ISO 27001 pour PME au Maroc : par où commencer, étape par étape

La réponse courte : une PME qui se lance dans ISO 27001 ne commence ni par acheter un logiciel ni par rédiger cinquante procédures. Elle commence par trois décisions : pourquoi elle le fait, sur quel périmètre, et qui pilote. Le reste suit un ordre précis fixé par la norme : contexte, analyse de risques, choix des mesures, mise en œuvre, preuves de fonctionnement, audit interne, revue de direction, puis audit de certification par un organisme accrédité.

Chez ALLSAFE SOLUTIONS, nous accompagnons des PME de Casablanca et de tout le Maroc sur la partie technique et opérationnelle de leur système de management de la sécurité de l’information (SMSI) : pare-feu, sauvegardes, comptes, postes, supervision et preuves. Nous ne sommes pas un organisme de certification et nous ne donnons ici ni prix ni durée type, qui dépendent entièrement de votre périmètre et de votre point de départ. Les éléments de la norme cités proviennent d’ISO/IEC 27001:2022 et de son guide d’application ISO/IEC 27002:2022.

ISO 27001 en deux phrases

ISO/IEC 27001 est la norme internationale qui définit les exigences d’un SMSI : une manière organisée d’identifier les risques qui pèsent sur vos informations, de décider des mesures pour les réduire, de vérifier qu’elles fonctionnent et de les améliorer. Elle ne dit pas quel pare-feu acheter : elle demande de prouver que vos choix découlent de vos risques.

La version en vigueur est ISO/IEC 27001:2022, complétée en 2024 par un amendement qui demande de déterminer si le changement climatique est un enjeu pertinent pour l’organisation. Les certificats émis sur l’ancienne version de 2013 ne sont plus valides depuis le 31 octobre 2025, à la fin de la période de transition fixée par l’IAF (le forum international de l’accréditation). Si un client vous demande « ISO 27001 », c’est donc la version 2022 qu’il faut viser.

Faut-il vraiment la certification ? Les trois cas fréquents

La raison détermine le périmètre, l’effort et même le besoin de certifier.

Situation	Ce qu’il faut viser
Un client (banque, assureur, opérateur, grand compte, donneur d’ordre étranger) exige un certificat	Certification ISO 27001:2022 sur le périmètre qui sert ce client
Un appel d’offres valorise ou impose la norme	Certification, en vérifiant d’abord le périmètre exigé dans le cahier des charges
Aucune exigence externe, mais un besoin de structurer la sécurité	Appliquer la démarche sans certifier, ou préparer une certification plus tard

Point de cadrage marocain : aucune loi n’impose ISO 27001 à une PME privée. La loi 05-20 sur la cybersécurité et la directive nationale de la sécurité des systèmes d’information (DNSSI) publiée par la DGSSI visent d’abord les administrations, les infrastructures d’importance vitale et les opérateurs numériques. La DNSSI couvre des thèmes très proches de ceux de l’annexe A d’ISO 27001 (politique de sécurité, sécurité liée aux ressources humaines, gestion des actifs, contrôle d’accès, cryptographie, sécurité des communications) : une PME qui sert ces acteurs y gagne doublement. Côté données personnelles, la loi 09-08 et la CNDP imposent leurs propres obligations, qu’un SMSI aide à respecter sans les remplacer.

La structure de la norme : clauses 4 à 10 et annexe A

ISO 27001 se lit en deux parties. Les clauses 4 à 10 sont obligatoires : elles décrivent le système de management. L’annexe A est une liste de mesures de sécurité dans laquelle vous choisissez celles qui traitent vos risques.

Clause	Sujet	Ce que cela veut dire pour une PME
4	Contexte de l’organisation	Enjeux internes et externes, parties intéressées, périmètre du SMSI
5	Leadership	Engagement de la direction, politique de sécurité, rôles et responsabilités
6	Planification	Méthode d’analyse et de traitement des risques, objectifs de sécurité
7	Support	Ressources, compétences, sensibilisation, communication, documents
8	Fonctionnement	Mise en œuvre réelle des mesures et du plan de traitement des risques
9	Évaluation des performances	Indicateurs, audit interne, revue de direction
10	Amélioration	Non-conformités, actions correctives, amélioration continue

L’annexe A de la version 2022 compte 93 mesures réparties en quatre thèmes : 37 mesures organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. Onze mesures sont apparues avec cette version, dont le renseignement sur les menaces, la sécurité des services cloud, la préparation des TIC à la continuité d’activité, la gestion des configurations, la suppression des informations, la prévention des fuites de données, la surveillance des activités, le filtrage web et le codage sécurisé.

