Histoire vraie.
Une femme que j'ai formée plus tôt cette année m'a raconté comment elle s'est retrouvée sur le projet ISO 27001 de son entreprise. Elle ne s'est pas portée volontaire. Quelqu'un est parti, un poste s'est libéré, et son manager l'a pointée du doigt dans un couloir en lui disant : « c'est toi qui gères la certification sécurité maintenant. »
Son parcours : coordination de projets. Elle n'avait jamais ouvert une norme ISO de sa vie. Lors de sa première réunion, le consultant externe a parlé pendant quarante minutes de la Déclaration d'Applicabilité, des contrôles de l'Annexe A et du plan de traitement des risques. Elle a noté les trois expressions dans son carnet, orthographiées phonétiquement, et les a toutes cherchées sur Google dans le train du retour.
Elle a fait ça pendant six mois. À chaque réunion. Nouveau vocabulaire, recherches discrètes sur Google après coup, hochements de tête au bon moment pour que personne dans la salle ne réalise qu'elle n'avait aucune idée de ce qui se décidait réellement.
Elle n'était pas mauvaise dans son travail. Elle était bonne dans son travail. Elle avait simplement été larguée dans une langue que personne n'avait proposé de lui enseigner.
Si vous avez été confronté à ISO 27001 sans avoir de background en sécurité, une version de cette histoire vous parle probablement. Peut-être êtes-vous en conformité. Peut-être êtes-vous en IT et avez-vous été désigné volontaire. Peut-être êtes-vous consultant et devez-vous être crédible face à un client lundi matin. Les détails changent. La sensation, non : tout le monde dans la salle semble maîtriser quelque chose qu'on ne vous a jamais enseigné, et l'admettre à voix haute semble plus risqué que de faire semblant.
Cet article traite de ce manque. Pas le manque d'implémentation. Celui qui vient avant. Le manque de vocabulaire. Et comment le combler.
Personne ne vous laisse l'apprendre avant d'en avoir besoin
Voilà la réalité avec ISO 27001 : vous n'avez pas le temps de l'étudier avant qu'il atterrisse sur votre bureau.
Vous êtes affecté à un projet. Ou on vous pose une question en réunion. Ou votre entreprise décide de se faire certifier et met votre nom à côté de « responsable ». Et soudain, vous êtes censé avoir des avis sur des choses dont vous n'avez jamais entendu parler. Personne ne s'assoit d'abord avec vous. Personne ne dit : « avant de commencer, voilà ce qu'est réellement un SMSI, voilà comment la norme est construite, voilà ce que ces mots signifient et pourquoi ils comptent. » On commence juste à utiliser les mots.
Et il y en a beaucoup. Confidentialité, intégrité, disponibilité. Appréciation des risques, traitement des risques, acceptation des risques. Annexe A, Déclaration d'Applicabilité, objectifs de contrôle, non-conformité, action corrective, amélioration continue. Trente pages de norme. Quatre-vingt-treize contrôles. Tout un vocabulaire professionnel que tout le monde autour de vous semble avoir absorbé par osmose.
Vous ne l'avez pas absorbé par osmose. Personne ne le fait. Les gens qui semblent à l'aise l'ont appris quelque part, délibérément. Ils l'ont simplement appris avant que vous entriez dans la salle.
C'est là tout le problème. Ce n'est pas qu'ISO 27001 soit impossiblement difficile. C'est que le domaine s'attend à ce que vous parliez la langue avant que quiconque vous l'enseigne.
Cinq choses auxquelles les gens hochent la tête sans comprendre
J'ai formé beaucoup de personnes au début de ce parcours. Les mêmes concepts font trébucher tout le monde, non pas parce qu'elles sont lentes, mais parce que personne ne les a jamais expliqués correctement. Voici cinq choses que les gens font semblant de comprendre, et qu'ils ne devraient pas avoir à simuler.
