Certification ISO 27001 : l'accompagnement technique pour les PME
Une certification ISO 27001 ne se gagne pas seulement avec des documentations bien rédigées. Elle se gagne aussi avec des pratiques opérationnelles maîtrisées, comme des accès sécurisés, des sauvegardes testées, des logs exploitables, une supervision active et des preuves que l’auditeur peut vérifier.
ASAP accompagne les PME sur la partie technique et opérationnelle de leur SMSI : contrôles de l’Annexe A, architecture, audit de sécurité, outils de sécurité, procédures d’exploitation, preuves d’audit et maintien dans la durée.
Ils sont déjà clients…
ISO 27001 : 80 % du travail est technique
Les cabinets de conseil rédigent la documentation et dirigent le projet dans son ensemble. Puis ils s’en vont. Résultat : l’auditeur inspecte les aspects concrets de la norme comme le réseau, la politique de mots de passe, les logs, les sauvegardes – et découvre que cela ne correspond pas à la documentation. De beaux classeurs de procédures, mais une infrastructure et architecture qui ne passent pas l’audit.
Chez ASAP, nous vous accompagnons pour que ce qui est contrôlable corresponde à ce qui est dans les livrables. Nous connaissons la norme parce que nous l’appliquons en interne et pour nos propres clients. Ce n’est pas de la théorie. C’est notre quotidien.
Notre méthode : concrète, pas théorique
Quatre phases, un fil directeur : chaque livrable doit tenir face à votre auditeur de certification.
Comprendre
- Gap analysis de votre SI vis-à-vis des 93 contrôles de l'Annexe A (ISO/IEC 27001:2022), répartis en 4 catégories : 37 organisationnels, 8 liés aux personnes, 14 physiques, 34 technologiques
- Cartographie des actifs, des flux et des risques réels
Concevoir
- Plan de remédiation priorisé et chiffré
- Architecture cible documentée : réseau, accès, sauvegardes, supervision
Déployer
- Déploiement des outils et reconfiguration des infrastructures
- Validation des procédures techniques (incidents, accès, changements)
Maintenir
- Supervision continue de l'infrastructure
- Infogérance pour tenir la certification dans la durée
Les 6 chantiers techniques de votre certification
ISO 27001 impose des contrôles sur l’infrastructure, les outils et les procédures. Voici comment ASAP vous accompagne de bout en bout.
Audit & gap analysis ISO 27001
Point de départ obligatoire. Nous analysons votre SI existant face aux exigences de la norme et produisons un livrable priorisé et chiffré. Cet audit inclut l'inventaire de vos actifs et une analyse des risques selon ISO 27005 qui vérifiera si chaque point de contrôle est conforme.
Infrastructure & segmentation réseau
Nous découpons le réseau par domaines de confiance (postes utilisateurs, serveurs métier, serveurs sensibles, accès invités) et isolons chaque zone par VLAN et firewall. Sur les accès sensibles, nous recommandons une authentification forte : MFA, double-authentification...
Outils de sécurité & supervision
Nous distinguons les comptes standards des comptes à privilèges et protégeons ces derniers via un outil PAM (Privileged Access Management) - critique pour l'auditeur. Supervision des comportements anormaux et journalisation en continu. Protection anti-malware mise à jour et gestion des vulnérabilités avec inventaire des actifs et correctifs testés.
Plan de sauvegarde & continuité (PRA)
Nous distinguons les sauvegardes à chaud et à froid, conservons plusieurs générations et définissons une politique 3-2-1. Nous validons vos procédures de restauration par un test réel - c'est la preuve que l'auditeur attend. Protection physique et stockage multi-site documentés.
Documentation SMSI & procédures
La gestion des accès suit le cycle de vie complet de l'identité (arrivée, changement de poste, départ) avec revue des droits. Gestion des changements, charte informatique et politique mots de passe.
Sécurité fournisseurs & cloud
Nous validons les exigences de sécurité dans vos contrats fournisseurs. Pour l'hébergement cloud, nous validons les garanties de confidentialité, intégrité et disponibilité via les certifications ISO/IEC 27017, 27018 ou SecNumCloud.
Ce que vous recevez
À l’issue de la mission, vous disposez de tout ce qu’un auditeur de certification peut vous demander.
Rapport de gap analysis
Ce qui tient, ce qui ne tient pas, et dans quel ordre on s'en occupe.
Plan de remédiation chiffré
Chaque chantier avec son coût estimé. Pas de surprise en cours de route.
Architecture cible documentée
Schémas réseau, matrice de flux, zones de sécurité. Votre infrastructure sur papier, lisible par votre auditeur.
Politique de sauvegarde & PRA
Procédure testée avec méthode et lieux de stockage définis. Pas un document théorique mais un test de restauration réel.
