Clause 4.2 ISO 27001 – Compréhension des besoins et attentes des parties intéressées

ISO 27001 est un sujet nouveau pour toi ? Pas de panique car j’ai déjà pensé à toi : commence immédiatement par lire “Le Guide ISO 27001 Ultime pour les entreprises africaines” bien avant de poursuivre avec cet article sur la Clause 4.2 ISO 27001.

Cela te ferait gagner énormément de temps et plus tard, tu me remercieras pour ça.

Maintenant, j’ai une question pour toi:

Sais-tu quelle est l’une des causes les plus fréquentes de non-conformité lors d’un audit de certification ISO 27001 en zone CEMAC Afrique Centrale et même au-delà ?

Ce n’est pas le manque de complexité de tes outils et/ou contrôles techniques ou même encore, l’absence d’un outil de chiffrement dernier cri.

C’est plutôt le fait d’avoir oublié d’intégrer l’exigence d’une partie intéressée quelconque (par exemple d’un régulateur clé – cela est encore plus crucial si tu évolues dans un secteur très réglementé comme la banque, les télécoms, l’énergie et autres) ou encore, d’avoir oublié une clause de sécurité imposée par un client majeur dans ton Système de Management de la Sécurité de l’Information (SMSI).

Une fois que tu as défini l’environnement global de ton entreprise grâce à la Clause 4.1 de l’ISO 27001, la norme t’exige immédiatement de passer à l’étape suivante : la Clause 4.2 ISO 27001 – Comprendre les besoins et attentes des parties intéressées.

Dans ce guide complet consacré à la clause 4.2 de la norme ISO 27001, ce que tu vas apprendre inclus mais ne se limite pas à :

• Qu’est-ce que la clause 4.2 de la norme ISO 27001 ?
• Comment mettre en œuvre la clause 4.2 de la norme ISO 27001
• Comment réaliser un audit de la clause 4.2 de la norme ISO 27001
• Des exemples de parties intéressées et de leurs besoins

Toutefois, si tu n’as pas le temps de terminer la lecture de cet article, voici ce que tu dois absolument et immédiatement retenir :

• Les parties intéressées dans le cadre de la norme ISO 27001, ce sont toutes les parties prenantes du Système de Management de la Sécurité de l’Information (SMSI) de ton entreprise.
• Cette clause 4.2 ISO 27001 porte sur la réalisation d’une analyse des parties intéressées. L’objectif est d’identifier les personnes ou entités qui ont un intérêt dans l’efficacité du Système de Management de la Sécurité de l’Information (SMSI) de ton entreprise.
• De cartographier les exigences légales et contractuelles des parties intéressées.
• Il s’agit ensuite de démontrer en quoi le Système de Management de la Sécurité de l’Information (SMSI) de ton entreprise répond aux besoins et attentes de ces parties intéressées.

❌ La clause 4.2 ISO 27001 est l’une des clauses obligatoires de la norme. En d’autres termes, sans démontrer ta conformité à cette clause, c’est une impossibilité mathématique pour toi de pouvoir passer un audit de certification ISO 27001 réussi.

Sans plus tarder, je te propose de décortiquer cette clause sans langue de bois. Je te montre comment transformer cette contrainte en un argument de vente/business efficace.

Qu’est-ce que la clause 4.2 ISO 27001 et qu’exige t-elle ?

La clause 4.2 de la norme ISO 27001, intitulée « Compréhension des besoins et des attentes des parties prenantes », exige que vous identifiiez les parties intéressées en rapport avec votre SMSI, que vous déterminiez leurs exigences et que vous vérifiiez comment celles-ci sont satisfaites.

La formalisation de ces besoins externes et internes garantit la conformité réglementaire et la résilience opérationnelle face aux menaces émergentes en matière de cybersécurité.

Il va de soi que cela revêt une importance capitale.

Des projets entiers échouent juste parce que les personnes impliquées ne comprenaient pas quelles étaient les autres personnes et/ou entités ayant un intérêt direct et, par conséquent, ne répondaient pas à leurs besoins, ce qui a empêché d’obtenir par exemple, l’adhésion de ces personnes/entités ainsi que leur soutien.

