Viva QSE
Guide pratique · ISO/IEC 27001:2022
Un système de management lisible.
ISO/IEC 27001:2022
Un guide de pilotage indépendant : clauses, documents et décisions utiles. Il ne remplace ni le texte officiel ni l’analyse de votre périmètre.
Les clauses, sans superflu.
Une clause à la fois : points à examiner, conseils et exemples de preuves.
Comprendre son écosystème
L'esprit de la norme (§4.1 à §4.4) : L'ISO 27001:2022 exige de déterminer les enjeux internes et externes ayant une incidence sur votre capacité à protéger la confidentialité, l'intégrité et la disponibilité de l'information. Le domaine d'application du SMSI doit être délimité en tenant compte des interfaces avec d'autres organisations (§4.3).
Points à examiner
- Déterminer les enjeux externes/internes pertinents pour le SMSI (§4.1).
- Identifier les parties intéressées et leurs exigences, y compris légales et contractuelles (§4.2).
- Définir et documenter le domaine d'application du SMSI en tenant compte des interfaces et dépendances (§4.3).
L'astuce agile
Commencez petit : périmétrez votre SMSI sur un seul produit, service ou site pilote. Une fiche d'une page suffit pour lister enjeux, parties intéressées et domaine d'application — vous l'étendrez ensuite.
À éviter : Certifier l'intégralité du système d'information de l'entreprise dès la première année. · Rédiger une analyse de contexte géopolitique mondiale de 50 pages.
Exemples de preuves
L'engagement de la Direction
L'esprit de la norme (§5.1 à §5.3) : La direction doit démontrer un leadership réel : intégrer la sécurité de l'information aux processus métier, fournir les ressources nécessaires et attribuer clairement les rôles et responsabilités.
Points à examiner
- Établir une Politique de Sécurité de l'Information approuvée par la direction (§5.2).
- Communiquer et mettre à disposition la politique aux parties intéressées concernées (§5.2).
- Attribuer et communiquer les responsabilités et autorités liées à la sécurité de l'information (§5.3).
L'astuce agile
Une politique d'une page, signée par le dirigeant et affichée sur l'intranet, vaut mieux qu'un document illisible. Le rôle de "Pilote SMSI" peut être cumulé avec une autre fonction dans une PME.
À éviter : Nommer un RSSI à temps plein dès le lancement du projet dans une TPE. · Rédiger une charte de 40 pages jamais lue par les équipes.
Exemples de preuves
Maîtriser ses risques et opportunités
L'esprit de la norme (§6.1 à §6.3) : Le cœur du SMSI repose sur l'appréciation des risques de sécurité de l'information (confidentialité, intégrité, disponibilité), leur traitement via la Déclaration d'Applicabilité (§6.1.3.d) confrontée à l'Annexe A, et la définition d'objectifs mesurables.
Points à examiner
- Définir et appliquer un processus d'appréciation des risques avec critères d'acceptation (§6.1.2).
- Identifier les risques, les propriétaires de risques, analyser vraisemblance et conséquences (§6.1.2).
- Établir un plan de traitement des risques et produire une Déclaration d'Applicabilité (DdA) comparée à l'Annexe A (§6.1.3).
- Obtenir des propriétaires de risques l'approbation du plan et l'acceptation des risques résiduels (§6.1.3.f).
- Fixer des objectifs de sécurité mesurables, communiqués et mis à jour (§6.2).
L'astuce agile
Un tableur simple (actif / menace / vulnérabilité / impact / vraisemblance / niveau de risque) suffit pour démarrer. La DdA peut être un tableau à 4 colonnes reprenant les 93 mesures de l'Annexe A avec justification d'inclusion ou d'exclusion.
À éviter : Appliquer les 93 mesures de l'Annexe A sans justification, "pour être sûr". · Utiliser une méthode d'analyse de risque académique complexe (EBIOS complet) pour une PME de 10 salariés.
Exemples de preuves
Support et Communication
L'esprit de la norme (§7.1 à §7.5) : Fournir les ressources, s'assurer des compétences du personnel, sensibiliser à la politique de sécurité et structurer la communication interne/externe. Les informations documentées doivent être créées, mises à jour et contrôlées (§7.5).
Points à examiner
- Déterminer les compétences requises et conserver les preuves documentées de compétence (§7.2).
- Sensibiliser le personnel à la politique et aux conséquences d'une non-conformité (§7.3).
- Déterminer quoi, quand, avec qui et comment communiquer sur la sécurité de l'information (§7.4).
- Contrôler les informations documentées : distribution, accès, protection, versions, conservation (§7.5.3).
L'astuce agile
Un quiz de phishing trimestriel via un outil gratuit type Google Forms suffit à démontrer la sensibilisation. Un dossier partagé versionné (Drive, SharePoint) avec droits d'accès contrôlés répond parfaitement à l'exigence de maîtrise documentaire.
À éviter : Imposer une certification professionnelle en cybersécurité à chaque salarié. · Gérer les informations documentées via un système documentaire complexe et coûteux.