Pack procédures SMSI
Gestion des incidents, des accès, des changements. Validés à partir de l’existant.
Déclaration d'applicabilité (SoA)
Chaque contrôle de l'Annexe A justifié : appliqué, adapté ou exclu, et pourquoi.
Tableau de bord sécurité
Valider ce que la direction doit voir : incidents, patches, disponibilité, conformité. En un coup d'œil.
Accompagnement audit
Préparation, anticipation, présence le jour J. Vous n’êtes pas seul face à l'auditeur.
Ce que disent nos client
ASAP s’est imposé comme un partenaire de confiance pour notre organisation. Au-delà de leurs excellentes compétences techniques, nous sommes très satisfaits par leur disponibilité et leur réactivité.
Ce qui fait vraiment la différence, c’est la qualité des relations humaines avec leurs équipes — on se sent écoutés et considérés. Et pour nos exigences ISO 27001 strictes à respecter, ils savent nous accompagner pour être conforme aux standards de sécurité requis.
ASAP, c’est la rare combinaison : compétence technique solide + vrai savoir-faire relationnel + flexibilité. Recommandé.
Découvrez nos autres services
Audit informatique PME
Diagnostic complet de votre système d'information en 7 jours. Cartographie, risques, recommandations priorisées.
Infogérance
Supervision 24/7, maintenance, support utilisateur. Votre SI géré par une équipe qui connaît votre environnement.
Sécurité informatique
Audit de vulnérabilités, protection des postes, filtrage, gestion des incidents. Votre sécurité opérationnelle, prise en charge de A à Z.
Parlons de votre projet ISO 27001
Dites-nous où vous en êtes.
Nous vous répondons sous 24 heures, sans engagement.
Questions fréquentes sur la certification ISO 27001
Combien de temps dure un projet de certification ISO 27001 ?
Pour une PME qui part de zéro, comptez 6 à 12 mois selon le niveau de maturité initial. La phase de gap analysis prend 2 à 4 semaines. Le déploiement technique est la phase la plus longue : 4 à 12 mois selon les écarts constatés. ASAP structure le projet en phases pour lisser la charge et le budget.
Quelle est la différence entre ISO 27001 et NIS2 ?
ISO 27001 est une certification volontaire qui prouve que votre SMSI répond à un standard international. NIS2 est une directive européenne qui impose des obligations de cybersécurité à certains secteurs et tailles d’entreprise – elle est obligatoire, pas optionnelle. Les deux sont complémentaires : une certification ISO 27001 couvre une large part des exigences NIS2, mais ne suffit pas à elle seule pour être conforme à la directive.
Faut-il être une grande entreprise pour se certifier ISO 27001 ?
Non. La norme ISO 27001 est scalable : le périmètre de certification peut être limité à une entité, un produit ou un datacenter. Beaucoup de PME se certifient sur un périmètre restreint pour garder le projet gérable. C’est précisément l’approche qu’ASAP défend : dimensionner le projet à votre réalité, pas à un modèle générique.
Quel est le coût d'un accompagnement ISO 27001 ?
Cela dépend de la maturité de départ, du périmètre et des écarts techniques constatés. La gap analysis donne une estimation précise. En ordre de grandeur : comptez entre 20 000 € et 80 000 € pour un accompagnement complet d’une PME sur 12 à 18 mois, audit de certification inclus. L’audit lui-même, facturé par l’organisme certificateur, représente généralement entre 5 000 € et 15 000 € selon la taille du périmètre.
ASAP peut-il aussi accompagner vers TISAX ?
Oui. TISAX – le standard de sécurité de l’industrie automobile – partage une base commune importante avec ISO 27001. Si vous êtes équipementier ou sous-traitant d’un constructeur (Volkswagen, BMW, Renault, Stellantis…) et que vous avez besoin du label TISAX, nous pouvons évaluer le delta entre votre posture ISO 27001 et les exigences du VDA ISA. Contactez-nous pour en discuter.
Que se passe-t-il après la certification ?
La certification ISO 27001 est valable 3 ans, avec des audits externes de surveillance annuels. Maintenir la certification exige une supervision continue, des revues de sécurité périodiques et une gestion active des vulnérabilités. ASAP peut prendre en charge une partie de ce service managé de sécurité pour que vous n’ayez pas à le gérer en interne.
Le volet RH et sécurité physique des locaux est-il inclus ?
L’accompagnement ASAP se concentre sur les contrôles techniques du système d’information : accès, infrastructure, sauvegardes, supervision, gestion des fournisseurs. Les mesures RH (contrats de travail, processus disciplinaire) et physiques (sécurisation des locaux, badges, vidéosurveillance) relèvent de votre responsabilité.