[{"data":1,"prerenderedAt":351},["ShallowReactive",2],{"\u002Fblog\u002Fcertification-iso-27001-retour-experience\u002F":3,"related-\u002Fblog\u002Fcertification-iso-27001-retour-experience":326},{"id":4,"title":5,"author":6,"body":7,"category":297,"date":298,"description":299,"draft":300,"extension":301,"faqs":302,"image":315,"meta":318,"navigation":319,"path":320,"seo":321,"seoTitle":322,"showOnBlog":319,"stem":323,"updatedAt":324,"__hash__":325},"blog\u002Fblog\u002Fcertification-iso-27001-retour-experience.md","Certification ISO 27001 : ce que trois démarches clients et la nôtre nous ont appris","Valentin Bourgeois",{"type":8,"value":9,"toc":284},"minimark",[10,15,28,42,49,53,56,59,62,66,69,72,75,82,86,89,100,103,110,113,117,120,126,132,139,146,150,156,159,162,166,173,180,188,192,201,218,225,232,235,238,242,276],[11,12,14],"h2",{"id":13},"lessentiel-en-30-secondes","L'essentiel en 30 secondes",[16,17,18,19,23,24,27],"p",{},"Nous accompagnons des PME sur le volet technique de leurs démarches ",[20,21,22],"strong",{},"ISO 27001, SOC 2 et DORA",", et nous avons obtenu notre propre certification ISO 27001 le 22 août 2026. Ce double point de vue nous a appris une chose : ",[20,25,26],{},"ce qui fait échouer ou traîner une démarche n'est presque jamais technique",".",[16,29,30,31,34,35,38,39,27],{},"Les trois obstacles réels : ",[20,32,33],{},"l'absence d'un interlocuteur interne réellement impliqué",", l'idée qu'on peut ",[20,36,37],{},"déléguer sa certification",", et la sous-estimation du ",[20,40,41],{},"temps de documentation",[16,43,44,45,48],{},"Et un piège très concret, qui a coûté des mois à un client : des ",[20,46,47],{},"preuves inexploitables"," parce que non horodatées.",[11,50,52],{"id":51},"ce-qui-bloque-nest-jamais-la-technique","Ce qui bloque n'est jamais la technique",[16,54,55],{},"C'est contre-intuitif, surtout venant d'un prestataire technique. Déployer un EDR, durcir un tenant Microsoft 365, activer la journalisation, chiffrer les postes, tester une restauration : tout cela se planifie et s'exécute. Ce sont des semaines de travail, pas des mois, et le résultat est mesurable.",[16,57,58],{},"Ce qui prend du temps, c'est tout le reste. Décider quel risque on accepte et lequel on traite. Écrire une politique que l'équipe appliquera vraiment. Nommer un responsable. Tenir une revue de direction. Prouver que la mesure était en place le 15 mars et pas seulement la veille de l'audit.",[16,60,61],{},"Aucune de ces décisions ne peut être prise par un prestataire.",[11,63,65],{"id":64},"il-faut-un-interlocuteur-interne-et-il-faut-quil-ait-du-temps","Il faut un interlocuteur interne, et il faut qu'il ait du temps",[16,67,68],{},"C'est la première difficulté, et de loin la plus fréquente. Une démarche de certification a besoin d'une personne côté client qui la porte : quelqu'un qui connaît l'organisation, qui peut arbitrer, et qui dispose de temps sur plusieurs mois.",[16,70,71],{},"Dans une PME, cette personne existe rarement. C'est le dirigeant, le DAF ou le responsable qualité, qui découvre la norme en même temps que le projet et à qui personne n'a dégagé de temps. Le projet avance alors par à-coups, entre deux urgences, et le calendrier glisse.",[16,73,74],{},"Quand cet interlocuteur est identifié, disponible et mandaté, tout change. Les questions se règlent en jours au lieu de semaines, les politiques se valident, les preuves arrivent. Quand il ne l'est pas, aucun prestataire ne compensera.",[16,76,77,78,81],{},"Notre conseil avant même de choisir un organisme certificateur : ",[20,79,80],{},"désignez cette personne et donnez-lui du temps officiellement",". C'est la décision qui a le plus d'impact sur la durée du projet.",[11,83,85],{"id":84},"on-ne-délègue-pas-sa-certification","On ne délègue pas sa certification",[16,87,88],{},"Le deuxième malentendu, c'est de croire qu'un prestataire informatique peut « faire la certification ». Il ne peut pas, et il faut se méfier de celui qui l'affirme.",[16,90,91,92,95,96,99],{},"La certification porte sur ",[20,93,94],{},"votre"," système de management de la sécurité de l'information : votre périmètre, votre analyse de risques, vos décisions, votre gouvernance. L'auditeur vient vérifier que ",[20,97,98],{},"vous"," pilotez la sécurité