Un exemple simple :

Si la Direction Générale n’est pas impliquée, il est presque impossible de réussir à implémenter un SMSI conforme à ISO 27001 dans ton entreprise car cette implémentation représente un coût que la Direction Générale ne vas pas s’engager à payer si elle n’a été impliquée dans le processus pour comprendre les enjeux et apporter son sponsoring.

Encore une fois, l’objectif de la Clause 4.2 est de s’assurer que ton SMSI ne fonctionne pas en vase clos. Pour être conforme, ton organisation doit déterminer de manière formelle :

• Qui sont les parties intéressées pertinentes pour ton SMSI (qu’elles soient internes ou externes).

• Quelles sont les exigences pertinentes de ces parties intéressées (obligations légales, réglementaires, ou engagements contractuels). La formalisation de ces besoins externes et internes garantit la conformité réglementaire et la résilience opérationnelle face aux menaces émergentes en matière de cybersécurité.

• Lesquelles de ces exigences seront traitées à travers le SMSI (autrement dit, quelles attentes deviennent des exigences de sécurité obligatoires dans ton organisation).

Une “partie intéressée” c’est toute personne, groupe ou organisme qui peut affecter, être affecté par, ou se percevoir comme étant affecté par une décision ou une activité liée à la sécurité de ton système d’information.

L’approche de la norme est d’une logique implacable :

Si tu ne sais pas ce que tes clients, tes actionnaires et tes régulateurs attendent de toi en matière de sécurité de l’information, il te sera impossible de bâtir un système de management de la sécurité de l’information (SMSI) adapté. Ce qui complique davantage l’atteinte de tes objectifs commerciaux ou business.

Qui sont les parties intéressées et pourquoi ont-elles un rôle important pour votre SMSI ?

Pour résumer, dans la norme ISO 27001, les parties intéressées sont les acteurs du Système de Management de la Sécurité de l’Information (SMSI) qui ont un intérêt dans son fonctionnement et dans les résultats escomptés.

Elles peuvent être tant internes qu’externes à l’organisation.

Leur intérêt peut être tant positif que négatif.

Ces parties peuvent imposer des exigences au SMSI afin d’atteindre des objectifs spécifiques ou de garantir un fonctionnement particulier.

En comprenant leurs besoins et leurs attentes, les organisations peuvent démontrer en quoi le SMSI répondra à ces exigences.

Cela s’inscrit dans le contexte plus large de l’organisation, tel que décrit dans la clause 4.1 de la norme ISO 27001, où les enjeux internes et externes ont été identifiés.

Ce que vous cherchez à déterminer, c’est qui pourrait être concerné par notre système de gestion de la sécurité de l’information, qui pourrait être concerné par les résultats de ce système de gestion, et quels sont leurs intérêts ?

Qu’attendent-ils de ce système ? Quels sont leurs buts et objectifs à son égard ?

La clause 4.2 souligne l’importance de bien cerner les parties intéressées. Il convient notamment de noter que ces parties intéressées et leurs exigences peuvent être les mêmes d’une organisation à l’autre suivant des paramètres comme le secteur d’activité et autres.

Cela permet une mise en œuvre efficace, car les organisations peuvent utiliser des modèles préremplis, ce qui réduit au minimum l’effort nécessaire à cette analyse cruciale.

ISO 27001 Amendement n°1 : Action pour le changement climatique

Début 2024, l’ISO a publié une mise à jour obligatoire intitulée ISO 27001:2022/Amd 1:2024. Il ne s’agissait pas d’une simple suggestion ou d’un élément « facultatif » pour votre rapport ESG.

Cette mise à jour a ajouté une exigence spécifique et contraignante à la clause 4.2, selon laquelle vous devez désormais déterminer si le changement climatique constitue un enjeu pertinent pour vos parties prenantes.

Cartographie des parties intéressées majeures en Zone CEMAC

En Afrique Centrale et dans les autres sous-régions de l’Afrique, appliquer des modèles génériques importés d’Europe est une erreur stratégique.