« Un SMSI. » La plupart des gens pensent que c'est un logiciel. Ou un document unique. Ou ce dossier SharePoint. Ce n'est pas ça. Un Système de Management de la Sécurité de l'Information, c'est l'ensemble du système utilisé pour gérer la sécurité : les politiques, les processus, les décisions, les personnes, et la façon dont tout cela s'articule. Une fois que ça fait tilt, la moitié de la norme cesse d'être mystérieuse. Avant que ça fasse tilt, rien n'a de sens.
« Le risque. » C'est le grand. Les gens utilisent « risque » pour désigner quatre choses différentes dans la même phrase. Une menace n'est pas une vulnérabilité. Une vulnérabilité n'est pas un risque. Et « nous n'avons pas d'authentification multi-facteurs » n'est pas non plus un risque : c'est un contrôle manquant. Un risque, c'est un scénario : quelque chose qui pourrait se produire, pourquoi cela pourrait se produire, et ce que ça vous coûterait. Si vous ne savez pas les distinguer, chaque discussion sur les risques à laquelle vous participez ressemblera à du brouillard. Une fois que vous le pouvez, ça devient soudainement lisible.
« La Déclaration d'Applicabilité. » Les gens hochent la tête sur cette expression pendant des années sans savoir à quoi elle sert. C'est le document qui indique lesquels des contrôles de l'Annexe A s'appliquent à vous, lesquels ne s'appliquent pas, et pourquoi. C'est aussi le premier document qu'un auditeur ouvre. Si vous ne comprenez pas ce que c'est, vous ne pouvez pas comprendre pourquoi c'est si important, et c'est plus important que presque tout le reste dans le dossier.
« L'Annexe A est une liste de courses. » Ce n'est pas le cas. Les quatre-vingt-treize contrôles de l'Annexe A ne sont pas un menu dans lequel vous faites vos achats, ni une checklist à cocher. Ce sont des options que vous justifiez, en fonction de vos risques. « Nous avons mis en œuvre les quatre-vingt-treize » n'est pas une bonne réponse. « Nous avons mis en œuvre ceux-ci, exclu ceux-là, et voici pourquoi » en est une. La distance entre ces deux phrases, c'est la distance entre comprendre la norme et en jouer le rôle.
« Certifié signifie terminé. » Passer l'audit de certification n'est pas la ligne d'arrivée. ISO 27001 est un système de management, ce qui signifie qu'il est censé continuer à fonctionner : surveillé, révisé, amélioré, audité à nouveau. Les personnes qui pensent que la certification est un événement ponctuel sont celles qui paniquent lors de l'audit de surveillance un an plus tard. Comprendre cela dès le départ change la façon dont vous abordez tout le reste.
Rien de tout cela n'est avancé. Ce sont les bases. Mais les bases, c'est précisément ce que personne ne prend le temps d'enseigner, c'est pourquoi tant de personnes compétentes passent si longtemps à se sentir perdues.
Ce que deux jours vous apportent réellement
Vous ne sortez pas d'une formation Foundation capable de construire un SMSI from scratch. C'est une autre formation, et plus longue. Ce que vous en retirez est quelque chose de plus immédiatement utile pour là où vous en êtes probablement maintenant : vous pouvez enfin suivre la conversation.
Vous aurez un modèle mental de ce qu'est un SMSI et pourquoi il existe, pour que la norme cesse d'être une suite de clauses déconnectées. Vous aurez le vocabulaire, réellement compris plutôt que mémorisé, pour que les mots utilisés en réunion aient un sens. Vous comprendrez comment la norme est structurée, pour vous repérer dans trente pages sans vous noyer. Vous comprendrez la logique du risque, la vraie différence entre un risque, une menace et un contrôle manquant, pour que les ateliers de risques cessent d'être du brouillard. Et vous en saurez assez pour savoir ce que vous ne savez pas, ce qui est précisément ce qui vous permet de poser la bonne question plutôt que de hocher la tête au mauvais moment.
C'est la différence entre être assis dans la salle et être présent dans la salle.
C'est à ça que servent les 2 jours
31 août et 1er septembre. Lundi et mardi. En ligne, en direct, en anglais. Un petit groupe, construit autour d'une façon d'expliquer ce domaine comme j'aurais aimé qu'on me l'explique.
