SchildmarkISO/IEC 27001:2022
ISO 27001 annexe A : des mesures technologiques dont vous prouvez l’efficacité
Votre auditeur ne veut pas entendre que la surveillance existe ; il veut des enregistrements prouvant qu’elle a fonctionné toute la période. Schildmark assure la gestion des vulnérabilités, les contrôles de configuration, la journalisation et la surveillance de vos machines et clouds, et exporte ces enregistrements en un seul fichier.
Ce que l’annexe A exige sur le plan technique
L’annexe A d’ISO/IEC 27001:2022 compte 93 mesures en quatre thèmes. Vous déclarez dans votre déclaration d’applicabilité celles qui s’appliquent ; pour celles-ci, l’auditeur veut voir qu’elles fonctionnent.
- 8.7 Protection contre les logiciels malveillants
- Une protection contre les logiciels malveillants, appuyée par la sensibilisation des utilisateurs.
- 8.8 Gestion des vulnérabilités techniques
- Obtenir des informations sur les vulnérabilités techniques, évaluer votre exposition et prendre les mesures appropriées.
- 8.9 Gestion des configurations
- Définir, documenter, mettre en œuvre, surveiller et revoir les configurations, y compris de sécurité.
- 8.15 Journalisation
- Produire, stocker, protéger et analyser des journaux des activités, exceptions, défaillances et autres événements pertinents.
- 8.16 Activités de surveillance
- Surveiller réseaux, systèmes et applications pour détecter les comportements anormaux, et évaluer les incidents potentiels. Nouvelle dans l’édition 2022.
- 5.24 à 5.28 Gestion des incidents
- Planifier et préparer (5.24), évaluer les événements (5.25), réagir (5.26), tirer les enseignements (5.27) et collecter les preuves (5.28).
L’édition 2013 n’a plus cours : la période de transition des certificats s’est terminée le 31 octobre 2025, les audits suivent donc la numérotation 2022 utilisée ici.
Mesure, mise en œuvre, preuve
Ce que Schildmark met en œuvre pour chaque mesure, et ce que vous remettez à l’auditeur pour la période.
| Exigence | Ce que fait Schildmark | Preuve produite |
|---|---|---|
| 8.7 | Pas un antivirus. Les alertes de Microsoft Defender for Endpoint et de Sophos Central arrivent dans la même liste que la sonde réseau et le reste, pour être examinées et traitées. | Alertes avec machine, règle et heure. |
| 8.8 | Vulnérabilités recoupées avec les données des éditeurs et de la NVD, les exploitées en premier ; correctifs répétés, approuvés, installés dans la version exacte et vérifiés ; risques acceptés avec responsable et échéance. | vulnerabilities_fixed.csv, patch_activity.csv |
| 8.9 | Contrôles des benchmarks CIS sur chaque machine, relus toutes les 10 minutes, chacun avec les mesures qu’il étaye. | controls.csv pour ISO 27001, configuration_checks.csv, configuration_scores.csv. |
| 8.15 | Journaux des machines, pare-feu, Microsoft 365, AWS et Google Cloud, lus par les règles de détection. Alertes et événements réseau conservés de 7 à 3 650 jours (45 par défaut), avec un avertissement sous 365. | README.txt avec la conservation et tout écart ; audit_trail.csv. |
| 8.16 | Règles de détection sur toutes les sources, une seule échelle de gravité, une carte des menaces, et un analyste à interroger sur toute alerte ou machine. | Alertes de la période, avec règle et technique MITRE. |
| 5.25, 5.26, 5.28 | Évaluer une alerte avec tout son contexte dans un seul panneau ; bloquer la source sur votre pare-feu avec une justification obligatoire ; les actions des règles peuvent attendre une approbation. | La ligne de journal décodée ; blocages et mises en sourdine justifiés dans le journal d’audit. |
Une limite, en toute franchise : sur la page conformité, les preuves ISO 27001 viennent uniquement des contrôles de configuration, car les règles de détection rattachent leurs alertes à SOC 2, PCI DSS, HIPAA, NIST 800-53 et au RGPD, pas à ISO 27001. Les alertes, le journal d’audit et les correctifs vérifiés figurent tout de même dans le pack de preuves ; vous les rattachez à l’annexe A dans votre déclaration d’applicabilité. En savoir plus : détection, correctifs vérifiés, page conformité et pack de preuves, et dans la documentation : Conformité, Correctifs.