Tes parties intéressées ne sont pas les mêmes qu’à Londres, New-York ou à Paris.

Voici la cartographie concrète des acteurs que tu dois impérativement inclure dans ta matrice si tu opères au Congo, au Cameroun, au Gabon ou dans le reste de la CEMAC :

1. Les Régulateurs et autorités Étatiques (Légal & Obligatoire)

Ce sont les parties intéressées dont les exigences ne sont pas négociables. Ignorer leurs attentes expose ton entreprise à des amandes colossales, voire à la suspension de ton agrément d’exploitation – par exemple, agrément bancaire ou autre :

• Secteur financier et bancaire : La COBAC (Commission Bancaire de l’Afrique Centrale) avec ses règlements stricts sur le contrôle interne et la gestion des risques opérationnels/informatiques, ainsi que la BEAC pour les directives relatives au change et aux flux financiers transfrontaliers.
• Secteur des Assurances : La CIMA (Conférence Interafricaine des Marchés d’Assurances) qui impose une traçabilité et une protection renforcée des données des assurés.
• Secteur des Télécoms et du Mobile Money : Les agences nationales de régulation comme l’ARPCE au Congo, l’ART au Cameroun ou l’ARCEP au Gabon, qui exigent la haute disponibilité des réseaux et la sécurité des données d’identification des abonnés (KYC).
• Protection des données personnelles : Les autorités nationales de protection des données (comme la Commission Nationale de Protection des Données à Caractère Personnel (CNPD) en République du Congo, l’ANSSI-Congo ou l’ANTIC au Cameroun).

2. Les clients et donneurs d’ordres High-Ticket (Contractuel)

Tes clients sont la raison d’être de ton entreprise.

Dans nos marchés, leurs exigences cyber deviennent des critères de sélection impitoyables :

• Les Majors Oil & Gas et Énergie : Les géants pétroliers (TotalEnergies, Eni, Perenco) et les sociétés d’électricité exigeant que leurs sous-traitants locaux respectent des politiques de sécurité alignées sur les standards internationaux pour valider leur statut de Local Content.
• Les Institutions financières et entreprises Corporate : Qui exigent des garanties écrites et des droits d’audit sur l’étanchéité de tes systèmes si tu leur fournis des services informatiques, de l’hébergement ou du conseil.

3. Les parties intéressées internes (Opérationnel)

La sécurité ne se fait pas contre tes collaborateurs, mais avec eux :

• Le Conseil d’Administration et la Direction Générale : Ils exigent la préservation de la valeur de l’entreprise, l’absence d’interruption d’activité et la protection de la réputation de la marque.
• Les employés et délégués du personnel : Ils attendent le respect de leur vie privée (données RH) et des règles claires sur l’utilisation des outils informatiques sans surveillance abusive.
• Les équipes IT et opérationnelles : Qui ont besoin de procédures réalistes et d’outils adaptés pour travailler sans être paralysées par des mesures de sécurité absurdes.

4. Les prestataires et fournisseurs tiers (Chaîne d’approvisionnement)

• Les Équipementiers et Éditeurs Internationaux : (Microsoft, Fortinet, Cisco, Oracle, Huawei) dont les conditions de licence et les cycles de mise à jour imposent des contraintes techniques directes à ton architecture.
• Les fournisseurs locaux d’Infrastructures : Opérateurs de fibre optique, fournisseurs de groupes électrogènes et datacenters locaux, dont la fiabilité conditionne ta propre continuité d’activité.

Matrice des parties intéressées : Exemple concret CEMAC

Pour valider l’audit de certification, la méthode la plus efficace que je conseille et que j’applique dans mes accompagnements High-Ticket consiste à tenir un Registre des Parties Intéressées.

