De l’audit à la certification ISO 27001 pour une ESN de 100 personnes

Le défi

Une ESN d’une centaine de personnes, qui vend elle-même des services de cybersécurité, devait prouver la solidité de ses pratiques à ses clients et partenaires : obtenir la certification ISO 27001 et préparer sa qualification PASSI. Sans développement logiciel critique en interne, mais avec un environnement multicloud et de nombreux services SaaS.

• Définir un périmètre de certification clair et réaliste, et mutualiser les preuves entre les deux référentiels.
• Harmoniser des pratiques de sécurité différentes d’un département à l’autre.
• Intégrer le système de management sans freiner l’agilité de l’entreprise.

Ce que nous avons fait

Gouvernance : un système de management complet et vivant

• Cadrage avec les sponsors et désignation d’un référent par capacité métier et par fonction support.
• Analyse de risques, plan de traitement et politique de sécurité.
• Système de management de la sécurité de l’information de 105 documents, avec une déclaration d’applicabilité qui justifie chaque mesure non applicable et en anticipe 13 si le périmètre évolue.
• Gouvernance formalisée : comité sécurité, revue de direction, audits internes planifiés.

Architecture : une sécurité déployée par étapes

• Plan directeur de l’architecture de sécurité et modèles d’intégration.
• Identités et accès : authentification unique, MFA systématique sur les accès sensibles, élévation de droits « juste à temps », revues d’accès périodiques.
• Postes et serveurs : EDR, gestion de flotte, chiffrement, durcissement et contrôle de dérive des configurations.
• Exposition : WAF et CDN devant les services exposés, DNS filtrant, accès d’administration par ZTNA.
• Vulnérabilités : analyses récurrentes, priorisation selon l’exposition, délais de correction par criticité.
• Sauvegardes chiffrées et immuables, tests de restauration planifiés, journaux centralisés et procédures de réponse aux incidents.
• Déploiement progressif : gains rapides d’abord (MFA, EDR, sauvegardes), puis renforcement (WAF, SIEM, ZTNA).

Ce qui a changé

• Certification ISO 27001 obtenue ; maturité cyber reconnue par les auditeurs de la qualification PASSI du client.
• Audits internes réussis, appuyés sur des jeux de preuves structurés.
• Des processus outillés, des responsabilités claires et une meilleure réactivité en cas d’incident.

Trois offres enchaînées, d’Organiser à Orchestrer : Trusted Organisation pour la gouvernance, Trusted Architecture pour la conception et Trusted Integration pour la mise en œuvre.