de votre information, pas que votre prestataire a bien configuré ses outils.",[16,101,102],{},"Ce que nous couvrons, très concrètement : le durcissement de l'environnement Microsoft 365 et Intune que nous administrons, la journalisation et sa conservation, la gestion des accès et des comptes à privilèges, la sauvegarde et sa restauration testée, la protection des postes, et la production des preuves techniques correspondantes, dans un format exploitable par un auditeur.",[16,104,105,106,109],{},"Ce que nous ne couvrons pas : votre analyse de risques, vos politiques, votre revue de direction, votre audit interne, et évidemment l'audit de certification. Nous ne sommes ni cabinet de conseil en conformité, ni organisme certificateur, ni auditeur accrédité. Nous sommes des ",[20,107,108],{},"experts Microsoft qui ont traversé plusieurs de ces audits"," et qui savent ce qu'un auditeur demande.",[16,111,112],{},"Cette limite n'est pas une faiblesse commerciale : c'est ce qui rend le partage des rôles clair dès le départ, au lieu de le découvrir trois mois avant l'audit.",[11,114,116],{"id":115},"lanecdote-qui-coûte-le-plus-cher-des-preuves-non-horodatées","L'anecdote qui coûte le plus cher : des preuves non horodatées",[16,118,119],{},"Un client avait commencé sa démarche seul, avec sérieux. Pendant des mois, il avait documenté ses configurations en capturant des écrans : paramètres de sécurité, règles d'accès, états de sauvegarde. Un travail considérable.",[16,121,122,123,27],{},"Problème : ",[20,124,125],{},"le champ date et heure du système n'apparaissait sur aucune capture",[16,127,128,129],{},"Rien ne permettait donc de démontrer à quel moment un contrôle était effectivement en place. Une capture sans horodatage prouve que la configuration a existé un jour, pas qu'elle était active pendant la période auditée. ",[20,130,131],{},"Tout a dû être refait.",[16,133,134,135,138],{},"C'est le genre de détail qu'on n'anticipe pas quand on n'a jamais vu d'audit, et qui saute aux yeux quand on en a vu plusieurs. Une preuve utile est ",[20,136,137],{},"datable, attribuable et reproductible"," : on doit savoir quand elle a été produite, par qui, et pouvoir la régénérer à l'identique.",[16,140,141,142,145],{},"C'est aussi pourquoi nous privilégions les preuves ",[20,143,144],{},"extraites automatiquement"," (exports d'API, rapports générés, journaux) plutôt que les captures manuelles. Elles portent leur horodatage nativement et se reproduisent sans effort au prochain audit de surveillance.",[11,147,149],{"id":148},"le-vrai-coût-du-temps-et-de-la-documentation","Le vrai coût : du temps et de la documentation",[16,151,152,153,27],{},"Personne ne prévient assez sur ce point. La part technique d'une démarche ISO 27001 est la plus visible mais pas la plus lourde. L'essentiel du travail consiste à ",[20,154,155],{},"écrire, tenir à jour et prouver",[16,157,158],{},"Politiques, procédures, registre des risques, registre des actions correctives, déclaration d'applicabilité, comptes rendus de revues, preuves par contrôle : la norme 2022 compte 93 contrôles en annexe A, et chacun de ceux que vous retenez doit être documenté et démontrable.",[16,160,161],{},"Ce volume ne se rattrape pas dans les dernières semaines. Il se construit progressivement, ou il ne se construit pas.",[11,163,165],{"id":164},"le-certificat-nest-pas-une-ligne-darrivée","Le certificat n'est pas une ligne d'arrivée",[16,167,168,169,172],{},"Dernier point, et c'est celui qui devrait orienter toute la démarche : ",[20,170,171],{},"la certification est valable trois ans, avec des audits de surveillance annuels",". Un système monté à la va-vite pour passer l'audit initial se paie au premier audit de surveillance.",[16,174,175,176,179],{},"Il faut donc bâtir pour durer : des preuves qui se régénèrent automatiquement, des politiques que l'équipe applique réellement, des revues effectivement tenues. Une démarche de certification est un ",[20,177,178],{},"choix de stratégie long terme",", pas un projet à échéance.",[16,181,182,183,27],{},"Si vous cherchez d'abord à comprendre la norme elle-même, ses exigences et sa structure, nous avons publié un ",[184,185,187],"a",{"href":186},"\u002Fblog\u002Fnorme-iso-27001-guide-complet\u002F","guide complet de la