Ce que Schildmark ne couvre pas
ISO 27001 certifie un système de management, pas un outil. Votre équipe SMSI ou un consultant couvre ces volets.
- Chapitres 4 à 10
- Domaine d’application, appréciation et traitement des risques, déclaration d’applicabilité, audit interne et revue de direction.
- Mesures organisationnelles
- Politiques, rôles, relations fournisseurs, exigences légales, planification des incidents (5.24) et retours d’expérience (5.27).
- Mesures liées aux personnes et physiques
- Vérification des candidats, sensibilisation, périmètres physiques et équipements.
- Autres mesures technologiques
- Identités et accès de vos systèmes, cryptographie, sauvegarde, développement sécurisé et prévention de la fuite de données.
- La certification
- L’audit par un organisme de certification accrédité.
Comment se déroule le déploiement
En général quelques jours, pas des mois. Rien n’est installé sur vos pare-feu.
Choisir l’hébergement
Hébergé par nous, ou sur un ou deux de vos serveurs Linux. Dans les deux cas, une instance qui n’appartient qu’à vous.
Enrôler les machines
Une commande par machine sous Windows, macOS et Linux, ou un MSI pour Intune, Configuration Manager ou les stratégies de groupe.
--patchingajoute les correctifs.Connecter le reste
Journaux des pare-feu, Microsoft 365, AWS et Google Cloud, et les pare-feu sur lesquels bloquer, configurés dans la console.
Choisir ISO 27001, exporter
Activez ISO 27001 sur la page conformité, réglez la conservation et exportez le pack de preuves pour la période d’audit.
Questions fréquentes
Qu’est-ce qui a changé dans l’annexe A avec ISO 27001:2022 ?
L’annexe A est passée de 114 mesures réparties en 14 chapitres à 93 mesures en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. Onze mesures sont nouvelles, dont 8.9 gestion des configurations, 8.16 activités de surveillance, 5.7 renseignement sur les menaces et 8.12 prévention de la fuite de données.
Un certificat ISO 27001:2013 est-il encore valable ?
Non. La période de transition s’est terminée le 31 octobre 2025. Les certificats non migrés vers l’édition 2022 à cette date ont expiré ou ont été retirés ; il faut alors un nouvel audit de certification selon ISO/IEC 27001:2022.
Que demande la mesure 8.16 de l’annexe A d’ISO 27001 ?
Que les réseaux, systèmes et applications soient surveillés pour détecter les comportements anormaux, et que des actions appropriées soient prises pour évaluer les incidents de sécurité potentiels. L’auditeur voudra voir ce que vous surveillez, comment les alertes sont évaluées, et des enregistrements qui le prouvent sur la période.
Combien de temps conserver les journaux selon ISO 27001 ?
La norme ne fixe pas de durée. La mesure 8.15 demande que les journaux soient produits, stockés, protégés et analysés ; la durée de conservation est à fixer selon votre appréciation des risques et vos obligations légales et contractuelles. Schildmark retient 365 jours comme repère et vous avertit si la conservation est plus courte.
Schildmark nous permet-il d’être certifiés ISO 27001 ?
Non. La certification est un audit de l’ensemble de votre système de management de la sécurité de l’information par un organisme accrédité. Schildmark exploite et trace un ensemble de mesures technologiques et exporte les preuves pour la période d’audit.
Un audit approche ?
Dites-nous quand commence votre période d’audit, combien de machines sont dans le périmètre et quels clouds vous utilisez. Nous vous montrons les preuves que Schildmark produit. Tarif par machine protégée.