Déclaration d'applicabilité ISO 27001 : la construire sans se perdre dans les 93 mesures

La déclaration d'applicabilité (DdA, ou SoA en anglais) est le document que tout auditeur ISO 27001 ouvre en premier. Elle recense les 93 mesures de l'annexe A de la norme, indique lesquelles vous appliquez, lesquelles vous excluez, et pourquoi. Bien faite, elle raconte la cohérence de votre démarche. Mal faite, elle révèle une analyse de risques superficielle.

Partir des risques, pas des mesures

L'erreur classique consiste à parcourir les 93 mesures une à une en se demandant « est-ce qu'on fait ça ? ». La logique de la norme est inverse : vous identifiez vos risques, vous décidez comment les traiter, et les mesures de l'annexe A servent à vérifier que vous n'avez rien oublié. La DdA est donc l'aboutissement de l'analyse de risques, pas un questionnaire indépendant.

Les quatre thèmes de la version 2022

La version 2022 regroupe les mesures en quatre familles : organisationnelles (37), liées aux personnes (8), physiques (14) et technologiques (34). Onze mesures sont nouvelles par rapport à 2013 : renseignement sur les menaces, sécurité pour l'usage de services cloud, préparation des TIC à la continuité, surveillance des activités, filtrage web, codage sécurisé, gestion des configurations, suppression et masquage des données, prévention des fuites de données.

Justifier chaque choix

Pour chaque mesure, la DdA doit indiquer :

• si elle est applicable ou exclue ;
• la justification (le risque couvert, ou la raison de l'exclusion) ;
• son statut de mise en œuvre et une référence vers la politique ou la procédure correspondante.

Une exclusion est légitime — par exemple, le développement sécurisé si vous ne développez aucun logiciel — à condition qu'elle soit cohérente avec votre périmètre et vos risques.

Les pièges à éviter

• recopier une DdA type sans la relier à vos risques réels ;
• déclarer « applicable » des mesures qui ne sont en réalité pas en place ;
• oublier de mettre à jour la DdA après un changement de périmètre ou une nouvelle analyse de risques.

La DdA se tient à jour comme un document vivant, revu à chaque itération du SMSI. Pour évaluer où vous en êtes, utilisez notre grille d'autodiagnostic ISO 27001.