Un gros client corporate nous réclame la certification ISO 27001 : c'est quoi exactement et est-ce vraiment nécessaire ?

Surtout, ne répondez pas cash au client avec un simple « on ne l'a pas ». Beaucoup de grands comptes accordent un accord temporaire si vous leur dites « nous avons lancé notre projet de mise en conformité ISO 27001 avec audit visé dans 6 mois », accompagné de vos politiques de sécurité actuelles en pièce jointe.

Avec la dernière version ISO/IEC 27001:2022, les contrôles de l'Annexe A ont été simplifiés à 93 mesures. En tant qu'agence dev, ce qui va le plus vous concerner, c'est le cycle de vie de développement sécurisé (SDLC), les logs d'accès aux dépôts de code source, l'anonymisation des données de test et l'isolation stricte entre environnements de prod et de dev.

On l'a passée l'année dernière à Madrid avec une équipe de 11 personnes. On a payé 5.000 euros pour le consultant externe et 3.500 euros à l'auditeur certifié pour la première année. Ça nous a pris 5 mois au total. Ça paraît cher, mais pour un contrat récurrent à 120.000 euros par an, l'investissement est très largement amorti.

Si c'est juste pour un seul client, réfléchissez-y à deux fois. Ce n'est pas un bout de papier qu'on encadre une fois pour toutes : il y a un audit de surveillance chaque année, et c'est payant. Dans une boîte de 9 personnes, devoir tout consigner et remplir des fiches de risques en permanence, ça ralentit sérieusement le rythme des devs.

Au début voir ces centaines de pages d'exigences fait un peu peur. genre mais une fois dedans, on se rend compte qu'il s'agit surtout de formaliser par écrit ce qu'une équipe de dev sérieuse fait déjà de manière informelle.

Vous allez accéder à quoi exactement sur leur système ? Si vous vous contentez de faire tourner du code sur leurs serveurs sans héberger de données client dans vos propres locaux, vous pouvez peut-être réduire le périmètre (scope) de l'audit et diviser le temps et les coûts par deux.

on a eu exactement le meme coup avec un client telecom on a comble les failles, fourni un rapport de pentest externe et demande 6 mois de delai supplementaire. lachez pas le deal si vite.

Sur le marché espagnol, les grands comptes et les organismes publics considèrent l'ISO 27001 comme le prérequis de base pour la sécurité des sous-traitants. L'obtention de cette certification représente un vrai levier stratégique et un avantage concurrentiel pour vos futurs contrats B2B.

Je vais raconter ce qui m'est arrivé ça pourrait vous servir. Quand on décide sans mesurer on revient toujours au même point.

À votre place, j'irais par cette voie.

Je suis d'accord en partie, pas en partie. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Bon courage.

Je me permets une petite mise en garde. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Bon courage.

J'écris cela pour éviter que vous ne fassiez la même erreur. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Je le note au cas où.

pour entrer dans le détail : Si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

les solutions qui fonctionnent à petite échelle s'effondrent en grandissant j'ai appris cela trop tard. genre je le note au cas où.

Chez nous aussi. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Il faut faire une distinction ici. L'erreur commise du côté de norme ISO 27001 est généralement réversible, mais coûteuse.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Sujet très actuel.

En regardant le processus, le tableau change. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Corrigez-moi si je me trompe.

Il est rare de trouver un texte qui explique les choses aussi clairement. Le temps que vous mettez à détecter un problème détermine directement son coût.

C'est confirmé par l'expérience.