ISO 27001 et Security Rating : comment la notation cyber complète votre démarche de conformité

La certification ISO/IEC 27001 constitue une référence pour les organisations qui souhaitent structurer leur management de la sécurité de l'information. Elle repose sur une approche fondée sur les risques, des politiques documentées, des contrôles adaptés et une démarche d'amélioration continue.

Toutefois, une certification ne permet pas, à elle seule, de suivre en permanence l'évolution de la surface d'attaque externe d'une organisation. Entre deux audits, une configuration peut être modifiée, un sous-domaine peut être créé, un certificat peut expirer ou une vulnérabilité connue peut affecter un service exposé sur internet.

C'est dans ce contexte que la notation cyber apporte une valeur complémentaire. Elle permet d'observer, depuis l'extérieur, certains signaux techniques liés à l'exposition d'une organisation et de suivre leur évolution dans le temps. Elle ne remplace ni le système de management de la sécurité de l'information, ni les audits, ni la certification ISO/IEC 27001. Elle contribue en revanche à objectiver les risques visibles depuis internet et à alimenter une démarche de conformité continue.

ISO/IEC 27001 : une démarche structurante, mais non figée

La norme ISO/IEC 27001 définit les exigences applicables à un système de management de la sécurité de l'information, ou SMSI. Elle vise à aider les organisations à préserver la confidentialité, l'intégrité et la disponibilité de leurs informations par une gestion structurée des risques. Une démarche ISO/IEC 27001 implique notamment de :

• définir le périmètre du SMSI ;
• identifier et évaluer les risques ;
• sélectionner et mettre en œuvre des mesures de sécurité ;
• formaliser les politiques, procédures et responsabilités ;
• suivre l'efficacité des contrôles ;
• réaliser des audits internes et des revues de direction ;
• engager des actions correctives et une amélioration continue.

• La certification atteste qu'un organisme certificateur a évalué la conformité du SMSI au regard des exigences de la norme, sur un périmètre défini et à une date donnée. Elle constitue donc un signal important de maturité et de confiance auprès des clients, partenaires, investisseurs ou assureurs.

Pour comprendre les exigences, le déroulement d'une certification et le rôle du SMSI, consultez notre guide : ISO 27001 : tout comprendre sur la norme de sécurité des systèmes d'information.

Une certification ne couvre pas tous les signaux de risque en continu

La certification ISO/IEC 27001 ne garantit pas l'absence de vulnérabilités, d'incidents ou de mauvaises configurations. Elle atteste de l'existence d'un système de management et de contrôles adaptés au périmètre audité.

Or, la surface d'attaque externe évolue constamment. Un nouvel environnement de test, une application déployée par une équipe métier, un service cloud mal configuré ou une vulnérabilité affectant un équipement exposé peuvent créer un risque sans attendre le prochain audit interne ou de recertification.

La question n'est donc pas d'opposer certification ISO/IEC 27001 et notation cyber, mais de comprendre leur complémentarité :

• l'ISO/IEC 27001 structure la gouvernance, la gestion des risques et les processus de sécurité ;
• la notation cyber apporte une visibilité régulière sur certains éléments techniques observables depuis internet ;
• les audits et tests d'intrusion approfondissent les risques sur des périmètres précis ;
• les plans d'action permettent de traiter et de suivre les écarts identifiés.

Ce que la notation cyber apporte à une démarche ISO/IEC 27001

La notation cyber évalue la posture externe d'une organisation à partir de données accessibles publiquement. Elle peut notamment porter sur les actifs exposés, les services accessibles, les vulnérabilités connues, les configurations TLS, les certificats, les mécanismes de sécurité de la messagerie ou certains indicateurs de compromission.

Cette approche ne donne pas accès aux contrôles internes de l'organisation. Elle ne mesure donc pas, par exemple, la qualité des sauvegardes, le niveau de sensibilisation des collaborateurs, la gestion des privilèges ou l'efficacité du dispositif de réponse à incident.

Elle fournit toutefois une information complémentaire utile dans trois domaines.

Vérifier l'exposition réelle de l'organisation

Un inventaire des actifs est indispensable à toute démarche de gestion des risques. Pourtant, maintenir une vision complète des domaines, sous-domaines, adresses IP, services cloud et applications accessibles depuis internet reste complexe.

Les équipes IT, marketing, commerciales, RH ou métier peuvent souscrire de nouveaux services ou lancer des projets qui modifient l'exposition externe de l'organisation. Certaines ressources peuvent également subsister après la fin d'un projet ou le départ d'un prestataire.