Exemples de preuves
Maîtrise Opérationnelle
L'esprit de la norme (§8.1 à §8.3) : Planifier, mettre en œuvre et contrôler les processus nécessaires pour traiter les risques identifiés en clause 6. L'organisation doit également réaliser des appréciations de risques à intervalles planifiés et mettre en œuvre son plan de traitement.
Points à examiner
- Établir des critères pour les processus opérationnels et contrôler les modifications planifiées (§8.1).
- S'assurer que les processus, produits ou services fournis en externe pertinents pour le SMSI sont contrôlés (§8.1).
- Réaliser des appréciations de risques à intervalles planifiés ou lors de changements significatifs, avec preuve documentée (§8.2).
- Mettre en œuvre le plan de traitement des risques et conserver la preuve des résultats (§8.3).
L'astuce agile
Planifiez une revue de risques semestrielle, et déclenchez une revue exceptionnelle uniquement lors d'un changement structurant (nouvel outil, nouveau prestataire critique, incident majeur). Tracez simplement l'avancement du plan de traitement dans un tableau de suivi partagé.
À éviter : Réévaluer tous les risques chaque mois sans changement significatif de contexte. · Imposer un audit de sécurité complet à chaque nouveau prestataire, même mineur.
Exemples de preuves
Évaluation des Performances
L'esprit de la norme (§9.1 à §9.3) : Surveiller, mesurer, analyser l'efficacité du SMSI, réaliser des audits internes objectifs (§9.2) et organiser des Revues de Direction structurées (§9.3) pour piloter l'amélioration continue.
Points à examiner
- Déterminer quoi surveiller/mesurer, méthodes, fréquences et responsables, et conserver la preuve des résultats (§9.1).
- Établir un programme d'audit interne couvrant fréquence, méthodes et responsabilités (§9.2.2).
- Garantir l'objectivité et l'impartialité des auditeurs internes (§9.2.2.b).
- Conserver les preuves documentées des résultats de la Revue de Direction (§9.3.3).
L'astuce agile
Intégrez la revue de direction SMSI à un comité de pilotage existant. Un tableau de bord simple (incidents, taux de patch, résultats de sensibilisation) suffit comme preuve de surveillance.
Objectivité de l'audit (§9.2.2) : Croisez les audits entre pairs — le responsable RH audite l'IT, et inversement — pour garantir l'impartialité sans recruter un auditeur externe.
À éviter : Recruter un auditeur externe certifié pour le simple audit interne annuel d'une PME. · Faire auditer son propre périmètre par le responsable qui en a la charge directe.
Exemples de preuves
Amélioration Continue
L'esprit de la norme (§10.1 à §10.2) : Réagir face aux non-conformités, en maîtriser les effets, éliminer les causes racines et évaluer le besoin d'actions correctives pour continuellement améliorer la pertinence et l'efficacité du SMSI.
Points à examiner
- Réagir à chaque non-conformité et en maîtriser les conséquences immédiates (§10.2.a).
- Analyser les causes racines et vérifier l'existence de non-conformités similaires (§10.2.b).
- Conserver la preuve documentée de la nature des non-conformités et des actions menées (§10.2).
- Améliorer en continu la pertinence, l'adéquation et l'efficacité du SMSI (§10.1).
L'astuce agile
Un tableau de suivi des incidents et non-conformités (Notion, Trello ou Excel partagé) suffit : problème, cause, action immédiate, pilote, échéance, validation. Reliez-le directement à votre registre des risques pour boucler la démarche PDCA.
À éviter : Ouvrir une analyse de causes racines "5 Pourquoi" pour un mot de passe oublié isolé. · Remplir un rapport d'incident de 10 pages pour chaque email de phishing intercepté par le filtre.
Exemples de preuves
Repères documentaires
16 points de départ pour votre dispositif.
Ces 16 repères sont une aide méthodologique Viva QSE, pas une liste exhaustive d’obligations. Les informations à établir ou conserver dépendent du référentiel, de vos activités et risques. Vérifiez les exigences dans l’édition officielle applicable.
Domaine d'application
La délimitation du périmètre, des interfaces et des dépendances de votre SMSI certifié.
Politique de sécurité
L'engagement formel de la direction, ses objectifs et son cadre de sécurité de l'information.
Processus d'appréciation des risques
La méthodologie et les critères de risque utilisés pour identifier et analyser les menaces.
Déclaration d'Applicabilité (DdA)
Le tableau des mesures de l'Annexe A retenues, exclues et justifiées, comparées à vos risques.
Objectifs de sécurité
Les objectifs mesurables, cohérents avec la politique, et leurs plans d'action associés.
Plan de traitement des risques
Les actions planifiées, responsables et échéances pour réduire les risques à un niveau acceptable.
Programme d'audit interne
Le calendrier, la fréquence, les méthodes et les critères des audits internes du SMSI.
Procédures jugées nécessaires
Les procédures internes (gestion des incidents, sauvegardes...) jugées utiles à l'efficacité du SMSI.
Résultats d'appréciation des risques
Les enregistrements factuels de chaque campagne d'analyse des risques réalisée.