Voici à quoi doit ressembler ta matrice, personnalisée avec des exemples ultra-pertinents pour la région :

Partie Intéressée	Catégorie	Exigences / Attentes Identifiées	Devient une Exigence du SMSI ?	ID Risque Associé (Clause 6.1)
COBAC	Externe / Régulateur	Traçabilité des accès aux applications bancaires, plan de continuité d’activité (PCA) testé annuellement.	Oui (Obligatoire)	R-012 (Sanctions réglementaires et suspension d’agrément)
Majors Oil & Gas (ex: TotalEnergies)	Externe / Client	Conformité aux exigences de sécurité de la chaîne d’approvisionnement, isolation des accès distants aux réseaux OT.	Oui (Contractuel)	R-028 (Perte de contrats stratégiques et disqualification des appels d’offres)
ARPCE / ART	Externe / Régulateur	Chiffrement des données de souscription Mobile Money et disponibilité réseau supérieure à 99,9 %.	Oui (Obligatoire)	R-045 (Pénalités financières et amende pour coupure de service)
Direction Générale	Interne / Gouvernance	Protection contre la fuite de données financières sensibles et préservation de la réputation de l’entreprise.	Oui (Stratégique)	R-003 (Atteinte à l’image de marque et perte de confiance des actionnaires)
Collaborateurs & RH	Interne / Personnel	Confidentialité des dossiers du personnel et protection contre les menaces internes lors des départs (offboarding).	Oui (Interne)	R-019 (Vol de données de propriété intellectuelle par un employé démissionnaire)
Fournisseurs de Fibre Optique	Externe / Tiers	Respect des engagements de niveau de service (SLA) de rétablissement en cas de coupure de câble.	Oui (Opérationnel)	R-057 (Indisponibilité critique du réseau par rupture d’infrastructure tiers)

De façon beaucoup plus générique, tu peux aussi utiliser l’exemple du tableau suivant basant ton appréciation sur différents types d’entreprises.

Type d’entreprise	Applicabilité	Pourquoi c’est important	Clause 4.2 Exemples de contenu (parties intéressées et exigences)
Petites entreprises (Small Businesses)	Fondamental	Évite la « surcharge réglementaire » en veillant à ce que les mesures de sécurité soient strictement adaptées aux besoins réels des parties intéressées (telles que les banques locales ou les clients clés).	Parties intéressées : clients locaux, personnel et banques. Exigences : respect des principes fondamentaux de protection des données, stabilité financière et fiabilité de la prestation de services.
Startup Tech	Stratégique / Essentiel à la croissance	Les start-ups doivent satisfaire dès le début les investisseurs en capital-risque et les entreprises clientes ; la mise par écrit de ces attentes est essentielle pour passer avec succès la phase de vérification préalable.	Parties intéressées : investisseurs (fonds de capital-risque), utilisateurs de solutions SaaS d’entreprise et fournisseurs de services cloud. Exigences : réponse rapide aux incidents, conformité aux normes SOC 2 et ISO 27001, et disponibilité de 99,9 %.
Entreprises IA	Complexe / Obligatoire	Dans le cadre du traitement de données à haut risque, les entreprises spécialisées dans l’intelligence artificielle doivent faire face à une surveillance étroite de la part des autorités de régulation et des personnes concernées en matière d’utilisation éthique et de transparence algorithmique.	Parties intéressées : les personnes concernées (pour les ensembles de données d’entraînement), les organismes de réglementation en matière d’IA et les comités d’éthique. Exigences : traçabilité des données, intégrité des modèles et respect rigoureux du principe de « protection de la vie privée dès la conception ».

Le “fil conducteur / fil d’Ariane” ISO 27001

L’ISO 27001 n’est pas une collection de documents isolés, c’est une chaîne logique continue. Dans ce sens, l’un des plus grands concepts en termes de méthodologie pour maîtriser l’implémentation du SMSI, c’est le Fil d’Ariane :

1. Clause 4.1 (Contexte) + Clause 4.2 (Parties Intéressées) : Tu identifies ton environnement et les personnes qui ont des exigences envers toi.
2. Clause 4.3 (Périmètre du SMSI) : Tu utilises les résultats des clauses 4.1 et 4.2 pour définir les frontières exactes de ton SMSI. Si la COBAC exige la sécurisation de ta plateforme monétique, cette plateforme doit faire partie de ton périmètre certifié.
3. Clause 6.1 (Appréciation des risques) : Chaque exigence de partie intéressée non satisfaite se transforme directement en un risque identifié dans ton registre des risques.
4. Annexe A (Contrôles de sécurité) : Tu déploies les contrôles techniques, organisationnels et physiques pour traiter ces risques.

