ISO 27001 Clause 7 : Les cinq domaines de support vérifiés par les auditeurs

La Clause 7 exige cinq éléments de support : les ressources, les compétences, la sensibilisation, la communication et les informations documentées. Les auditeurs vérifient que vous avez d'abord défini les exigences — par exemple, ce que signifie la compétence pour un rôle donné — avant de produire les enregistrements correspondants. Vos prochaines actions immédiates sont une matrice de compétences, une cartographie des preuves et un registre unique de documents maîtrisés.

En bref :

• Définissez les compétences requises pour chaque rôle de sécurité avant de collecter des certificats, puis documentez les preuves de tâches, les dates d'évaluation, les évaluateurs et l'efficacité de la formation.
• Reliez les validations de ressources aux contrôles de la Déclaration d'Applicabilité et aux décisions budgétaires ou de dotation approuvées, afin que les auditeurs puissent retracer chaque capacité requise jusqu'à son financement.
• Les accusés de réception de politique doivent identifier la version datée ; les entretiens et les exercices de gestion des incidents permettent de vérifier si les salariés, prestataires et personnels temporaires comprennent leurs obligations.
• Tenez un registre unique de documents maîtrisés avec un responsable nommé, un historique des approbations, une seule version en vigueur, des règles d'accès et un calendrier de conservation ; adaptez le niveau de détail à la complexité de l'organisation.
• Définissez pour chaque communication son audience, sa périodicité, son canal et son déclencheur, puis consignez les messages par rapport au plan ; un plan sans traçabilité est traité comme l'absence de plan.

Table des matières

• 7.1 Ressources : périmètre, responsabilités et preuves d'audit
• 7.2 Compétences : construire et démontrer la compétence par rôle
• 7.3 Sensibilisation : prouver que les personnes comprennent le SMSI, et pas seulement qu'elles l'ont reçu
• 7.4 Communication : un plan de communication simple et auditable
• 7.5 Informations documentées : contrôles pratiques pour la création, la mise à jour et la maîtrise
• Ce que recherchent les auditeurs et comment conduire un auto-audit avant leur arrivée
• Les erreurs réellement commises par les équipes sur la Clause 7
• Dimensionner l'effort de la Clause 7 avec ISMS Calculator
• FAQ
• Sources

7.1 Ressources : périmètre, responsabilités et preuves d'audit

Les ressources au sens de la Clause 7 vont bien au-delà des effectifs. Elles comprennent les personnes, le temps, l'infrastructure, le budget et les services externes tels que les tests d'intrusion ou le conseil juridique. Un auditeur souhaite constater qu'une personne habilitée a décidé que ces ressources étaient adéquates pour le système de management de la sécurité de l'information, et non qu'elles existent simplement quelque part dans l'organisation.

La direction générale est responsable de ce point, et la norme attend une preuve visible de son implication. Une approbation budgétaire signée, rattachée à un objectif SMSI spécifique, convient. Un compte rendu de comité de direction faisant référence à une décision de dotation pour la fonction sécurité également. Les déclarations vagues sur des « ressources suffisantes » sans traçabilité décisionnelle satisfont rarement un auditeur qui recherche la cohérence entre l'intention et l'action.

Gardez à disposition les éléments suivants :

• Un registre de ressources listant les rôles, les outils et les lignes budgétaires associés aux objectifs du SMSI.
• Les documents budgétaires approuvés indiquant les dates de validation et les approbateurs.
• Les déclarations d'allocation de temps pour les responsabilités sécurité exercées à temps partiel.
• Les contrats de prestataires ou sous-traitants couvrant les fonctions sécurité externalisées.

Reliez les décisions en matière de ressources à votre Déclaration d'Applicabilité. Lorsqu'un contrôle de la DdA requiert un outil ou une compétence spécifique, votre registre de ressources doit indiquer comment cette exigence a été financée ou dotée en personnel. Ce lien est souvent le premier élément qu'un auditeur retrace, et son absence génère une non-conformité même lorsque la ressource existe effectivement.