Résultats du traitement des risques
La preuve documentée de la mise en œuvre effective du plan de traitement des risques.
Preuves de compétences
Diplômes, certifications, attestations de formation du personnel impliqué dans le SMSI.
Résultats de surveillance et mesure
Les indicateurs de performance de sécurité collectés selon la fréquence définie.
Rapports d'audit interne
Les constats, écarts et conclusions consignés lors de chaque audit interne réalisé.
Résultats de la Revue de Direction
Le compte-rendu acté des décisions prises par la direction lors de la revue périodique.
Non-conformités constatées
La nature de chaque non-conformité détectée et les actions immédiates engagées.
Résultats des actions correctives
La preuve de l'efficacité des actions correctives mises en œuvre pour éviter la récurrence.
Annexe A : examiner, justifier, prioriser.
Le premier cycle de 36 mesures est un séquencement Viva QSE, pas un socle de conformité ISO universel. Examinez les 93 mesures de référence. La sélection, les exclusions et les contrôles supplémentaires se justifient par l’analyse des risques, les exigences applicables et la déclaration d’applicabilité (SoA).
Premier cycle36
Priorisation Viva QSE · Premier cycle
Politique globale et politiques thématiques approuvées par la direction, communiquées et révisées.
Comment faire simple : Une page unique regroupant les grands principes suffit pour une PME ; évitez les politiques thématiques séparées si le périmètre est restreint.
Exemple de preuve : Document signé par la direction, daté et versionné + preuve de diffusion (email, intranet).
Rôle proposé : Dirigeant
Priorisation Viva QSE · Premier cycle
Rôles et responsabilités de sécurité définis et attribués selon les besoins de l'organisation.
Comment faire simple : Un tableau RACI d'une page suffit ; le rôle peut être cumulé avec une fonction existante (IT, RH, direction).
Exemple de preuve : Organigramme fonctionnel ou fiche de poste mentionnant les responsabilités sécurité.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Premier cycle
Élaborer et tenir à jour un inventaire des actifs et de leurs propriétaires.
Comment faire simple : Un tableur avec colonnes (actif, type, propriétaire, criticité) suffit ; priorisez les actifs traitant des données sensibles.
Exemple de preuve : Inventaire des actifs à jour, daté de la dernière révision.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Identifier, documenter et mettre en œuvre des règles d'usage correct des actifs.
Comment faire simple : Intégrez ces règles dans la charte informatique existante plutôt que de créer un nouveau document.
Exemple de preuve : Charte d'utilisation signée ou acceptée par chaque utilisateur.
Rôle proposé : RH
Priorisation Viva QSE · Premier cycle
Le personnel restitue les actifs de l'organisation en fin de contrat.
Comment faire simple : Une checklist de départ (badge, PC, téléphone, accès) intégrée au processus RH suffit.
Exemple de preuve : Fiche de restitution des actifs signée lors du solde de tout compte.
Rôle proposé : RH
Priorisation Viva QSE · Premier cycle
Classifier les informations selon confidentialité, intégrité et disponibilité.
Comment faire simple : 3 niveaux suffisent en PME : Public / Interne / Confidentiel. Évitez les grilles à 5-6 niveaux inutilement complexes.
Exemple de preuve : Grille de classification documentée et exemples d'application.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Premier cycle
Définir des règles pour tous les types de transfert d'information.
Comment faire simple : Limitez-vous à des règles simples : chiffrement obligatoire par email pour le confidentiel, interdiction des clés USB non chiffrées.
Exemple de preuve : Procédure de transfert documentée et diffusée aux équipes concernées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Définir des règles de contrôle d'accès physique et logique aux actifs.
Comment faire simple : Le principe du moindre privilège appliqué via les groupes Active Directory/SSO existants suffit à démarrer.
Exemple de preuve : Politique de contrôle d'accès et matrice des droits par profil.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Gérer le cycle de vie complet des identités numériques.
Comment faire simple : Un processus simple : création à l'arrivée, modification au changement de poste, suppression au départ, tracé dans un ticket RH/IT.
Exemple de preuve : Registre des créations/modifications/suppressions de comptes.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Contrôler l'attribution et la gestion des informations d'authentification.
Comment faire simple : Un gestionnaire de mots de passe d'entreprise (Bitwarden, Dashlane) suffit ; imposez le MFA sur les comptes critiques en priorité.
Exemple de preuve : Politique de mots de passe et preuve d'activation du MFA sur les comptes sensibles.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Pourvoir, réviser, modifier et supprimer les droits d'accès selon la politique.
Comment faire simple : Une revue annuelle des droits (plutôt que trimestrielle) est acceptable en PME si le turnover est faible.
Exemple de preuve : Compte-rendu de revue périodique des droits d'accès.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Établir des processus d'acquisition, d'utilisation et de cessation des services cloud.
Comment faire simple : Vérifiez la certification du fournisseur cloud (ISO 27001, HDS si santé) avant souscription plutôt que d'auditer vous-même.
