Un gros client corporate nous demande la certification ISO 27001 : faisable en interne ou faut-il un consultant ?

On est 18 à Djeddah, on l'a passée l'an dernier. On a payé 38.000 SAR pour le conseil et 18.000 SAR pour l'organisme d'audit accrédité. Ça a pris pile 5 mois et demi. Si on l'avait fait seuls, notre DevOps aurait dû lâcher le dev pendant au moins 3 mois, ça nous aurait coûté bien plus cher au final.

Ne collez pas ça sur le dos du DevOps. L'ISO 27001, ce n'est pas juste des firewalls et du chiffrement : les process RH de recrutement, la sécurité physique des locaux, les contrats fournisseurs, la gestion des actifs... la partie admin représente plus de la moitié de la norme. L'ingé saura cadrer les contrôles techniques, mais il calera sur la gestion des processus.

Méfiez-vous grandement dans le choix du consultant. Beaucoup se contentent de coller des templates Word génériques pour 40.000 SAR. Le jour de l'audit quand l'auditeur demande « qui applique cette procédure ? », vos employés tombent des nues. Prenez quelqu'un qui construit les process avec vous, pas un simple vendeur de modèles.

au début on s'est dit qu'on allait gérer avec des templates chopés sur le net mais après 2 mois on était juste noyés sous la paperasse. l'auditeur externe nous a direct mis nos manques dans les dents à la phase 1 du coup on a dû prendre un consultant. avec une échéance de 6 mois tentez pas le diable franchement.

Comme votre client est semi-public en Arabie saoudite, vérifiez s'il exige uniquement l'ISO 27001 ou aussi la conformité NCA ECC (Essential Cybersecurity Controls). Lisez bien le cahier des charges : les exigences NCA sur les marchés publics sont parfois plus strictes que l'ISO, posez la question au consultant dès le départ.

Rappel réglementaire important : le cabinet de conseil et l'organisme d'audit ne peuvent pas être la même entité ni appartenir au même groupe, c'est contraire aux règles d'accréditation. Vérifiez bien la validité de l'accréditation du certificateur indépendant (ex. IAS, UKAS ou aligné SASO) lors des devis.

Le tout premier truc à faire, c'est de restreindre le périmètre. N'englobez pas toute la boîte, limitez le scope à l'infra logicielle vendue au client et à l'équipe dev. Moins il y a d'actifs audités, plus ça va vite et moins le conseil coûte cher.

Vous avez raison. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

J'ai travaillé longtemps sur ce sujet. Quand on décide sans mesurer, on revient toujours au même point.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

on en parle beaucoup mais chez nous cela ne s'est jamais passé ainsi. n'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

c'est mon avis je ne l'écris pas comme une vérité absolue.

Chez nous, ça s'est passé comme ça. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Je suis aussi curieux de savoir si d'autres font autrement.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Bien sûr, cela change si votre situation est différente.

Il faut faire une distinction ici. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Je suis aussi curieux de savoir si d'autres font autrement.

Il faut faire une distinction ici. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

C'est confirmé par l'expérience.

Vous avez raison, je suis aussi passé par là. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

À votre place, j'irais par cette voie.

Il y a une erreur fréquente à commettre en faisant cela. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Corrigez-moi si je me trompe.

J'aimerais poser une question. La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. bref corrigez-moi si je me trompe.

Pourriez-vous préciser un peu ? genre le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Je le note au cas où.