Conseil pratique : Conservez les validations de ressources dans le même registre que celui utilisé pour les objectifs, afin qu'un auditeur puisse relier financement et finalité dans un seul document plutôt que dans trois.

7.2 Compétences : construire et démontrer la compétence par rôle

La norme définit quatre étapes ordonnées : déterminer les compétences nécessaires pour les rôles ayant une incidence sur les performances en matière de sécurité, s'assurer que les personnes disposent de ces compétences par la formation, l'instruction ou l'expérience, agir pour combler les écarts, et conserver des preuves documentées de l'ensemble. L'omission de la première étape est la raison la plus fréquente pour laquelle les preuves de compétence sont rejetées en audit : un certificat ne signifie rien si personne n'a défini la compétence que le rôle requiert réellement.

Une matrice de compétences est le moyen le plus reproductible de satisfaire à cette clause. Construisez-la avec les champs suivants :

• Rôle ou intitulé de poste.
• Tâches ayant une incidence sur les performances en matière de sécurité de l'information.
• Compétences requises pour ces tâches, formulées de manière précise plutôt que générique.
• Preuves détenues, telles qu'un certificat, un enregistrement de formation ou une expérience documentée.
• Date de la dernière évaluation et identité de l'évaluateur.

Selon l'analyse de praticiens portant sur les audits de la Clause 7, les auditeurs rejettent fréquemment les preuves de compétence lorsque des certificats sont présentés sans qu'une exigence de compétence définie ne les sous-tende, et recommandent la matrice de compétences comme solution concrète. L'analyse d'AuditBadger sur les constats courants de la Clause 7 traite cet écart comme le schéma d'échec le plus fréquent de la clause.

Évaluer si la formation a réellement porté ses fruits importe davantage que la formation elle-même. Les questionnaires post-formation, l'observation des tâches réalisées et la révision par les pairs constituent tous des preuves d'efficacité, et chacun d'eux renforce un dossier de compétence bien plus qu'une simple feuille d'émargement. Pour les auditeurs internes et le personnel technique, conservez les CV, les enregistrements d'évaluations antérieures et les déclarations d'indépendance lorsque le rôle exige une séparation des tâches. Notre guide pratique des preuves d'audit couvre en détail les formats acceptables pour ces enregistrements.

Conseil pratique : Lorsqu'un rôle ne possède pas de certification formelle, documentez les années d'expérience pertinente en regard de la liste de tâches spécifiques. L'évaluation écrite d'un manager, associée aux tâches du rôle, a souvent plus de poids qu'une simple attestation de suivi de formation générique.

7.3 Sensibilisation : prouver que les personnes comprennent le SMSI, et pas seulement qu'elles l'ont reçu

La sensibilisation n'est pas synonyme de diffusion. Envoyer une politique par e-mail et consigner cet envoi prouve la distribution, non la compréhension. La Clause 7.3 demande si les personnes saisissent la politique de sécurité, la contribution de leur rôle au SMSI et les conséquences du non-respect des exigences — et les auditeurs testent souvent cela directement en interrogeant les collaborateurs plutôt qu'en examinant uniquement la documentation.

Un programme de sensibilisation opérationnel comprend :

1. Des sessions d'intégration couvrant la politique, la contribution du rôle et les conséquences de la non-conformité.
2. Des accusés de réception signés, rattachés à une version spécifique et datée de la politique.
3. Des rappels périodiques planifiés selon une fréquence définie plutôt qu'au cas par cas.
4. Des exercices de signalement d'incidents testant ce que le personnel sait faire, et pas seulement ce qu'il a été informé de faire.
5. Une couverture des prestataires et du personnel temporaire, qui sont fréquemment exclus puis signalés en audit.