Si un auditeur constate que la COBAC exige un PCA (Clause 4.2 ISO 27001), mais que cette exigence ne figure pas dans la définition de ton périmètre (Clause 4.3 ISO 27001) ni dans ton analyse des risques (Clause 6.1 ISO 27001), ton SMSI sera immédiatement sanctionné par une non-conformité majeure.

Registre de parties intéressées – ISO 27001

Un registre des parties intéressées permet de répertorier les parties prenantes, leurs exigences et la manière dont le SMSI répond à ces exigences.

En voici un exemple :

Partie Intéressée	Exigence pertinente -> SMSI	Comment nous satisfaisons l’exigence
Partie intéressée 1	Conformité légale et réglementaire, Rentabilité	Implémenter un SMSI conforme à ISO 27001, Veiller à ce que nous disposions d’un registre des exigences légales et réglementaires approuvé par la direction générale et le service juridique
Partie intéressée 2	Conformité légale et réglementaire, Rentabilité	Implémenter un SMSI conforme à ISO 27001, Veiller à ce que nous disposions d’un registre des exigences légales et réglementaires approuvé par la direction générale et le service juridique

Comment implémenter la Clause 4.2 ISO 27001

1. Comment identifier vos parties intéressées

Il existe deux façons de les identifier :

Méthodes informelles

Une séance de brainstorming collaborative constitue un point de départ essentiel.

Implique un groupe diversifié de parties intéressées, comprenant des représentants de différents services, notamment des services informatiques, des ressources humaines, du service juridique et de la direction.

Un animateur (facultatif) peut guider la discussion et veiller à ce que tous les points de vue soient pris en compte.

Commence par recenser toutes les parties potentiellement concernées.

Cette phase initiale de réflexion collective doit être inclusive et prendre en compte toutes les parties intéressées potentielles évoquées par les participants.

Méthodes formelles

Pour une approche plus structurée, envisager une analyse PESTLE. Ce cadre peut être adapté pour identifier les parties intéressées en se concentrant sur les facteurs externes :

Politique : les parties prenantes externes en matière de politique.
Économique : les parties prenantes financières externes.

Social : attentes et exigences des clients, ainsi que défis liés à la communication externe.

Technologique : partenaires technologiques nouveaux et émergents.

Légal / Juridique : questions externes liées à la conformité juridique et réglementaire, préoccupations relatives à la protection des données, droits de propriété intellectuelle, ainsi que les groupes et organismes associés.

Environnemental : facteurs environnementaux externes tels que le climat ou les préoccupations spécifiques liées à l’emplacement des bureaux et des installations, ainsi que les groupes et organismes associés.

13 exemples de parties Intéressées – Conforme ISO 27001

Les auditeurs détestent voir les mêmes parties prenantes, copiées-collées à partir d’un modèle générique.

Si tu vises atteindre un « top-notch » de conformité, tu dois démontrer à l’auditeur que vous n’êtes pas restés superficiel dans votre analyse.

Aujourd’hui, bon nombre d’auditeurs s’intéresseraient tout particulièrement aux parties intéressées « fantômes », c’est-à-dire celles qui n’ont pas de contrat direct avec ton organisation, mais qui peuvent néanmoins mettre fin à vos activités si leurs exigences ne sont pas satisfaites.