Étape 1 : obtenir un vrai engagement de la direction

La clause 5 n’est pas une formalité. L’auditeur vérifiera que la direction a validé la politique de sécurité, alloué des ressources, désigné un responsable et participé à la revue de direction. Ce qui ne fonctionne pas : confier le projet à une seule personne sans temps dédié, ou au prestataire seul.

Étape 2 : fixer un périmètre réaliste

Le périmètre figure sur le certificat. C’est la décision qui pèse le plus sur l’effort. Il peut couvrir toute l’entreprise, un site, une activité ou un service précis, à condition que ses limites et ses interfaces soient claires : quels sites, quelles équipes, quelles applications, quels prestataires.

Pour une première certification, nous conseillons un périmètre qui correspond exactement à ce que le client ou l’appel d’offres demande, par exemple « hébergement et exploitation de l’application X » ou « services d’infogérance délivrés depuis Casablanca ». Faites-le valider par le client avant de démarrer.

Étape 3 : l’analyse d’écarts, pour savoir d’où vous partez

L’analyse d’écarts compare votre situation actuelle aux clauses 4 à 10 et aux mesures de l’annexe A. Elle produit une liste priorisée de ce qui manque. Dans les PME que nous auditons, les mêmes écarts reviennent :

• pas d’inventaire à jour des postes, serveurs, comptes et applications ;
• comptes partagés, droits d’administration généralisés, anciens salariés encore actifs ;
• authentification à plusieurs facteurs absente sur la messagerie et les accès distants, voir notre guide de déploiement du MFA ;
• sauvegardes jamais testées en restauration, ou toutes sur le même site ;
• mises à jour appliquées « quand on a le temps » ;
• journaux non conservés, ou conservés sans que personne ne les lise ;
• aucune règle écrite pour les salariés, ni sensibilisation.

Notre article audit informatique PME : par où commencer détaille comment mener cet état des lieux technique.

Étape 4 : l’analyse et le traitement des risques

C’est le cœur de la norme. ISO 27001 ne fixe pas de méthode, mais exige qu’elle soit définie, répétable et qu’elle produise des résultats comparables. Pour une PME, une méthode simple suffit :

1. Lister les actifs essentiels du périmètre : informations, applications, serveurs, comptes, prestataires.
2. Identifier les risques pour chacun : perte de confidentialité, d’intégrité, de disponibilité.
3. Évaluer chaque risque selon sa vraisemblance et son impact, sur une échelle définie à l’avance.
4. Décider du traitement : réduire, éviter, transférer ou accepter, avec l’accord formel du propriétaire du risque.
5. Rédiger le plan de traitement : mesures, responsable, échéance.

Un tableur bien construit suffit au démarrage.

Étape 5 : la déclaration d’applicabilité

La déclaration d’applicabilité (en anglais Statement of Applicability) reprend les 93 mesures de l’annexe A. Pour chacune, elle indique si elle est retenue, pourquoi, et si elle est déjà en place. Chaque exclusion doit être justifiée : une PME sans développement logiciel interne peut, par exemple, exclure le codage sécurisé en l’expliquant. C’est l’un des premiers documents que lit l’auditeur.

Étape 6 : mettre en œuvre les mesures, en commençant par les fondamentaux

La plupart des mesures technologiques de l’annexe A correspondent à des chantiers concrets. Voici la correspondance que nous utilisons avec nos clients :

Thème de l’annexe A	Mesure concrète dans une PME
Contrôle d’accès, authentification	Comptes nominatifs, MFA, revue périodique des droits, départs traités le jour même
Protection contre les logiciels malveillants	EDR sur les postes et serveurs, avec alertes traitées, voir l’EDR managé et la supervision 24/7
Gestion des vulnérabilités techniques	Processus de mise à jour documenté, voir notre guide de la gestion des correctifs
Sauvegarde des informations	Sauvegardes testées, une copie hors site et une copie immuable, voir la règle 3-2-1 immuable
Journalisation et surveillance	Journaux centralisés et réellement analysés, voir SIEM pour PME
Sécurité des réseaux, filtrage web	Pare-feu nouvelle génération, segmentation, VPN avec MFA
Continuité d’activité	Plan de continuité et de reprise testé, voir PCA et PRA
Gestion des incidents	Procédure écrite et contacts d’urgence, voir la première heure d’un incident
Sensibilisation	Programme régulier, voir sensibiliser les salariés au phishing
Utilisation acceptable des actifs	Règles signées par chaque salarié, voir la charte informatique d’entreprise

Sur la partie réseau, nous déployons notamment des pare-feu Fortinet et WatchGuard, en tant que partenaire Fortinet, et des sauvegardes Veeam. L’ensemble de nos services est présenté sur notre page cybersécurité des entreprises au Maroc.

