagnons, la colonne « existence » est remplie à plus de quatre-vingts pour cent dès le départ, et la colonne « fonctionnement » l’est à moins de trente. L’écart entre les deux colonnes est votre plan de travail.

Étape 2 — Nommer un propriétaire et une source pour chaque preuve

Deux colonnes de plus, et elles font plus de travail que n’importe quel outil.

Le propriétaire est une personne nommée, pas une équipe. « L’informatique » ne produit jamais une preuve ; une personne le fait. La source est l’endroit d’où la preuve sort : un export d’outil, un ticket, un compte rendu, une capture d’écran horodatée.

La question à poser pour chaque ligne est simple et impitoyable : si cette personne quitte l’entreprise demain, la preuve continue-t-elle d’être produite ? Si la réponse est non, vous n’avez pas une preuve, vous avez une habitude. Les habitudes ne survivent pas aux départs, et les audits arrivent souvent après.

Préférez systématiquement une source qui produit la trace comme sous-produit d’un travail déjà fait. Un ticket de changement créé pour des raisons opérationnelles est une bien meilleure source qu’un tableau rempli une fois par trimestre uniquement pour l’audit : le premier existera toujours dans dix-huit mois, le second sera oublié dès le deuxième trimestre.

Étape 3 — Fixer la période couverte et la fréquence attendue

Une preuve sans période ne prouve rien. Pour chaque ligne, écrivez la fréquence attendue et la période que le dossier doit couvrir.

Le piège classique : l’organisation produit douze mois de preuves pour la mesure la plus simple — les sauvegardes, en général — et trois semaines pour tout le reste, celles-ci fabriquées dans le mois précédant l’audit. Un auditeur repère cela immédiatement, parce que les dates de création des fichiers se regroupent toutes sur la même quinzaine.

Deux règles pratiques. D’abord, la période couverte doit correspondre au cycle complet : douze mois pour une certification en renouvellement, la durée depuis le démarrage du système pour une première certification. Ensuite, une fréquence annoncée mais non tenue est pire qu’une fréquence modeste et respectée : annoncer une revue trimestrielle et en produire deux crée un écart, alors qu’annoncer une revue semestrielle et en produire deux n’en crée aucun.

Étape 4 — Ranger par mesure, jamais par outil

L’arborescence par outil est le réflexe naturel des équipes techniques : un dossier par solution, un sous-dossier par année. Elle rend le dossier inexploitable en audit, parce que l’auditeur ne raisonne jamais par outil. Il raisonne par mesure.

Rangez par référence de mesure, avec un chemin prévisible et un nommage stable : référence, année, période. Quand l’auditeur demande la preuve d’une mesure précise, la réponse doit être un chemin, immédiatement, sans recherche.

Ce point paraît cosmétique. Il ne l’est pas : l’impression générale que se forme un auditeur dans la première heure dépend largement de la vitesse à laquelle vous produisez les trois premières preuves demandées. Une organisation qui répond en quinze secondes obtient un audit fondamentalement différent d’une organisation qui répond « je vous envoie ça ce soir ». La logique est la même que celle décrite dans notre méthode de déclaration d’applicabilité ISO 27001 : la structure du document conditionne la lecture qu’on en fait.

Étape 5 — Ajouter la colonne NIS2 sans dupliquer le dossier

NIS2 n’exige ni certification ISO 27001 ni dossier de preuves au sens de la norme. Elle impose des mesures de gestion des risques et fait peser sur les organes de direction une responsabilité explicite d’approbation et de supervision.

La conséquence pratique est confortable : la très large majorité des preuves servent aux deux cadres. La bonne méthode n’est donc pas de constituer un second dossier — erreur que nous voyons régulièrement et qui double la charge pour rien — mais d’ajouter une simple colonne indiquant si la ligne sert à ISO 27001, à NIS2, ou aux deux.