Ce n'est pas une lecture dramatisée de la norme. Vous pouvez lire la norme vous-même, ce n'est pas la partie difficile. C'est la carte qui se trouve en dessous : ce qu'est un SMSI, comment les pièces s'assemblent, ce que les mots signifient, comment le risque fonctionne réellement, ce que recherche un auditeur, et où vous vous situez dans tout cela. Expliqué en langage clair, avec des exemples concrets tirés de situations réelles.
Jour 1. Ce que signifie réellement la sécurité de l'information, au-delà des buzzwords. Ce qu'est un SMSI et pourquoi les organisations en construisent un. Comment ISO 27001 est structurée, clause par clause, sans le jargon. Le contexte, le leadership, et les origines de la norme. Le panorama réglementaire : pourquoi GDPR, NIS2 et DORA y renvoient constamment.
Jour 2. Comment l'appréciation des risques et le traitement des risques fonctionnent réellement. La Déclaration d'Applicabilité et les contrôles de l'Annexe A, démystifiés. Comment un SMSI fonctionne au quotidien : surveillance, revue, amélioration. Ce qui se passe lors d'un audit de certification et ce que les auditeurs veulent voir. Puis la préparation à l'examen, et l'examen lui-même.
À la fin du mardi, vous passez l'examen PECB. Réussissez-le, et vous êtes certifié.
Qui enseigne cette formation
Moi. Christophe Mazzola. CISO en activité, fondateur de Cyber Academy.
Je n'enseigne pas les bases à partir d'un manuel. Je les enseigne à partir du terrain. Quand j'explique ce qu'est un risque, c'est parce que j'ai participé aux ateliers et regardé des gens confondre risques et contrôles pour la centième fois. Quand j'explique la Déclaration d'Applicabilité, c'est parce que j'en ai remis une à un auditeur et l'ai regardé aller directement dessus. Quand quelqu'un dans la salle dit « je ne vois pas pourquoi c'est important », je ne lui donne pas la réponse d'examen. Je lui explique à quoi ça ressemble quand ça déraille, parce que je l'ai vu déraillé.
L'avantage d'apprendre les fondamentaux auprès de quelqu'un qui fait réellement le travail est simple : vous apprenez ce qui compte et ce qui n'est que du bruit. Vous évitez les détails anecdotiques. Vous retenez les parties dont vous aurez besoin la semaine suivante.
C'est la différence entre une formation et un jeu de slides.
La garantie
Terminez la formation. Passez l'examen. Si vous ne réussissez pas, nous remboursons vos frais de formation.
Aucune condition cachée au-delà de terminer le programme et de passer l'examen. On appelle ça Certified or Refunded, et on le pense vraiment. La méthode fonctionne, le taux de réussite le prouve, et si vous investissez votre temps et l'argent de votre entreprise, vous méritez un prestataire qui mise sur le même résultat que vous.
Les détails
Formation : ISO/IEC 27001:2022 Foundation, PECB Certified
Dates : 31 août au 1er septembre 2026
Format : En ligne, en direct. Interactif. Non enregistré.
Langue : Anglais
CPD : 14 crédits
Rattrapage gratuit : dans les 12 mois
Tarif : 1 099 €
À vous de jouer
Si vous venez de vous voir confier un projet ISO 27001 et que vous ne savez pas du tout par où commencer, c'est votre point de départ.
Si vous hochez la tête en réunion depuis des mois et que vous en avez assez de chercher sur Google en douce, c'est comme ça que vous arrêtez.
Si vous envisagez d'aller plus loin un jour, Lead Implementer, Lead Auditor, c'est le Foundation sur lequel tout le reste se construit. Commencez ici et les formations avancées auront réellement du sens.
Et si vous avez simplement besoin de la certification pour prouver que vous maîtrisez les bases, cela vous rend certifié en deux jours.
Réservez votre place ci-dessous.
Des questions ? Écrivez-moi directement. Pas d'équipe commerciale. Pas de chatbot. Juste moi.
Christophe Mazzola