L’ISO/IEC 27001 est la norme internationale pour la gestion de la sécurité de l’information. Elle est volontaire, mais de plus en plus de clients, d’appels d’offres et de chaînes d’approvisionnement l’exigent.
- Type
- Norme internationale, certifiable
- Édition actuelle
- ISO/IEC 27001:2022, avec l’amendement 1:2024
- Organisme de normalisation
- ISO et IEC (JTC 1/SC 27)
- Certifié par
- Organismes de certification accrédités
- Accréditation au Canada
- Conseil canadien des normes
- Cycle
- Certificat de trois ans, audits de surveillance annuels
Ce que c’est
La norme définit les exigences d’un système de gestion de la sécurité de l’information (SGSI) : compréhension de votre contexte, leadership, évaluation et traitement des risques, objectifs, opérations, évaluation des performances et amélioration. L’annexe A énumère 93 mesures de contrôle de référence réparties en quatre thèmes : organisationnel, personnes, physique et technologique.
Pourquoi elle existe
Pour gérer la sécurité de l’information comme un système d’entreprise plutôt que comme une collection d’outils, afin que les risques soient identifiés, traités et examinés en continu, et pour que vous puissiez le prouver à des tiers par une certification indépendante.
À qui elle s’applique
Toute organisation, quels que soient sa taille ou son secteur. Elle est souvent requise par contrat, par des appels d’offres publics ou par de grands clients évaluant leurs fournisseurs, et elle constitue la référence pour de nombreux programmes sectoriels.
Autorité et application
L’ISO et l’IEC publient la norme. Les organismes de certification auditent et certifient les organisations ; ils sont eux-mêmes accrédités par des organismes nationaux membres de l’International Accreditation Forum, au Canada le Conseil canadien des normes. Il n’y a pas de régulateur ni d’amende ; le certificat est la sanction.
- 1995
Norme britannique BS 7799, à l’origine de la série.
- 2005
Première édition, ISO/IEC 27001:2005.
- 2013
Deuxième édition, ISO/IEC 27001:2013.
- 25/10/2022
Troisième édition : Annexe A restructurée en 93 contrôles, nouveaux contrôles tels que la veille sur les menaces, la sécurité de l’infonuagique et la prévention des fuites de données, et une nouvelle clause sur la planification des changements.
- 2024
L’amendement 1 ajoute le changement climatique comme un enjeu que les organisations doivent prendre en compte.
- 31/10/2025
Fin de la transition : les certificats selon l’édition 2013 ne sont plus valides.
- 03/07/2026
Mise à jour de l’ISO/IEC 27000:2026, la norme de vocabulaire et de vue d’ensemble.
Systèmes et outils
- Inventaire des actifs et gestion de la configuration
- Surveillance, journalisation et prévention des fuites de données
- Développement sécurisé et contrôles de sécurité de l’infonuagique
Processus
- Évaluation des risques et plan de traitement des risques
- Audits internes et mesures correctives
- Gestion de la sécurité des fournisseurs
- Continuité des activités et préparation des TIC
Gouvernance
- Périmètre du SGSI défini et politique de sécurité
- Déclaration d’applicabilité par rapport à l’annexe A
- Engagement de la direction et revue de direction
- Sensibilisation, compétence et informations documentées
Si vous ne vous conformez pas
- Non-conformités majeures lors des audits de surveillance ou de recertification
- Suspension ou retrait du certificat
- Perte d’appels d’offres et de contrats exigeant la certification
- Échec de la diligence raisonnable des fournisseurs auprès de grands clients
Changements annoncés et à venir
- En cours d’examenL’ISO/IEC 27001:2022 fait l’objet d’un examen systématique. Aucune nouvelle édition ou second amendement n’a été annoncé.
- À surveillerL’ISO/IEC 27001 et 27002 devraient s’aligner progressivement sur la norme de vocabulaire de 2026 ; aucun calendrier n’est fixé.
Statut vérifié le 03/10/2026. Les dates peuvent changer ; confirmez auprès des sources officielles ci-dessous.
Comment nous aidons
Évaluation des écarts et audit interne pour préparer la certification.
En savoir plusAccel GRCRegistre des risques, politiques, formation et preuves dans un portail unique.
En savoir plusKW ConsultingProjets de conseil et de remédiation : segmentation, journalisation, MFA, développement sécurisé.
En savoir plus- ISO/IEC 27001:2022 ↗
- ISO/IEC 27000:2026 ↗
- ISO/IEC JTC 1/SC 27 ↗
- Conseil canadien des normes ↗
- International Accreditation Forum ↗
Analyses connexes
Sécuriser l’utilisation de l’IA : les 10 mesures de sécurité de l’IA du Centre pour la cybersécurité
Le nouveau guide du Centre canadien pour la cybersécurité présente 10 mesures de sécurité de l’IA en trois piliers : ce que chacune exige…
Lire l’analyse →ISO/IEC 27701:2025 : la certification vie privée n’exige plus l’ISO 27001
L’édition 2025 de l’ISO/IEC 27701 est une norme autonome de système de management de la vie privée. À qui elle profite, sa correspondance avec…
Lire l’analyse →Le règlement européen sur la cyberrésilience (CRA) : ce que les exportateurs canadiens doivent signaler depuis le 11/09/2026
Vous vendez du matériel ou des logiciels connectés dans l’UE ? L’obligation de signalement des vulnérabilités dans un délai de 24 heures imposée par…
Lire l’analyse →