Catégorie	Partie Intéressée	L’exigence “Le Quoi”	Ce qui intéresse l’auditeur
Interne	Conseil D’Administration, Fondateurs	Retour sur investissement des dépenses en sécurité et protection de la réputation de la marque.	Elles fournissent les ressources nécessaires à la clause 5.1. L’absence d’adhésion du conseil d’administration équivaut à l’échec du SMSI.
Interne	Employés / Staff	Des règles claires et un environnement de travail sûr/sain…	Ce sont eux qui actionnent/opèrent les contrôles. S’ils ne comprennent pas le « pourquoi », ils contourneront les mesures de sécurité.
Interne	IT / équipes DevOps	Intégration de la sécurité dans le pipeline CI/CD et fourniture de recommandations techniques claires.	Élément essentiel pour l’annexe A.8.25 (Cycle de vie du développement sécurisé).
Externe	Client directs	Confidentialité des données, disponibilité de 99,9 % et clauses relatives au droit d’audit.	Le principal élément déterminant de votre Déclaration d’Applicabilité (SoA).
Externe	Régulateurs	Respect de la Loi n° 29-2019 du 10 octobre 2019 (Congo) et obligation de signalement des violations	Le non-respect de cette exigence constitue un risque juridique susceptible d’invalider l’ensemble du SMSI.
Externe	Fournisseurs critiques	Des exigences claires en matière de sécurité et un paiement dans les délais.	Indispensable pour l’annexe A.5.19 (Sécurité de l’information dans les relations avec les fournisseurs).
Externe	Organismes de Certification	Des preuves objectives de conformité et d’amélioration continue.	Ce sont eux qui délivrent le certificat. Il faut répondre à leurs attentes en matière d’« audit interne ».
Externe	Fournisseurs d’Assurance	Un profil de risque réduit permettant de justifier les primes d’assurance contre les risques cyber.	C’est souvent la raison cachée qui explique pourquoi vous avez besoin d’implémenter la norme ISO 27001.
Fantôme	Autorités locales	Exigences en matière d’accessibilité physique et coordination des services d’urgence.	Un élément essentiel pour vos plans de sécurité physique et de continuité d’activité.
Fantôme	Hackers / Vecteurs de menaces	Exploitation des vulnérabilités (Intérêt négatif).	Il faut identifier leurs « intérêts » afin d’élaborer une évaluation des risques efficace.
Fantôme	Organismes de Normalisation (ex: ISO)	Mise à jour de la norme et intégration des nouveaux amendements (tels que « Action pour le climat »).	Ce sont eux qui fixent les règles. Il faut obligatoirement se tenir informé de leurs modifications obligatoires.
Fantôme	Médias / Presse	Transparence et réactivité en cas de violation de données.	Cela a un impact direct sur votre stratégie de communication en matière de gestion des incidents.

2. Comment définir les besoins des parties intéressées

Une fois que vous avez identifié les parties intéressées, l’étape suivante consiste à cerner et à consigner leurs besoins et leurs attentes.

L’essentiel est de le faire en vous plaçant du point de vue de la partie intéressée, et non du nôtre.

Pour les parties prenantes et les parties intéressées identifiées, vous pouvez mener un entretien et leur demander quelles sont leurs exigences. Les questions suivantes peuvent vous servir de guide :

• Quelles sont vos attentes vis-à-vis du Système de Management de la Sécurité de l’Information (SMSI) ?
• En quoi un Système de Management de la Sécurité de l’Information (SMSI) efficace vous est-il profitable ?
• Existe-t-il d’autres parties intéressées dont les intérêts pourraient entrer en conflit avec les vôtres ?
• Quelles sont vos préoccupations concernant leSystème de Management de la Sécurité de l’Information (SMSI) ?

07 exemples d’exigences relatives aux parties intéressées – ISO 27001

Voici 07 exemples concrets d’exigences relatives aux parties prenantes selon la norme ISO 27001 dans le cadre du système de gestion de la sécurité de l’information :

Résumé d’exigences concrètes pour les parties intéressées de la norme ISO 27001
Catégorie de l’exigence	Description des attentes des parties intéressées
Conformité	Veille à ce que l’organisation respecte l’ensemble des exigences légales et réglementaires applicables.
Atténuaiton des risques	Contribue à prévenir les fuites de données et réduit le nombre global d’incidents de sécurité.
Protection financière	Protège l’entreprise en contribuant à éviter des amendes coûteuses d’ordre juridique et réglementaire.
Croissance commerciale	Offre un avantage commercial certain pour remporter des appels d’offres et augmenter le chiffre d’affaires.
Intégrité de marque	Veille activement à la réputation de l’entreprise et renforce la confiance des parties intéressées.
Sécurité et culture	Il garantit un environnement de travail sûr et permet au personnel d’exercer ses fonctions sans formalités administratives inutiles/superflues.
Efficacité opérationnelle	Permet une coopération rapide et efficace avec les enquêtes menées par des instances externes lorsque cela s’avère nécessaire.