Exemple de preuve : Grille d'évaluation cloud et preuve de certification du prestataire.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Définir et communiquer les processus de gestion des incidents de sécurité.
Comment faire simple : Une procédure d'une page (qui contacter, comment isoler, quoi documenter) affichée et connue de tous suffit.
Exemple de preuve : Procédure de gestion des incidents diffusée aux équipes.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
La réponse aux incidents doit être conforme aux procédures documentées.
Comment faire simple : Un modèle de fiche incident (date, nature, actions, clôture) suffit à assurer la traçabilité.
Exemple de preuve : Fiches d'incidents renseignées pour chaque événement traité.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Planifier, mettre en œuvre et tester la préparation des TIC à la continuité.
Comment faire simple : Un test de restauration de sauvegarde une fois par an suffit à démontrer la préparation en PME.
Exemple de preuve : Rapport de test de restauration ou de bascule documenté.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Identifier, documenter et tenir à jour les exigences légales applicables.
Comment faire simple : Un registre simple recensant RGPD, obligations sectorielles et clauses contractuelles clés suffit.
Exemple de preuve : Registre des obligations légales et contractuelles à jour.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Premier cycle
Protéger les enregistrements de la perte, destruction et falsification.
Comment faire simple : Appliquez une politique de sauvegarde et de rétention cohérente avec vos obligations légales (comptables, RH).
Exemple de preuve : Politique de conservation des enregistrements et preuve de sauvegarde.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Respecter les exigences de protection des données à caractère personnel.
Comment faire simple : Articulez cette mesure avec votre registre RGPD existant plutôt que de dupliquer la démarche.
Exemple de preuve : Registre des traitements RGPD et analyse d'impact si applicable.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Premier cycle
Indiquer les responsabilités de sécurité dans les contrats de travail.
Comment faire simple : Ajoutez une clause type de sécurité/confidentialité à votre modèle de contrat existant.
Exemple de preuve : Contrats de travail incluant la clause de sécurité de l'information.
Rôle proposé : RH
Priorisation Viva QSE · Premier cycle
Former et sensibiliser régulièrement le personnel à la sécurité de l'information.
Comment faire simple : Un module e-learning gratuit ou un atelier d'une heure par an, complété par un quiz de phishing trimestriel, suffit.
Exemple de preuve : Attestations de participation aux sessions de sensibilisation.
Rôle proposé : RH
Priorisation Viva QSE · Premier cycle
Identifier, documenter et signer les accords de confidentialité nécessaires.
Comment faire simple : Un NDA type signé par les prestataires et salariés à accès sensible suffit ; pas besoin de personnalisation systématique.
Exemple de preuve : Accords de confidentialité (NDA) signés et archivés.
Rôle proposé : RH
Priorisation Viva QSE · Premier cycle
Mettre en œuvre des mesures de sécurité pour le télétravail.
Comment faire simple : VPN obligatoire, verrouillage automatique de session et charte télétravail simple suffisent pour la majorité des PME.
Exemple de preuve : Charte de télétravail incluant les règles de sécurité applicables.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Fournir un mécanisme pour signaler rapidement les événements suspects.
Comment faire simple : Une adresse email dédiée ou un canal Teams/Slack simple suffit ; pas besoin d'outil de ticketing complexe.
Exemple de preuve : Registre des signalements reçus via le canal dédié.
Rôle proposé : Tous
Priorisation Viva QSE · Premier cycle
Concevoir une protection contre catastrophes et menaces physiques.
Comment faire simple : Un extincteur à jour et une évaluation simple des risques d'incendie/dégât des eaux suffisent pour un bureau standard.
Exemple de preuve : Registre de maintenance des équipements de sécurité incendie.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Premier cycle
Définir des règles de bureau dégagé pour documents/supports amovibles et d'écran verrouillé pour les postes de travail.
Comment faire simple : Verrouillez l'écran automatiquement après 5 à 10 minutes d'inactivité (ou via Windows+L/Cmd+Ctrl+Q en quittant son poste), et instaurez un rituel simple de rangement en fin de journée : documents confidentiels sous clé, clés USB retirées, tableaux blancs effacés. Une règle d'une page affichée près des postes suffit à la formaliser.
Exemple de preuve : Règle de bureau propre et écran verrouillé diffusée aux équipes, paramétrage du verrouillage automatique sur les postes, et traçabilité d'un contrôle visuel ponctuel (ex: check rapide en fin de journée ou lors d'un audit interne).
Rôle proposé : Tous
Priorisation Viva QSE · Premier cycle
Protéger les actifs utilisés en dehors des locaux de l'organisation.
Comment faire simple : Chiffrement de disque activé par défaut sur tous les portables suffit à couvrir le risque de vol/perte.
Exemple de preuve : Preuve d'activation du chiffrement sur les postes nomades.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Vérifier l'effacement sécurisé des données avant élimination ou réemploi.
Comment faire simple : Utilisez un logiciel d'effacement sécurisé gratuit ou faites appel à un prestataire certifié DEEE avec destruction certifiée.
