Check-list pré-audit ISO 27001 : 2 semaines avant le Stage 2

Le Stage 2 est dans deux semaines. Cette check-list en 22 points passe en revue tout ce que les auditeurs demandent systématiquement — si une case manque, corrigez-la maintenant.

Deux semaines avant le Stage 2. Il ne s'agit plus de construire des éléments essentiels — mais de vérifier que tout est en ordre. Passez ces 22 points en revue.

Documentation

1. La politique de sécurité est à jour, un propriétaire est désigné, et la date de révision annuelle est planifiée.
2. La déclaration d'applicabilité (Statement of Applicability) est à jour (tous les contrôles de l'Annexe A : implémenté / NA + justification).
3. L'ensemble des 8 à 12 politiques sont au bon numéro de version, avec un journal des modifications visible.
4. La date de révision du registre des risques se situe dans le dernier trimestre.
5. L'inventaire des actifs est à jour (y compris l'inventaire SaaS).

Preuves opérationnelles

6. La dernière revue des accès a été réalisée, avec un rapport PDF incluant les décisions et les signatures.
7. L'inventaire des accès privilégiés est à jour, la dernière revue date de moins de 3 mois.
8. Les 2 derniers départs sont entièrement documentés.
9. Le processus d'intégration d'au moins un collaborateur récent est complet.
10. Un test de sauvegarde a été effectué, avec preuve de restauration.
11. Le registre des incidents du dernier trimestre est tenu à jour (y compris les périodes sans incident).

Gouvernance

12. La dernière revue de direction a eu lieu dans les 12 derniers mois, procès-verbal disponible.
13. L'audit interne est finalisé, le rapport est disponible, et les constats sont clôturés ou inclus dans un plan d'action.
14. Journal de formation : tous les collaborateurs ont suivi la sensibilisation à la sécurité cette année.
15. Document sur les rôles et responsabilités (rôle RSSI attribué, même si c'est le dirigeant lui-même).

Technique

16. MFA imposé sur les systèmes critiques (administration M365, comptabilité, infrastructure cloud).
17. Politique de mots de passe appliquée (longueur minimale + blocage des mots de passe courants).
18. Correctifs : patches OS/navigateur du dernier trimestre appliqués sur > 95 % des appareils.
19. Anti-malware installé sur tous les postes de travail.
20. Chiffrement du disque activé sur tous les ordinateurs portables professionnels.

Contrats

21. Accords de sous-traitance conclus avec les fournisseurs principaux (voir le registre des traitements).
22. Clauses de confidentialité et de sécurité incluses dans les contrats de travail.

Tout est coché → vous êtes prêt pour le Stage 2.