La notation cyber permet de cartographier les actifs visibles depuis internet et de détecter certains écarts entre l'inventaire théorique et la réalité de la surface exposée. Cette visibilité contribue à nourrir l'analyse des risques et à renforcer le suivi des actifs dans le cadre du SMSI.

Identifier des écarts techniques observables

Une démarche ISO/IEC 27001 repose sur la mise en place de contrôles adaptés aux risques. La notation cyber permet d'apporter des éléments factuels sur certains contrôles techniques visibles depuis l'extérieur. Elle peut, par exemple, mettre en évidence :

• des ports d'administration accessibles publiquement ;
• des vulnérabilités connues affectant des services exposés ;
• des protocoles ou suites de chiffrement obsolètes ;
• des certificats TLS expirés, invalides ou auto-signés ;
• des mécanismes SPF, DKIM ou DMARC absents ou mal configurés ;
• des services ou bases de données accessibles sans restriction adaptée.

Ces constats ne suffisent pas à évaluer la conformité ISO/IEC 27001. Ils peuvent néanmoins alimenter les registres de risques, les plans de traitement et les preuves d'amélioration continue.

Mesurer les progrès dans le temps

L'un des enjeux d'une démarche de conformité est de démontrer que les écarts identifiés sont traités et que les contrôles restent efficaces dans la durée.

Une notation ponctuelle ne répond pas totalement à cet objectif. À l'inverse, une solution qui actualise régulièrement les données observées permet de suivre l'évolution de certains indicateurs techniques, de détecter une dégradation de posture et de vérifier l'effet des mesures de remédiation.

Security Rating® fournit une évaluation automatisée et non intrusive de la surface d'attaque externe. Son score global et ses notes par domaine permettent de suivre la posture cyber externe et de partager les progrès réalisés avec les équipes techniques, la direction ou les auditeurs.

ISO/IEC 27001 et notation cyber : des approches complémentaires

L'intérêt réside dans l'articulation entre ces deux approches. La certification ISO/IEC 27001 fournit le cadre de gouvernance et de gestion des risques. La notation cyber apporte un regard externe, automatisé et régulier sur une partie de l'exposition technique de l'organisation.

Mieux préparer ses audits et démontrer l'amélioration continue

Les audits ISO/IEC 27001 évaluent notamment la capacité de l'organisation à identifier ses risques, à mettre en œuvre des mesures adaptées et à assurer l'amélioration continue de son SMSI. Dans ce cadre, une notation cyber peut constituer une source complémentaire d'information pour :

• enrichir la cartographie des actifs exposés ;
• alimenter l'analyse des risques avec des observations externes ;
• identifier des points nécessitant une vérification technique ou organisationnelle ;
• suivre les actions de remédiation engagées ;
• démontrer l'évolution de certains indicateurs de sécurité dans le temps ;
• préparer les échanges avec les équipes d'audit, de conformité ou de direction.

Une bonne note cyber ne doit pas être présentée comme une preuve de conformité ISO/IEC 27001. La notation ne couvre pas l'ensemble des exigences de la norme, ni l'ensemble des processus et contrôles internes. Elle doit être utilisée comme un outil complémentaire dans une démarche de maîtrise des risques.

Les organisations qui souhaitent aller plus loin peuvent également s'appuyer sur des outils de gouvernance pour centraliser leurs contrôles, leurs preuves, leurs plans d'action et leurs campagnes d'évaluation. Découvrez comment Board of Cyber aide à améliorer la conformité dans la durée.

Évaluer les fournisseurs certifiés ISO/IEC 27001

La certification ISO/IEC 27001 d'un fournisseur constitue un élément important dans une démarche de gestion des risques tiers. Elle atteste qu'une démarche structurée de management de la sécurité de l'information est en place sur le périmètre certifié.

Elle ne dispense toutefois pas l'organisation donneuse d'ordres d'évaluer le risque fournisseur. Plusieurs éléments doivent être examinés :

• le périmètre couvert par le certificat ;
• la date de validité et l'organisme certificateur ;
• la pertinence du périmètre certifié par rapport au service acheté ;
• la criticité du fournisseur pour l'activité ;
• les données traitées et les interconnexions mises en œuvre ;
• les vulnérabilités ou expositions techniques visibles depuis internet ;
• la capacité du fournisseur à corriger les écarts détectés. Une certification permet d'obtenir une assurance sur un système de management, mais elle ne rend pas visible l'évolution quotidienne de la surface d'attaque externe. La notation cyber complète utilement les questionnaires, les audits et les certifications en détectant certaines dégradations entre deux évaluations.