Ce qui compte lors de l'audit, c'est le lien entre un enregistrement et une version spécifique d'un document. Un registre d'accusés de réception qui ne peut pas indiquer quelle version de politique un salarié a signée constitue une preuve fragile. Les calendriers de rappel et les rapports d'exercices comblent cet écart en démontrant que le programme fonctionne en continu et non uniquement à l'embauche.

Conseil pratique : Simulez un bref entretien avec quelques collaborateurs avant la fenêtre d'audit, en leur demandant d'expliquer avec leurs propres mots les responsabilités sécurité liées à leur rôle. S'ils n'y parviennent pas, le registre d'accusés de réception ne vous sauvera pas.

7.4 Communication : un plan de communication simple et auditable

La Clause 7.4 demande un plan, non une philosophie. La norme attend que vous définissiez ce que vous communiquez, quand, avec qui et comment — et un tableau d'une page y suffit généralement. Les déclencheurs courants à planifier comprennent les incidents de sécurité, les modifications de politique, les rapports périodiques à la direction et les notifications aux fournisseurs dont les services entrent dans le périmètre de votre SMSI.

Un plan de communication satisfaisant pour un auditeur comprend généralement :

• Une liste des types de communication associés aux destinataires visés.
• Une temporalité définie, par exemple « dans les 24 heures » pour les notifications d'incidents ou « trimestriellement » pour les synthèses de revue de direction.
• Le canal utilisé, qu'il s'agisse d'un e-mail, d'un système de ticketing ou d'une réunion planifiée.
• Un journal des communications effectivement envoyées, référencé aux éléments du plan qui les ont déclenchées.

Les preuves n'ont pas besoin d'être élaborées. Des comptes rendus de réunion faisant référence à un élément de plan spécifique, un journal de diffusion montrant qu'une mise à jour de politique a atteint son audience cible, et un exemple de message lié à une notification d'incident sont tous suffisants dès lors qu'ils se rattachent au plan lui-même. Un plan sans journal correspondant est traité de la même façon que l'absence de plan.

7.5 Informations documentées : contrôles pratiques pour la création, la mise à jour et la maîtrise

La Clause 7.5 est celle où s'accumule la majeure partie de la dette documentaire, et c'est également la sous-clause sur laquelle les auditeurs passent le plus de temps. La norme exige la maîtrise de l'identification, du format, de la revue et de l'approbation, de la gestion des versions, de l'accès, du stockage et de la conservation, ainsi que de la durée de conservation et de l'élimination — et ce également pour les documents d'origine externe dont votre SMSI dépend.

Les contrôles de maîtrise documentaire doivent couvrir l'identification, la revue et l'approbation, la gestion des versions, le stockage et la conservation, la diffusion et l'accès, ainsi que la durée de conservation et l'élimination, y compris pour les documents d'origine externe si nécessaire. Cela est explicitement énoncé dans les exigences 7.5.2 et 7.5.3 de la norme.

Les contrôles qui rendent cela opérationnel en pratique :

• Un responsable de document nommé pour chaque document maîtrisé, et non un département.
• Des métadonnées d'identification : titre, date, version et auteur sur chaque enregistrement.
• Une étape de revue et d'approbation définie avant qu'un document ne devienne actif.
• Une gestion des versions empêchant l'existence simultanée de deux exemplaires « en vigueur ».
• Un contrôle d'accès proportionné à la sensibilité, avec journalisation là où l'accès doit être auditable.
• Des règles de conservation et d'élimination définies par type de document, et non supposées.

Une source unique de vérité avec historique des pages, un champ de responsable explicite et un champ de date de revue résout le problème de dérive des versions qui piège la plupart des organisations lors de l'audit — et pour le matériel en fin de vie, vous pouvez faire appel à des services de mise au rebut d'équipements conformes pour obtenir une preuve certifiée d'élimination sécurisée, selon les recommandations pratiques d'AuditBadger sur la maîtrise documentaire de la Clause 7. La norme elle-même précise que l'étendue des informations documentées doit être proportionnée à la taille et à la complexité de l'organisation ; une équipe de cinq personnes n'a donc pas besoin de la même architecture documentaire qu'une entreprise de 500 personnes.