Exemple de preuve : Certificat de destruction ou d'effacement sécurisé des supports.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Protéger les informations stockées, traitées ou accessibles via les terminaux.
Comment faire simple : Antivirus, chiffrement de disque et mises à jour automatiques activées par défaut sur tous les postes suffisent.
Exemple de preuve : Registre de configuration standard des postes de travail.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Limiter et gérer l'attribution des droits d'accès privilégiés.
Comment faire simple : Limitez les comptes admin à 1-2 personnes et utilisez un compte utilisateur standard au quotidien.
Exemple de preuve : Liste des comptes à privilèges et justification de leur attribution.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Restreindre l'accès conformément à la politique de contrôle d'accès.
Comment faire simple : Les permissions par dossier/groupe dans votre annuaire existant (AD, Google Workspace) suffisent.
Exemple de preuve : Matrice des droits d'accès appliquée aux dossiers sensibles.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Mettre en œuvre des technologies et procédures d'authentification sécurisées.
Comment faire simple : Le MFA sur la messagerie et les accès distants est la priorité numéro un en PME, avant tout autre investissement.
Exemple de preuve : Preuve d'activation du MFA sur les systèmes critiques.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Mettre en œuvre une protection anti-malware renforcée par la sensibilisation.
Comment faire simple : Un antivirus/EDR géré centralement avec mises à jour automatiques couvre l'essentiel du besoin.
Exemple de preuve : Rapport de déploiement et de mise à jour de la solution antimalware.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Obtenir des informations sur les vulnérabilités et prendre les mesures appropriées.
Comment faire simple : Activez les mises à jour automatiques partout où c'est possible ; un scan de vulnérabilité annuel externe suffit sinon.
Exemple de preuve : Registre des vulnérabilités traitées et rapport de scan périodique.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Conserver et tester régulièrement les copies de sauvegarde.
Comment faire simple : La règle 3-2-1 (3 copies, 2 supports, 1 hors site) et un test de restauration annuel suffisent.
Exemple de preuve : Journal des sauvegardes et rapport de test de restauration.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Sécuriser, gérer et contrôler les réseaux et terminaux réseau.
Comment faire simple : Un pare-feu correctement configuré et un Wi-Fi invité séparé du réseau interne suffisent en PME.
Exemple de preuve : Schéma réseau et configuration du pare-feu documentée.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Premier cycle
Définir des règles pour l'usage et la gestion des clés cryptographiques.
Comment faire simple : Utilisez les standards intégrés (BitLocker, HTTPS, chiffrement natif du cloud) plutôt que de développer une PKI maison.
Exemple de preuve : Politique cryptographique et preuve d'activation du chiffrement.
Rôle proposé : IT / Prestataire
Consolidation34
Priorisation Viva QSE · Consolidation
Les tâches et domaines de responsabilité incompatibles doivent être séparés.
Comment faire simple : Dans une petite structure, documentez les contrôles compensatoires (double validation, revue a posteriori) là où la séparation stricte est impossible.
Exemple de preuve : Matrice des tâches sensibles avec les mesures compensatoires identifiées.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
La direction exige du personnel l'application des mesures de sécurité définies.
Comment faire simple : Intégrez un rappel des exigences de sécurité dans les entretiens annuels ou réunions d'équipe régulières.
Exemple de preuve : Compte-rendu de réunion ou note de service rappelant les exigences applicables.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Établir et maintenir le contact avec les autorités compétentes.
Comment faire simple : Une simple liste à jour (CNIL, ANSSI, police/gendarmerie cyber) avec les coordonnées suffit ; pas besoin de convention formelle sauf obligation sectorielle.
Exemple de preuve : Fiche contact des autorités compétentes, mise à jour annuellement.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Intégrer la sécurité de l'information à la gestion de projet.
Comment faire simple : Ajoutez une case à cocher "impact sécurité évalué" dans votre modèle de fiche de lancement de projet existant.
Exemple de preuve : Fiche projet incluant la rubrique sécurité renseignée.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Élaborer des procédures de marquage conformes au schéma de classification.
Comment faire simple : Un simple en-tête ou filigrane ("Confidentiel") sur les documents sensibles suffit, pas besoin d'outil DLP dédié.
Exemple de preuve : Exemples de documents marqués conformément au schéma retenu.
Rôle proposé : Tous
Priorisation Viva QSE · Consolidation
Définir des processus de gestion des risques liés aux produits/services fournisseurs.
Comment faire simple : Une grille de criticité fournisseur en 3 niveaux (critique/standard/mineur) suffit pour prioriser les efforts.
Exemple de preuve : Registre des fournisseurs avec niveau de criticité évalué.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Convenir des exigences de sécurité appropriées avec chaque fournisseur.
Comment faire simple : Une clause type de sécurité insérée dans vos contrats standards suffit pour les fournisseurs non critiques.
Exemple de preuve : Clauses de sécurité dans les contrats fournisseurs critiques.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Surveiller, réviser et gérer les changements des pratiques de sécurité fournisseurs.