Restent deux zones où NIS2 demande quelque chose que la norme ne couvre pas directement, et qui méritent leurs propres lignes :

• La notification d’incident et ses délais. La preuve attendue n’est pas seulement la procédure : c’est la trace que les délais ont été tenus lors des incidents réels, ou à défaut lors d’un exercice daté.
• L’implication de la direction. Une trace datée que les dirigeants ont examiné et approuvé les mesures — c’est exactement ce que produit une revue de direction correctement tenue, ce qui en fait le meilleur véhicule disponible.

Étape 6 — Faire une revue blanche à trois mois de l’audit

Une demi-journée, une personne qui n’a pas construit le dossier, et un tirage aléatoire de dix à douze mesures. Pour chacune : produire la preuve, sans aide du propriétaire, en moins de deux minutes.

Le résultat de cet exercice est systématiquement instructif, et systématiquement plus mauvais que ce que l’équipe anticipait. Les trois défauts que nous rencontrons le plus souvent :

• La preuve existe mais s’arrête en cours d’année, généralement au moment d’un départ ou d’un changement d’outil. Elle couvre huit mois sur douze, et l’interruption est visible à l’oeil nu.
• La preuve est illisible sans son auteur : un export brut sans en-tête, sans date, sans périmètre, que seule la personne qui l’a généré sait interpréter.
• La preuve prouve autre chose que la mesure : un rapport d’antivirus fourni comme preuve de gestion des vulnérabilités, par exemple. Les deux sujets sont voisins, ils ne sont pas identiques, et l’auditeur fera la différence.

Trois mois de délai sont nécessaires parce que la correction du premier défaut demande du temps calendaire : on ne rattrape pas rétroactivement quatre mois de revues manquantes, on ne peut que redémarrer la série et documenter honnêtement l’interruption. Ce qui, dit ainsi à l’auditeur, passe beaucoup mieux qu’une reconstitution.

Étape 7 — Automatiser la collecte pour le cycle suivant

Le dossier de la première année se construit à la main. Celui de la deuxième doit se remplir tout seul, faute de quoi vous rejouerez la même scène dans douze mois.

Trois automatisations couvrent l’essentiel du besoin, et aucune ne demande d’outil de conformité dédié :

• Les exports périodiques planifiés qui déposent directement le fichier au bon emplacement, avec la date dans le nom. Comptes actifs, état des correctifs, résultats de sauvegarde, journaux d’accès privilégiés.
• Les rappels calendaires avec le modèle joint pour tout ce qui reste humain : revue d’habilitations, exercice de restauration, réunion de suivi. Le modèle pré-rempli divise par trois le temps de production et supprime le problème de lisibilité.
• Un contrôle mensuel de complétude : une vérification, même manuelle, que chaque emplacement attendu contient bien un fichier pour la période écoulée. Quinze minutes par mois, et c’est ce contrôle qui détecte l’interruption au bout de trente jours plutôt qu’au bout de huit mois.

Ce dernier point est le plus rentable des trois. La plupart des trous de preuve ne viennent pas d’un refus de faire : ils viennent d’une interruption que personne n’a remarquée.

Synthèse : la méthode en un coup d’oeil

On distingue existence et fonctionnement pour chaque mesure (1). On nomme un propriétaire et une source qui survivent à un départ (2). On fixe la fréquence et la période couverte, en annonçant seulement ce qu’on tiendra (3). On range par mesure, jamais par outil (4). On ajoute une colonne NIS2 plutôt qu’un second dossier (5). On fait une revue blanche à trois mois de l’audit (6). Et on automatise la collecte pour le cycle suivant (7).

Comptez trois à quatre jours de travail effectif pour la mise en place initiale sur un périmètre de PME, puis un quart d’heure par mois. Le quatrième audit que nous avons accompagné avec cette méthode s’est terminé avec deux observations mineures et aucun écart. Les mesures étaient exactement les mêmes que les fois précédentes. Seule la capacité à les prouver avait changé.

Questions fréquentes