Le mode d'échec le plus courant est la dérive : une politique est mise à jour localement, partagée de manière informelle, et ne réintègre jamais le registre maîtrisé, laissant plusieurs versions en circulation sans responsable clairement désigné. Notre guide détaillé sur la maîtrise documentaire de la Clause 7.5 explique comment construire un registre permettant d'éviter cela. Les auditeurs s'attendent généralement à trouver un registre de documents, une traçabilité des approbations pour chaque document maîtrisé, des journaux d'accès le cas échéant, et un calendrier de conservation indiquant la durée de conservation de chaque type d'enregistrement et ses modalités d'élimination.

Conseil pratique : Construisez votre registre de documents avant de rédiger vos politiques. Rétrospectivement attribuer des responsables et mettre en place la gestion des versions sur des documents existants prend bien plus de temps que de partir d'une structure déjà en place.

Ce que recherchent les auditeurs et comment conduire un auto-audit avant leur arrivée

Les auditeurs qui testent la Clause 7 suivent un schéma cohérent : ils sondent quelques collaborateurs en entretien, vérifient que les exigences de compétence renvoient à des preuves spécifiques, et croisent les tâches avec les enregistrements que vous présentez. Les types de preuves les plus fréquemment rejetés partagent une cause commune : un certificat présenté sans exigence de compétence définie en amont, ou une politique diffusée par e-mail sans accusé de réception identifiable par version.

Effectuez cette vérification avant l'ouverture d'une fenêtre d'audit :

1. Prenez trois rôles au hasard et confirmez que leurs exigences de compétence sont rédigées, et non supposées.
2. Vérifiez que chaque registre d'accusés de réception est rattaché à une version de politique spécifique et datée.
3. Retracez une décision de ressources de la Déclaration d'Applicabilité jusqu'à une ligne budgétaire approuvée.
4. Confirmez que votre registre de documents ne contient aucun document sans responsable nommé.
5. Demandez à deux ou trois collaborateurs d'expliquer leurs responsabilités en matière de sécurité sans sollicitation préalable.

Simuler des entretiens avec les collaborateurs et parcourir votre propre registre avant que l'auditeur ne le fasse permet de détecter la plupart de ces écarts à l'avance, pour un coût qui ne dépasse pas une demi-journée.

Les erreurs réellement commises par les équipes sur la Clause 7

La plupart des équipes traitent la Clause 7 comme un exercice purement administratif et commencent par collecter des certificats, des formulaires d'accusé de réception et des politiques en PDF avant que quiconque n'ait formalisé ce que doivent être la compétence ou la sensibilisation pour un rôle donné. Cet ordre est inversé, et c'est pourquoi tant d'audits font apparaître des constats sur des preuves qui existent techniquement mais ne répondent pas à la question que l'auditeur pose réellement.

Définissez l'exigence en premier. Que signifie « compétent » pour ce rôle spécifique, dans cette liste de tâches spécifique ? Ce n'est qu'ensuite qu'il est pertinent de rechercher des preuves satisfaisant cette exigence. La même logique s'applique à la documentation : proportionnée et centralisée vaut mieux qu'exhaustive et dispersée en toutes circonstances — un registre de cinq pages que tout le monde met réellement à jour est plus performant qu'un registre de cinquante pages qui a dérivé hors de contrôle il y a six mois.

Les certificats seuls comblent rarement l'écart pour les rôles techniques ou proches de l'audit. Une courte évaluation écrite, l'évaluation d'un manager au regard de la liste de tâches, ou des années d'expérience pratique documentées démontrent souvent la compétence de manière plus convaincante qu'une attestation de suivi de formation, et les auditeurs tendent à partager cet avis.

