ISO 27001 : Foundation, Lead Implementer, Lead Auditor, laquelle choisir ?

La décision qui compte vraiment : construisez-vous ou auditez-vous ?

Les trois certifications ISO 27001 ne forment pas une échelle unique que l'on gravit dans l'ordre. Foundation est le socle commun, mais au-dessus le parcours bifurque vers deux métiers différents. L'un consiste à concevoir et faire fonctionner un système de management de la sécurité de l'information (ISMS) au sein d'une organisation. L'autre consiste à examiner le ISMS d'autrui au regard de la norme et à formuler un avis indépendant. Les intitulés le signalent : Lead Implementer est un bâtisseur, Lead Auditor est un examinateur. Choisir le mauvais gaspille une semaine de formation et vous donne un certificat qui ne correspond pas au travail qui vous attend.

Posez-vous une question avant de réserver quoi que ce soit : dans les douze prochains mois, serez-vous responsable de l'existence et du bon fonctionnement d'un ISMS, ou responsable de juger si un ISMS fonctionne ? Si vous êtes propriétaire de la Statement of Applicability, du plan de traitement des risques et de la revue de direction, vous construisez. Si vous arrivez, échantillonnez les preuves et rédigez des constats, vous auditez. Le verbe que vous accomplissez le plus souvent, c'est toute la décision.

Dans les deux cas, vous partez du même point. Le cours ISO 27001 Foundation vous donne le vocabulaire, la structure des mesures de l'Annexe A et la logique de système de management que les deux pistes seniors supposent déjà acquis.

Ce que chaque examen évalue réellement (au-delà de la brochure)

Les descriptions de niveau vous indiquent la durée. Elles ne vous disent pas ce que l'évaluation récompense, ce qui détermine pourtant la manière dont vous devez vous préparer.

Foundation

Foundation est un examen de connaissances. Il vérifie que vous savez lire la norme sans vous perdre : les chapitres 4 à 10, la boucle Plan-Do-Check-Act, la différence entre une mesure et un objectif de mesure, et la place de l'Annexe A par rapport aux exigences principales. Il ne vous demande pas d'appliquer quoi que ce soit sous pression. Si vous savez expliquer pourquoi la SoA doit justifier à la fois les inclusions et les exclusions, vous êtes prêt.

Lead Implementer

Lead Implementer est un examen de compétence construit autour de scénarios. On vous présente une organisation fictive et on vous demande ce que vous feriez : comment vous définiriez le périmètre du ISMS, comment vous mèneriez l'appréciation des risques, ce qui figure dans le plan de traitement des risques, comment vous traiteriez une mesure non conforme. Les questions récompensent le jugement, pas la restitution. Le cours Lead Implementer est structuré autour du projet d'implémentation complet, de sorte que les scénarios d'examen ressemblent à un travail que vous avez déjà fait.

Lead Auditor

Lead Auditor sollicite un muscle différent : la méthodologie d'audit ISO 19011 appliquée à l'ISO 27001. Les scénarios vous placent dans la salle d'audit. Vous décidez quelles preuves démontrent qu'un chapitre est satisfait, comment échantillonner, comment formuler un constat et comment le graduer en non-conformité majeure ou mineure. Le piège dans lequel tombent les candidats consiste à auditer comme ils implémenteraient, en indiquant à l'audité comment corriger les choses au lieu d'énoncer ce qui est non conforme. Le cours Lead Auditor entraîne à la discipline de la preuve d'abord, de l'avis et non du conseil, que l'examen comme les audits réels exigent tous deux.

Les trois niveaux côte à côte

Prérequis et ce que l'étape suivante vous apporte réellement

Foundation est le prérequis pour les certifications seniors, mais lisez cela avec précision : la plupart des schémas d'accréditation exigent des connaissances de niveau Foundation, pas nécessairement un certificat Foundation distinct passé au préalable. En pratique, les cours seniors s'ouvrent sur un rappel condensé des fondamentaux, puis les supposent acquis. Si vous arrivez sans cette base, vous passez la première journée à rattraper votre retard au lieu d'apprendre la méthode, et le travail sur scénarios plus tard dans la semaine repose sur un terrain fragile. Passer Foundation d'abord n'est pas une formalité bureaucratique ; c'est ce qui permet au cours de cinq jours d'enseigner en pleine profondeur.

Ce que l'étape suivante apporte, c'est un levier, pas seulement une ligne sur un CV. Foundation vous donne la capacité de participer à une conversation sur le ISMS sans être perdu. Lead Implementer vous donne la capacité d'être responsable de l'existence du système : vous savez en définir le périmètre, défendre la SoA face à un auditeur et faire tourner le cycle. Lead Auditor vous donne l'indépendance : vous savez signer des constats sur lesquels un organisme de certification ou un conseil d'administration s'appuieront. Ce sont des formes d'autorité réellement différentes, et c'est pourquoi faire les deux sur douze à dix-huit mois est courant et utile. Un implémenteur également formé comme auditeur construit un ISMS qui survit à l'audit, parce qu'il sait ce que l'auditeur recherchera.

Erreurs courantes qui coûtent une semaine

Quelques schémas reviennent de façon répétée lorsque les gens choisissent ou passent ces cours. Ils sont évitables.

1. Considérer Lead Auditor comme la version plus prestigieuse de Lead Implementer. Elle n'est pas au-dessus ; elle est à côté. La réserver pour le prestige alors que votre métier est de construire le ISMS vous donne une compétence que vous utiliserez rarement.
2. Sauter la base Foundation pour économiser deux jours, puis perdre plus de deux jours à l'intérieur du cours senior à rattraper le vocabulaire pendant que tous les autres l'appliquent.
3. Les implémenteurs qui auditent en donnant des conseils, et les auditeurs qui auditent en rédigeant des plans d'amélioration. L'auditeur énonce ce qui est non conforme et renvoie au chapitre ; la correction appartient à l'audité. Franchir cette ligne fait échouer aux scénarios d'examen et compromet les audits réels.
4. Confondre la norme avec les mesures. L'Annexe A est un référentiel dans lequel vous sélectionnez via la SoA. Les exigences certifiables se trouvent dans les chapitres 4 à 10. Les candidats qui mémorisent les mesures mais ne savent pas expliquer les chapitres du système de management peinent dans les deux examens seniors.

La réalité de la salle d'audit, et pourquoi elle façonne les deux pistes

Pour quel que soit le côté pour lequel vous vous formez, imaginez l'audit de certification, car c'est là que les deux rôles se rencontrent. L'auditeur demande des preuves qu'un chapitre est satisfait et qu'une mesure sélectionnée fonctionne comme la SoA le prétend. L'implémenteur doit produire ces preuves à la demande : enregistrements de l'appréciation des risques, décisions de traitement, comptes rendus de la revue de direction, résultats de l'audit interne, actions correctives. Rien n'impressionne un auditeur ; seules les preuves le font. Une mesure qui existe mais ne laisse aucune trace est, du point de vue de l'audit, une mesure qui n'existe pas.

C'est pourquoi les praticiens les plus solides comprennent les deux perspectives même lorsqu'ils n'exercent qu'un seul métier. L'implémenteur conçoit le ISMS de sorte que faire le travail crée aussi la trace. L'auditeur lit cette trace sans qu'on lui raconte une histoire à son sujet. Si vous choisissez votre premier cours, choisissez le rôle dans lequel vous vivrez, puis planifiez le second cours pour le moment où vous voudrez l'autre moitié du tableau. La norme est un seul système vu depuis deux chaises, et la certification que vous choisissez doit correspondre à la chaise sur laquelle vous êtes assis.