Comment faire simple : Un point annuel avec vos fournisseurs critiques (certificats ISO, SOC2, incidents déclarés) suffit.
Exemple de preuve : Compte-rendu de revue fournisseur ou certificat de conformité reçu.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Évaluer les événements et décider de leur catégorisation en incidents.
Comment faire simple : Une grille simple (impact faible/moyen/élevé) permet de trier rapidement sans expertise poussée.
Exemple de preuve : Registre des événements évalués avec la décision de catégorisation.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Utiliser les enseignements des incidents pour renforcer les mesures de sécurité.
Comment faire simple : Un point rapide en revue de direction sur les incidents marquants de la période suffit.
Exemple de preuve : Compte-rendu mentionnant les actions correctives issues des incidents.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Planifier le maintien de la sécurité de l'information en cas de perturbation.
Comment faire simple : Intégrez un volet sécurité minimal à votre plan de continuité existant plutôt que de créer un document séparé.
Exemple de preuve : Plan de continuité incluant les mesures de sécurité minimales.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Réviser de manière indépendante l'approche de gestion de la sécurité.
Comment faire simple : L'audit interne croisé (§9.2) peut servir de révision indépendante ; pas besoin d'auditeur externe systématique.
Exemple de preuve : Rapport de révision indépendante daté et signé.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Vérifier régulièrement la conformité aux politiques et normes internes.
Comment faire simple : Intégrez ce contrôle à votre audit interne annuel plutôt que de créer un processus distinct.
Exemple de preuve : Rapport de contrôle de conformité interne.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Documenter et mettre à disposition les procédures d'exploitation.
Comment faire simple : Documentez uniquement les procédures critiques (sauvegarde, restauration, gestion des accès) ; pas besoin d'exhaustivité.
Exemple de preuve : Procédures d'exploitation accessibles aux équipes concernées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Réaliser des vérifications des références avant et pendant l'emploi.
Comment faire simple : Une vérification proportionnée au poste (références, diplômes pour les postes sensibles) suffit ; pas d'enquête systématique poussée.
Exemple de preuve : Preuve de vérification pour les postes à accès sensible (CV vérifié, référence contactée).
Rôle proposé : RH
Priorisation Viva QSE · Consolidation
Formaliser un processus disciplinaire en cas de violation de la politique.
Comment faire simple : Un renvoi simple au règlement intérieur existant suffit, pas besoin de procédure disciplinaire dédiée à la sécurité.
Exemple de preuve : Référence au règlement intérieur mentionnant les sanctions applicables.
Rôle proposé : RH
Priorisation Viva QSE · Consolidation
Définir les responsabilités de sécurité restant valables après le départ.
Comment faire simple : Une clause de confidentialité post-contractuelle dans le contrat de travail suffit à couvrir cette exigence.
Exemple de preuve : Clause contractuelle de confidentialité post-emploi.
Rôle proposé : RH
Priorisation Viva QSE · Consolidation
Définir des périmètres pour protéger les zones contenant des actifs sensibles.
Comment faire simple : Un contrôle d'accès par badge sur la seule salle serveur ou le local technique suffit souvent en PME.
Exemple de preuve : Plan des zones sécurisées et registre des accès.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Protéger les zones sécurisées par des contrôles d'accès appropriés.
Comment faire simple : Un digicode ou badge avec journal d'accès basique suffit pour les zones à criticité modérée.
Exemple de preuve : Registre des accès physiques aux zones sensibles.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Concevoir et mettre en œuvre des mesures de sécurité physique adaptées.
Comment faire simple : Un verrouillage des locaux en dehors des heures d'ouverture et un accès visiteur encadré suffisent.
Exemple de preuve : Procédure d'accueil visiteurs et registre de passage.
Rôle proposé : Dirigeant
Priorisation Viva QSE · Consolidation
Concevoir des mesures de sécurité pour le travail en zone sécurisée.
Comment faire simple : Limitez l'accès de la salle serveur aux seules personnes habilitées et interdisez les visites non accompagnées.
Exemple de preuve : Liste des personnes habilitées à accéder aux zones sécurisées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Choisir et protéger un emplacement sécurisé pour le matériel.
Comment faire simple : Placez les serveurs dans un local fermé à clé, à l'écart des zones à risque (fenêtres, canalisations).
Exemple de preuve : Photo ou plan de l'emplacement sécurisé du matériel critique.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Gérer les supports de stockage sur tout leur cycle de vie.
Comment faire simple : Interdisez les clés USB personnelles et fournissez des supports chiffrés si nécessaire.
Exemple de preuve : Registre des supports amovibles utilisés et politique associée.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Entretenir correctement le matériel pour garantir sa disponibilité.
Comment faire simple : Un contrat de maintenance simple avec votre prestataire IT couvre cette exigence.
Exemple de preuve : Contrat de maintenance et historique des interventions.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Définir, documenter et surveiller les configurations de sécurité.
Comment faire simple : Un modèle de configuration standard (image de poste, hardening basique) suffit pour homogénéiser le parc.