norme ISO 27001",[11,189,191],{"id":190},"nous-sommes-certifiés-nous-aussi","Nous sommes certifiés, nous aussi",[193,194,195],"blockquote",{},[16,196,197,200],{},[20,198,199],{},"Mise à jour du 22 août 2026."," Cet article a été publié pendant notre propre démarche. Elle a abouti : nous sommes désormais certifiés.",[16,202,203,204,207,208,211,212,27],{},"Nous avons engagé notre démarche ",[20,205,206],{},"ISO\u002FIEC 27001:2022"," en mars 2026, accompagnés par Bastion Technologies (plateforme de gouvernance et vCISO externe). ",[20,209,210],{},"Le certificat nous a été délivré le 22 août 2026"," sous le numéro 330AGID080404, par Accurate Global Inc., avec une validité jusqu'au 21 août 2029 et des audits de surveillance en 2027 et 2028. Le certificat, le périmètre et les contrôles sont publics sur ",[184,213,217],{"href":214,"rel":215},"https:\u002F\u002Ftrust.dhala.dev",[216],"nofollow","notre Trust Center",[16,219,220,221,224],{},"Le point qui nous paraît le plus important pour nos clients : ",[20,222,223],{},"notre périmètre certifié inclut les accès délégués aux environnements de nos clients",". Autrement dit, la façon dont notre équipe accède à vos systèmes, qui en a le droit, comment c'est journalisé et contrôlé, entre dans le champ de l'audit.",[16,226,227,228],{},"C'est la question qu'un dirigeant devrait poser à son prestataire informatique et qu'il ne pose presque jamais : ",[229,230,231],"em",{},"qui, chez vous, peut entrer chez moi, et qui le vérifie ?",[16,233,234],{},"Tous les contrôles de l'annexe A applicables à notre périmètre sont couverts, et aucun n'est laissé de côté. La démarche a commencé par une analyse d'écarts sur l'ensemble des 93 contrôles, suivie d'un audit interne, de revues d'accès chez nos éditeurs et d'un exercice de continuité d'activité, avant l'audit de certification lui-même.",[16,236,237],{},"La suite, nous la documenterons aussi : le premier audit de surveillance est fixé au 21 août 2027, et c'est là que se vérifie si un système a été bâti pour durer ou pour passer un examen.",[11,239,241],{"id":240},"ce-quil-faut-retenir","Ce qu'il faut retenir",[243,244,245,252,258,264,270],"ul",{},[246,247,248,251],"li",{},[20,249,250],{},"Désignez un interlocuteur interne"," et donnez-lui du temps officiellement : c'est le facteur numéro un de réussite.",[246,253,254,257],{},[20,255,256],{},"Vous ne pouvez pas déléguer votre certification."," Un prestataire couvre le volet technique et les preuves associées, pas votre gouvernance.",[246,259,260,263],{},[20,261,262],{},"Vérifiez que vos preuves sont horodatées",", attribuables et reproductibles. Préférez les exports automatiques aux captures manuelles.",[246,265,266,269],{},[20,267,268],{},"Prévoyez la charge documentaire"," dès le départ : c'est elle qui dicte le calendrier, pas la technique.",[246,271,272,275],{},[20,273,274],{},"Bâtissez pour trois ans",", pas pour le jour de l'audit.",[16,277,278,279,283],{},"Si vous préparez une certification ISO 27001, SOC 2 ou une mise en conformité DORA et que votre environnement Microsoft en fait partie, nous pouvons prendre en charge ce volet et produire les preuves attendues. ",[184,280,282],{"href":281},"\u002Fcontact\u002F","Parlons de votre périmètre",". Et si votre besoin relève d'un accompagnement en gouvernance plutôt que technique, nous vous le dirons.",{"title":285,"searchDepth":286,"depth":286,"links":287},"",2,[288,289,290,291,292,293,294,295,296],{"id":13,"depth":286,"text":14},{"id":51,"depth":286,"text":52},{"id":64,"depth":286,"text":65},{"id":84,"depth":286,"text":85},{"id":115,"depth":286,"text":116},{"id":148,"depth":286,"text":149},{"id":164,"depth":286,"text":165},{"id":190,"depth":286,"text":191},{"id":240,"depth":286,"text":241},"Cybersécurité","2026-08-07","Ce qui bloque une certification ISO 27001 n'est presque jamais technique. Retour d'expérience sur des démarches clients et sur la nôtre.",false,"md",[303,306,309,312],{"question":304,"answer":305},"Combien de temps faut-il pour obtenir une certification ISO 27001 ?","Comptez rarement moins d'un an entre la décision et l'audit de certification, pour une PME qui part de zéro. Le calendrier dépend beaucoup moins de la technique que de la disponibilité de l'interlocuteur interne : c'est lui qui rédige