— Martin

Dimensionner l'effort de la Clause 7 avec ISMS Calculator

Déterminer le temps et le budget que nécessitera réellement la Clause 7 constitue en soi un problème de planification, distinct de la compréhension de la clause. Nous avons conçu ISMS Calculator pour répondre directement à cette question : notre calculateur en temps réel vous fournit une estimation personnalisée des coûts et de l'effort en fonction de la taille de votre entreprise, de votre secteur et de votre maturité sécurité actuelle, comparée à des valeurs de référence pour vous permettre d'évaluer le réalisme de votre plan avant de vous y engager.

Notre boîte à outils comprend une évaluation de maturité couvrant les domaines ISO, utile pour identifier précisément où se situent vos lacunes de la Clause 7 en matière de ressources, de compétences ou de documentation, avant de construire un plan de remédiation. Pour une première lecture rapide, effectuez notre diagnostic de préparation gratuit en 2 minutes pour identifier les points où les preuves de la Clause 7 sont insuffisantes et obtenir une liste priorisée de ce qu'il faut corriger en premier. Pour une analyse plus approfondie, notre évaluation de préparation ISO 27001 parcourt en détail la constitution des preuves. Dans tous les cas, vous repartez avec une vision plus claire de ce que la Clause 7 coûtera en temps et en budget — et non une simple estimation.

FAQ

Pouvez-vous expliquer ISO 27001 simplement ?

ISO 27001 est une norme internationale qui définit les exigences pour la mise en place et le fonctionnement d'un système de management de la sécurité de l'information, couvrant tout, de l'engagement de la direction au traitement des risques et aux fonctions de support telles que la Clause 7. Elle offre aux organisations une approche structurée pour protéger l'information et démontrer cette protection à leurs clients, aux régulateurs et aux auditeurs.

ISO 27001 est-il obsolète ?

Non. L'édition publiée en vigueur est ISO/IEC 27001:2022, qui reste la norme active contre laquelle les organisations se certifient.

Quelles sont les clauses obligatoires d'ISO 27001 ?

Les clauses 4 à 10 sont obligatoires pour toute organisation revendiquant la conformité ; elles couvrent le contexte, le leadership, la planification, le support, le fonctionnement, l'évaluation des performances et l'amélioration. La Clause 7, consacrée au support, se situe au cœur de cette séquence et sous-tend les preuves nécessaires à la satisfaction de plusieurs autres clauses.

Qu'est-ce que la clause 7.1 dans ISO 9001 ?

Cette question revient souvent parce qu'ISO 27001 partage une structure de haut niveau similaire à celle d'autres normes, mais les deux normes sont distinctes. La Clause 7.1 d'ISO 27001 traite spécifiquement des ressources pour un système de management de la sécurité de l'information, tandis que d'autres normes peuvent traiter des ressources pour un système de management de la qualité — ces deux points ne doivent pas être confondus malgré la numérotation similaire.

Qu'est-ce que le support selon la Clause 7 d'ISO 27001 ?

La Clause 7 est la section support d'ISO/IEC 27001, couvrant les ressources, les compétences, la sensibilisation, la communication et les informations documentées. Elle exige que les organisations définissent ce que chacun de ces éléments signifie dans leur contexte, puis produisent des preuves correspondant à ces définitions — ce que les auditeurs testent précisément lors des visites de certification et de surveillance.

Sources

• Archive
• ISO/IEC 27001:2022 - Système de management de la sécurité de l'information
• ISO 27001 Clause 7 : Support — Compétences, sensibilisation et informations documentées (AuditBadger)

Recommandé

• 3 livrables prêts pour l'audit sur la Clause 4 d'ISO 27001 (équipes SMSI)
• Clause 6 d'ISO 27001 prête pour l'audit : associer les livrables aux preuves
• Liste de contrôle pour la certification ISO 27001 : 80 étapes vers la certification
• Rendre la Clause 7.5 d'ISO 27001 prête pour l'audit : registre et dossier de preuves