Exemple de preuve : Documentation des configurations types appliquées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Supprimer les informations stockées lorsqu'elles ne sont plus nécessaires.
Comment faire simple : Appliquez une durée de rétention simple alignée sur vos obligations légales, avec purge annuelle.
Exemple de preuve : Politique de rétention et preuve de purge des données obsolètes.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Appliquer des mesures de prévention de la fuite de données sensibles.
Comment faire simple : Un contrôle basique des pièces jointes volumineuses et une sensibilisation suffisent avant d'investir dans un outil DLP.
Exemple de preuve : Règles de filtrage ou de contrôle documentées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Générer, conserver, protéger et analyser les journaux d'événements.
Comment faire simple : Activez les logs natifs (Windows, pare-feu, messagerie) et conservez-les 6 à 12 mois selon vos obligations.
Exemple de preuve : Politique de journalisation et échantillon de logs conservés.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Surveiller réseaux, systèmes et applications pour détecter les anomalies.
Comment faire simple : Les alertes natives de votre antivirus/pare-feu/fournisseur cloud suffisent pour démarrer, sans SOC dédié.
Exemple de preuve : Registre des alertes de sécurité traitées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Gérer de manière sécurisée l'installation de logiciels en production.
Comment faire simple : Limitez les droits d'installation aux administrateurs IT ; validez les nouveaux logiciels avant déploiement.
Exemple de preuve : Procédure de validation et d'installation des logiciels.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Identifier, mettre en œuvre et surveiller les mécanismes de sécurité réseau.
Comment faire simple : Désactivez les services réseau non utilisés et documentez ceux qui restent actifs.
Exemple de preuve : Inventaire des services réseau actifs et de leurs mesures de sécurité.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Cloisonner les groupes de services, utilisateurs et systèmes d'information.
Comment faire simple : Un VLAN séparant le réseau invité, bureautique et serveurs suffit pour la majorité des PME.
Exemple de preuve : Schéma de segmentation réseau documenté.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Gérer l'accès aux sites web externes pour réduire l'exposition aux menaces.
Comment faire simple : Un filtrage DNS gratuit ou intégré au pare-feu (catégories à risque bloquées) suffit à démarrer.
Exemple de preuve : Configuration du filtrage web et liste des catégories bloquées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · Consolidation
Soumettre les changements à des procédures de gestion formalisées.
Comment faire simple : Un ticket simple (quoi, pourquoi, qui valide, date) avant tout changement significatif suffit.
Exemple de preuve : Registre des changements avec validation documentée.
Rôle proposé : IT / Prestataire
À examiner selon le contexte23
Priorisation Viva QSE · À examiner selon le contexte
Maintenir des contacts avec forums spécialisés et associations professionnelles.
Comment faire simple : Un abonnement à une newsletter sécurité (CERT-FR, ANSSI) ou l'adhésion à un CLUSIR régional suffit à démontrer la veille.
Exemple de preuve : Preuve d'inscription/adhésion (email de confirmation, facture d'adhésion).
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Collecter et analyser les informations sur les menaces de sécurité.
Comment faire simple : Suivez les alertes CERT-FR gratuites et consignez celles pertinentes pour votre activité dans un registre simple.
Exemple de preuve : Registre ou fil de suivi des alertes de menaces pertinentes traitées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Gérer les risques de sécurité liés à la chaîne d'approvisionnement TIC.
Comment faire simple : Concentrez l'effort sur vos 2-3 prestataires IT critiques (hébergeur, éditeur SaaS principal) plutôt que toute la chaîne.
Exemple de preuve : Évaluation de sécurité documentée pour les prestataires TIC critiques.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Établir des procédures d'identification, de collecte et de préservation des preuves.
Comment faire simple : Une checklist simple (captures d'écran, logs, horodatage) suffit pour les incidents courants ; réservez l'expertise forensique aux cas graves.
Exemple de preuve : Procédure de collecte de preuves et exemples de dossiers constitués.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Mettre en œuvre des procédures pour protéger les droits de propriété intellectuelle.
Comment faire simple : Vérifiez la conformité des licences logicielles utilisées lors d'un inventaire annuel simple.
Exemple de preuve : Registre des licences logicielles et preuves d'achat.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Surveiller en continu les locaux contre les accès non autorisés.
Comment faire simple : Une alarme et/ou caméra sur les points d'entrée critiques suffit, pas besoin de surveillance humaine 24/7 en PME.
Exemple de preuve : Preuve d'installation et de fonctionnement du système de surveillance.
Rôle proposé : Dirigeant
Priorisation Viva QSE · À examiner selon le contexte
Protéger les moyens de traitement contre les coupures et perturbations.
Comment faire simple : Un onduleur sur les équipements critiques (serveur, box internet) suffit pour une PME.
Exemple de preuve : Preuve d'installation d'un onduleur ou d'une alimentation de secours.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Protéger les câbles contre interception, interférence et dommage.
Comment faire simple : Un cheminement de câbles hors de portée du public et correctement identifié suffit.
Exemple de preuve : Photo ou plan du cheminement des câbles sensibles.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Gérer de manière appropriée l'accès en lecture/écriture au code source.