Étape 7 : la documentation exigée, sans excès

La norme demande des « informations documentées » précises, pas une bibliothèque de procédures. Les éléments attendus au minimum :

• le périmètre du SMSI ;
• la politique de sécurité de l’information ;
• la méthode d’appréciation et de traitement des risques, et leurs résultats ;
• la déclaration d’applicabilité ;
• les objectifs de sécurité ;
• les preuves de compétence des personnes clés ;
• les résultats de la surveillance et des indicateurs ;
• le programme et les résultats de l’audit interne ;
• les résultats de la revue de direction ;
• les non-conformités et les actions correctives.

Ajoutez seulement les procédures que vos risques rendent nécessaires.

Étape 8 : faire tourner le système, puis l’audit interne et la revue de direction

Un auditeur de certification ne se contente pas de documents : il cherche des preuves que le système fonctionne. Revues de droits réalisées, tests de restauration consignés, incidents enregistrés et traités, sensibilisations tracées, indicateurs suivis. Il faut donc laisser le système tourner avant l’audit.

Viennent ensuite deux exigences de la clause 9 que beaucoup de PME découvrent tard : un audit interne mené par une personne qui n’audite pas son propre travail (salarié formé ou intervenant externe), et une revue de direction formalisée, avec ses décisions. Un audit de sécurité ou un test d’intrusion peut compléter l’audit interne sur la partie technique.

Étape 9 : la certification par un organisme accrédité

L’ISO rédige la norme mais ne certifie personne. La certification est délivrée par un organisme de certification accrédité, selon un cycle standard :

Étape	Contenu
Audit étape 1	Revue de la documentation et de l’état de préparation
Audit étape 2	Vérification sur site que le système est appliqué et efficace ; décision de certification
Audits de surveillance	Au moins une fois par an, sur un échantillon de mesures
Renouvellement	Au terme du cycle de trois ans, audit complet du système

Avant de choisir l’organisme, vérifiez son accréditation pour ISO/IEC 27001 et l’organisme d’accréditation qui l’a délivrée, puis demandez au client qui exige le certificat s’il a des préférences.

Les erreurs qui font échouer ou traîner le projet

1. Partir d’un modèle documentaire acheté sans lien avec la réalité de l’entreprise : l’auditeur le voit à la première question.
2. Un périmètre décidé sans le client qui exige le certificat.
3. Une analyse de risques purement théorique, dont les mesures ne découlent pas.
4. Des mesures techniques annoncées mais pas en place : MFA « prévu », sauvegardes « testées un jour ».
5. Aucune preuve de fonctionnement : pas de journaux, pas de comptes rendus, pas d’enregistrements.
6. Les prestataires oubliés : hébergeur, éditeur, infogérant et fournisseurs cloud font partie des risques à traiter.
7. Le projet s’arrête après le certificat, et l’audit de surveillance suivant devient un rattrapage.

Checklist de démarrage

• Raison de la démarche et exigence exacte du client ou de l’appel d’offres.
• Pilote désigné, sponsor de direction, temps alloué.
• Périmètre écrit et validé.
• Inventaire des actifs du périmètre.
• Analyse d’écarts sur les clauses 4 à 10 et l’annexe A.
• Méthode d’analyse de risques choisie et première analyse réalisée.
• Plan de traitement et déclaration d’applicabilité.
• Fondamentaux techniques en place : MFA, sauvegardes testées, mises à jour, EDR, journaux.
• Planning de l’audit interne et de la revue de direction.

Comment nous accompagnons une démarche ISO 27001

Nous commençons par un audit initial offert de votre informatique sur le périmètre visé, qui sert de base à l’analyse d’écarts technique. Nous mettons ensuite en place les mesures de l’annexe A qui relèvent de l’infrastructure : pare-feu, segmentation, MFA, sauvegardes, EDR, gestion des correctifs, journalisation. Avec notre infogérance au Maroc, nous produisons dans la durée les preuves que l’auditeur demandera : comptes rendus de supervision 24/7, tests de restauration, revues de droits, suivi des incidents, avec une prise en charge des incidents critiques en moins de 15 minutes. La politique, l’analyse de risques et l’audit interne restent sous votre pilotage.

Pour préparer votre démarche, demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.