les politiques, arbitre les risques et rassemble les preuves. Notre propre démarche, engagée en mars 2026, a abouti à la certification le 22 août 2026, avec l'avantage d'être déjà outillés et d'avoir vu plusieurs audits de près.",{"question":307,"answer":308},"Peut-on déléguer sa certification ISO 27001 à son prestataire informatique ?","Non, et c'est le malentendu le plus fréquent. La certification porte sur votre système de management de la sécurité de l'information : votre analyse de risques, vos politiques, vos décisions d'acceptation du risque, votre revue de direction. Un prestataire informatique peut couvrir le volet technique (durcissement des postes et du cloud, journalisation, sauvegarde, production des preuves associées), mais il ne peut ni écrire votre gouvernance à votre place, ni se substituer à vous devant l'auditeur.",{"question":310,"answer":311},"Quelle est l'erreur la plus coûteuse dans la préparation d'un audit ISO 27001 ?","Produire des preuves inexploitables. Nous avons vu un client rassembler des mois de captures d'écran de ses configurations sans que la date et l'heure du système n'y apparaissent : impossible de démontrer à quel moment le contrôle était effectivement en place. Tout a été refait. Une preuve doit être datable, attribuable et reproductible : sinon elle ne vaut rien, quelle que soit la qualité de la mesure qu'elle est censée démontrer.",{"question":313,"answer":314},"Dhala Cyberdéfense est-elle certifiée ISO 27001 ?","Oui. Notre système de management de la sécurité de l'information est certifié ISO\u002FIEC 27001:2022 depuis le 22 août 2026, sous le certificat n° 330AGID080404 délivré par Accurate Global Inc., valide jusqu'au 21 août 2029. Le périmètre inclut les accès délégués aux environnements de nos clients. Nous publions le certificat en téléchargement libre, et nous vous invitons à exiger la même précision de tout prestataire qui vous parle de conformité : « conforme à », « aligné sur » ou « stack certifié » ne veulent rien dire. Un certificat, c'est un numéro, un organisme, un périmètre et des dates que l'on peut vérifier.",{"src":316,"alt":317},"\u002Fblog\u002Fcertification-iso-27001-retour-experience.webp","Deux professionnels examinent un tableau de bord de conformité ISO 27001 affichant des contrôles et leurs horodatages sur l'écran d'une salle de réunion",{},true,"\u002Fblog\u002Fcertification-iso-27001-retour-experience",{"title":5,"description":299},"Certification ISO 27001 : notre retour d'expérience","blog\u002Fcertification-iso-27001-retour-experience",null,"8Wyry6_8YRsVQHnMN-4NP2zwHAn4wlBNYtn48_TYj-g",[327,335,343],{"path":328,"title":329,"description":330,"image":331,"date":334,"category":297},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft","Patch Tuesday août 2026 : 398 failles et un zero-day Windows exploité par la Corée du Nord","Patch Tuesday août 2026 : Microsoft corrige environ 398 vulnérabilités dont un zero-day Windows déjà utilisé pour installer un rootkit. Ce qu'une PME doit traiter en priorité.",{"src":332,"alt":333},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft.webp","Patch Tuesday Microsoft août 2026, correctifs de sécurité pour PME","2026-08-11",{"path":336,"title":337,"description":338,"image":339,"date":342,"category":297},"\u002Fblog\u002Fpatch-tuesday-juillet-2026-microsoft","Patch Tuesday juillet 2026 : 570 failles, 3 zero-days exploités dont une RCE SharePoint à 9.8","Patch Tuesday juillet 2026 : Microsoft corrige environ 570 vulnérabilités et 3 failles déjà exploitées, dont une RCE SharePoint notée 9.8. Ce qu'une PME doit traiter en priorité.",{"src":340,"alt":341},"\u002Fblog\u002Fpatch-tuesday-juillet-2026-microsoft.webp","Patch Tuesday Microsoft juillet 2026, correctifs de sécurité pour PME","2026-07-14",{"path":344,"title":345,"description":346,"image":347,"date":350,"category":297},"\u002Fblog\u002Finjection-prompt-indirecte-ia-pme","Injection de prompt indirecte : quand l'IA de vos collaborateurs se fait piéger à votre place","Vos collaborateurs utilisent des IA qui lisent emails, documents et pages web.",{"src":348,"alt":349},"\u002Fblog\u002Finjection-prompt-indirecte-ia-pme.webp","Injection de prompt indirecte : la nouvelle faille des IA en entreprise — PME","2026-06-25",1791790464809]