Comment faire simple : Non applicable si pas de développement interne ; sinon un dépôt Git privé avec droits restreints suffit.
Exemple de preuve : Registre des accès au dépôt de code source (ou exclusion justifiée en DdA).
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Surveiller et ajuster l'utilisation des ressources selon les besoins.
Comment faire simple : Une alerte automatique de saturation disque/CPU chez votre hébergeur suffit pour une PME.
Exemple de preuve : Rapport ou alerte de supervision des ressources.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Utiliser le masquage des données conformément à la politique d'accès.
Comment faire simple : Pertinent surtout si vous avez un environnement de test ; anonymisez ou pseudonymisez les jeux de données de test.
Exemple de preuve : Procédure de masquage appliquée aux données de test (ou exclusion justifiée).
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Mettre en œuvre une redondance suffisante pour la disponibilité requise.
Comment faire simple : Pour une PME non critique, un hébergement cloud avec SLA suffit sans doubler l'infrastructure en interne.
Exemple de preuve : Contrat d'hébergement précisant le niveau de disponibilité garanti.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Synchroniser les horloges des systèmes avec des sources de temps fiables.
Comment faire simple : Activez la synchronisation NTP automatique par défaut sur tous les serveurs et postes.
Exemple de preuve : Preuve de configuration de la synchronisation horaire.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Limiter et contrôler étroitement les utilitaires pouvant contourner la sécurité.
Comment faire simple : Restreignez l'installation de ces outils aux seuls comptes administrateurs habilités.
Exemple de preuve : Liste des utilitaires privilégiés autorisés et de leurs détenteurs.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Définir et appliquer des règles de développement logiciel sécurisé.
Comment faire simple : Non applicable si pas de développement interne ; sinon, une checklist de revue de code avant mise en production suffit.
Exemple de preuve : Procédure de développement sécurisé (ou exclusion justifiée en DdA).
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Identifier et approuver les exigences de sécurité lors du développement.
Comment faire simple : Intégrez une case sécurité au cahier des charges de tout nouveau développement ou achat applicatif.
Exemple de preuve : Cahier des charges incluant les exigences de sécurité validées.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Établir et appliquer des principes d'ingénierie des systèmes sécurisés.
Comment faire simple : Appuyez-vous sur les architectures de référence de votre hébergeur cloud plutôt que de tout concevoir en interne.
Exemple de preuve : Documentation d'architecture mentionnant les principes de sécurité retenus.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Appliquer des principes de codage sécurisé au développement logiciel.
Comment faire simple : Utilisez un linter de sécurité gratuit intégré à votre CI/CD plutôt qu'un audit de code manuel systématique.
Exemple de preuve : Rapport d'analyse de code ou preuve d'intégration d'un outil de contrôle.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Définir et mettre en œuvre des processus de tests de sécurité.
Comment faire simple : Un scan de vulnérabilité automatisé avant chaque mise en production suffit pour une PME.
Exemple de preuve : Rapport de test de sécurité réalisé avant mise en production.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Diriger, contrôler et vérifier les activités de développement externalisé.
Comment faire simple : Ajoutez une clause de sécurité et un droit d'audit dans le contrat avec votre prestataire de développement.
Exemple de preuve : Contrat incluant les exigences de sécurité et preuve de vérification livrée.
Rôle proposé : Dirigeant
Priorisation Viva QSE · À examiner selon le contexte
Séparer et sécuriser les environnements de développement, test et production.
Comment faire simple : Même a minima, séparez les accès et les identifiants entre environnements de test et de production.
Exemple de preuve : Schéma ou configuration démontrant la séparation des environnements.
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Sélectionner, protéger et gérer les données utilisées pour les tests.
Comment faire simple : Utilisez des données fictives ou anonymisées pour les tests plutôt que des données de production réelles.
Exemple de preuve : Procédure de gestion des données de test (ou exclusion justifiée).
Rôle proposé : IT / Prestataire
Priorisation Viva QSE · À examiner selon le contexte
Planifier et convenir des tests d'audit impliquant les systèmes opérationnels.
Comment faire simple : Planifiez les tests d'audit ou pentests en dehors des heures de forte activité et informez les équipes concernées.
Exemple de preuve : Planning d'audit validé et preuve d'information des équipes impactées.
Rôle proposé : IT / Prestataire
Un guide, pas un substitut à la norme
Interprétation méthodologique indépendante de Viva QSE. Le texte officiel reste la référence. Ces repères ne constituent ni une validation normative exhaustive ni une garantie de conformité.
Accompagnement ISO/IEC 27001:2022 · Autre guide · Ressources
Autres normes : ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27701, ISO/IEC 20000-1, ISO 22301.
Déployer votre dispositif
ISO, RGPD ou projet : mission de déploiement sur trois mois. Voir l’offre Build, ses conditions et ses tarifs.
Parlons de votre enjeu.
Un premier échange de 20 minutes, sans engagement. Vous préférez écrire ? Un court message suffit.
Échanger