Cette approche est détaillée dans notre article consacré aux 7 méthodes pour évaluer le risque cyber de vos fournisseurs.

Une réponse aux exigences croissantes de conformité

Les organisations doivent désormais composer avec plusieurs cadres réglementaires et normatifs : ISO/IEC 27001, RGPD, DORA, NIS 2, Cyber Resilience Act ou encore AI Act. Ces textes n'ont ni le même champ d'application ni les mêmes exigences, mais ils renforcent tous la nécessité de structurer la gestion des risques et de disposer d'éléments de preuve.

La certification ISO/IEC 27001 peut constituer un socle utile pour organiser cette démarche. La notation cyber peut, quant à elle, contribuer à documenter certains aspects de l'exposition externe et de l'amélioration continue.

Elle peut également soutenir les échanges avec les assureurs. L'assurance cyber ne remplace pas les mesures de sécurité. Les assureurs examinent toutefois de plus en plus la maturité de leurs assurés et leur capacité à prévenir les incidents. Notre guide sur l'assurance cyber présente les critères à prendre en compte.

Pour mieux comprendre les textes qui influencent la gestion des risques fournisseurs, consultez également les 8 réglementations à connaître pour réussir sa démarche TPRM.

Security Rating® : une visibilité continue sur la posture externe

Security Rating® aide les organisations à analyser leur surface d'attaque externe ainsi que celle de leurs filiales, fournisseurs et partenaires. La solution identifie des actifs publiquement accessibles, évalue plusieurs domaines de risque et fournit des recommandations de remédiation.

Cette approche peut compléter une démarche ISO/IEC 27001 de plusieurs façons :

• en apportant une vue externe sur les actifs et services exposés ;
• en facilitant l'identification de certains écarts techniques ;
• en permettant de suivre la correction des vulnérabilités observables ;
• en fournissant des indicateurs exploitables par les équipes opérationnelles et la direction ;
• en contribuant à l'évaluation continue de fournisseurs et de partenaires.

Security Rating® ne remplace pas la certification ISO/IEC 27001, un audit interne ou un test d'intrusion. Il s'agit d'un outil complémentaire pour maintenir une visibilité sur les risques visibles depuis internet et hiérarchiser les actions de remédiation.

Conclusion

La certification ISO/IEC 27001 reste un cadre de référence pour structurer durablement la gouvernance de la sécurité de l'information. Elle permet de définir un système de management, d'organiser la gestion des risques et de démontrer un engagement auprès des parties prenantes.

Dans un environnement où la surface d'attaque évolue rapidement, elle gagne toutefois à être complétée par des mécanismes de visibilité continue. La notation cyber apporte un regard externe sur les actifs exposés et certains signaux techniques de risque.

Utilisées conjointement, la certification ISO/IEC 27001, les audits, les évaluations fournisseurs et la notation cyber permettent de construire une démarche de conformité plus concrète, plus mesurable et mieux adaptée à l'évolution des risques.

FAQ

La notation cyber permet-elle d'obtenir la certification ISO/IEC 27001 ?

Non. La notation cyber ne permet pas, à elle seule, d'obtenir une certification ISO/IEC 27001. La certification porte sur un système de management de la sécurité de l'information, ses processus, son analyse des risques et ses contrôles. Une notation cyber apporte une évaluation complémentaire de certains risques observables depuis internet.

Une entreprise certifiée ISO/IEC 27001 peut-elle présenter des vulnérabilités externes ?

Oui. Une certification ISO/IEC 27001 atteste de la conformité d'un SMSI au regard de la norme, sur un périmètre défini et à la date de l'audit. Elle ne garantit pas l'absence de vulnérabilités, d'erreurs de configuration ou de nouveaux actifs exposés. Une surveillance externe régulière peut aider à identifier ces évolutions.

Comment évaluer un fournisseur certifié ISO/IEC 27001 ?

Le certificat ISO/IEC 27001 constitue un élément utile, mais il doit être analysé au regard de son périmètre, de sa validité et de la criticité du service fourni. Il peut être complété par un questionnaire de sécurité, des clauses contractuelles, un audit ciblé et une notation cyber afin de suivre les risques visibles depuis internet.

Security Rating® rend-il une entreprise conforme à ISO/IEC 27001 ?

Non. Security Rating® ne rend pas une organisation conforme à ISO/IEC 27001. La solution contribue à identifier et à suivre certains risques techniques observables depuis internet. Elle peut fournir des éléments utiles dans le cadre d'une démarche de gestion des risques, d'amélioration continue ou de préparation d'audit.