ISO 27001:2022 : les 93 mesures de l’annexe A expliquées simplement

L’annexe A d’ISO/IEC 27001:2022 est souvent la partie la plus impressionnante de la norme : 93 mesures de sécurité, chacune avec un intitulé court et un objectif. Bonne nouvelle : elles s’organisent en quatre familles faciles à retenir, et toutes ne demandent pas le même effort. Voici une lecture pratique, sans reproduire le texte de la norme (protégé par le droit d’auteur) ni celui d’ISO/IEC 27002, qui détaille leur mise en œuvre.

Comment lire l’annexe A

L’annexe A est une liste de référence. Votre analyse de risques et vos obligations déterminent quelles mesures vous retenez ; chacune est ensuite listée dans la déclaration d’applicabilité (DdA ou SoA) avec sa justification et son état de mise en œuvre. Depuis la version 2022, les mesures sont regroupées en quatre thèmes au lieu de quatorze chapitres :

La période de transition depuis la version 2013 (114 mesures) s’est achevée le 31 octobre 2025 : tous les certificats en cours portent désormais sur la version 2022.

Les 37 mesures organisationnelles (A.5)

Elles forment la colonne vertébrale du SMSI. On y trouve :

• la gouvernance : politiques de sécurité, rôles et responsabilités, séparation des tâches, responsabilités de la direction, relations avec les autorités et les groupes spécialisés ;
• la connaissance du patrimoine : inventaire des informations et des actifs, règles d’utilisation, restitution, classification, marquage et transfert de l’information ;
• les identités et les accès : contrôle d’accès, gestion des identités, informations d’authentification, droits d’accès ;
• les fournisseurs : sécurité dans les relations et les contrats, chaîne d’approvisionnement TIC, suivi des prestations, services en nuage ;
• les incidents et la continuité : préparation, évaluation, réponse, retour d’expérience, collecte de preuves, sécurité pendant une perturbation, préparation des TIC à la continuité ;
• la conformité : exigences légales et contractuelles, propriété intellectuelle, protection des enregistrements, vie privée et données personnelles, revues indépendantes, procédures d’exploitation documentées.

Les 8 mesures liées aux personnes (A.6)

Le cycle de vie du collaborateur : vérifications préalables à l’embauche, clauses du contrat de travail, sensibilisation et formation, processus disciplinaire, obligations après le départ, engagements de confidentialité, travail à distance et signalement des événements de sécurité.

Les 14 mesures physiques (A.7)

Périmètres et accès physiques, sécurisation des bureaux et des salles, surveillance de la sécurité physique, protection contre les menaces environnementales, travail en zone sécurisée, bureau propre et écran verrouillé, emplacement et protection du matériel, matériel hors des locaux, supports de stockage, services généraux (énergie, climatisation), câblage, maintenance et mise au rebut sécurisée.

Pour une PME en télétravail dont l’hébergement est confié à un prestataire, plusieurs de ces mesures s’appuient surtout sur les garanties du prestataire : c’est à justifier dans la DdA.

Les 34 mesures technologiques (A.8)

C’est la partie la plus technique : terminaux, accès à privilèges, restriction des accès, code source, authentification sécurisée, capacités, protection contre les logiciels malveillants, gestion des vulnérabilités, gestion des configurations, suppression et masquage des données, prévention des fuites, sauvegardes, redondance, journalisation et surveillance, synchronisation des horloges, installation de logiciels, sécurité et cloisonnement des réseaux, filtrage web, cryptographie, cycle de développement sécurisé, codage sécurisé, tests, développement externalisé, séparation des environnements, gestion des changements et protection des systèmes pendant les audits.

Les 11 nouvelles mesures de 2022

La version 2022 a fusionné de nombreuses mesures et en a ajouté onze, qui reflètent les pratiques actuelles :

1. renseignement sur les menaces (A.5.7) ;
2. sécurité de l’information dans l’utilisation des services en nuage (A.5.23) ;
3. préparation des TIC à la continuité d’activité (A.5.30) ;
4. surveillance de la sécurité physique (A.7.4) ;
5. gestion des configurations (A.8.9) ;
6. suppression des informations (A.8.10) ;
7. masquage des données (A.8.11) ;
8. prévention des fuites de données (A.8.12) ;
9. activités de surveillance (A.8.16) ;
10. filtrage web (A.8.23) ;
11. codage sécurisé (A.8.28).

Faut-il tout appliquer ?

Non, mais toute exclusion doit être justifiée : absence de développement interne, absence de locaux propres, risque jugé non pertinent… Un auditeur vérifiera que la justification tient au regard de votre périmètre et de votre analyse de risques. En pratique, la plupart des organisations retiennent la grande majorité des 93 mesures, avec des niveaux de mise en œuvre proportionnés.

Par où commencer quand on est une PME ?

Les mesures qui réduisent le plus le risque pour un effort raisonnable :

1. inventaire des actifs et des comptes à privilèges ;
2. authentification multifacteur sur la messagerie, les accès distants et les outils d’administration ;
3. sauvegardes régulières, dont une copie hors ligne, avec des tests de restauration ;
4. gestion des mises à jour et des vulnérabilités ;
5. revue périodique des droits d’accès, notamment aux départs ;
6. sensibilisation des collaborateurs, en particulier au hameçonnage ;
7. procédure de gestion des incidents ;
8. clauses de sécurité dans les contrats des fournisseurs critiques.

Comment OK-GRC vous aide

Dans OK-GRC, chaque mesure de l’annexe A est reliée à des mesures communes avec conseils et exemples de preuves. La déclaration d’applicabilité se construit au fil de l’eau, l’assistant IA propose des justifications que vous validez, et les mesures « à fort levier » — celles qui servent aussi NIS 2, DORA ou SOC 2 — sont mises en avant pour que chaque effort compte plusieurs fois.