3. Comment documenter l’amendement de 2024 sur l’action pour le climat

Pour satisfaire un auditeur, vous devez démontrer que cette question a été abordée en intelligence avec la direction générale. Vous devriez mettre à jour votre registre des parties intéressées afin d’y inclure les exigences liées au climat.

Ci-dessous trois exemples concrets illustrant comment cette question.

Partie Intéressée	Exigence liée au climat	Corrélation entre les mesures de réponse et les mesures de contrôle du SMSI
Clients “Entreprises”	Exigence de haute disponibilité malgré des phénomènes météorologiques extrêmes.	Annexe A.5.30 : Préparation des TIC à la continuité d’activité.
Régulateurs	Obligation de publication d’informations relatives à la résilience opérationnelle et aux risques environnementaux.	Clause 6.1 : Actions à mettre en œuvre face aux risques et opportunités
Data centers externes	Accord de niveau de service (SLA) contractuel portant sur l’efficacité du refroidissement et la protection contre les inondations.	Annexe A.5.30 : Périmètres de sécurité physique

💡Astuce de Pro – Et si le changement climatique n’avait véritablement aucun impact sur les parties intéressées à votre SMSI ? Même si c’est le cas, vous ne pouvez tout de même pas l’ignorer. Vous devez consigner une « détermination négative ».

Il s’agit d’une déclaration officielle figurant dans le procès-verbal de votre revue de direction ou dans votre registre, qui pourrait stipuler ce qui suit : « Nous avons examiné les exigences de nos parties intéressées au regard de la norme ISO 27001:2022/Amd 1:2024 et avons déterminé que le changement climatique n’impose actuellement aucune exigence de sécurité spécifique à notre SMSI. ».

Sans cette phrase, vous n’avez aucune preuve de contrepartie, et c’est là que l’auditeur vous prendra en défaut. Il faut rester simple, conserver toutes vos pièces justificatives et mettre votre certification à l’abri.

10 étapes pour implémenter la Clause 4.2 ISO 27001

La mise en œuvre de la clause 4.2 de la norme ISO 27001 nécessite de passer d’une prise de conscience générale à une documentation technique.

Cette liste de contrôle étape par étape, fondée sur l’expérience concrète d’auditeurs, vous permet d’identifier les parties prenantes concernées, de recenser leurs exigences techniques et de les mettre directement en correspondance avec vos contrôles de sécurité.

Le respect de ce processus garantit que votre SMSI s’appuie sur la réalité juridique, réglementaire et contractuelle de votre organisation.

1. Réunir le top management et les experts en la matière

• Réunir les hauts dirigeants, les conseillers juridiques et les experts techniques de l’ensemble de l’organisation afin d’assurer une visibilité transversale.
• Définir le contexte de la réunion en passant en revue la stratégie d’entreprise actuelle et tout changement significatif dans le paysage des menaces.
• Désigner un secrétaire, rapporteur chargé de consigner l’intégralité des discussions au sein de votre plateforme de gestion du SMSI soumise à un contrôle de version.

2. Organiser un séance de brainstorming pour identifier les parties intéressées

• Organiser une séance de brainstorming formelle afin d’identifier toutes les parties intéressées internes et externes susceptibles d’influencer ou d’être influencées par votre posture en matière de sécurité de l’information.
• Classer ces parties prenantes en catégories telles que les autorités de régulation, les clients, les employés et les fournisseurs critiques.
• Prendre en compte les parties intéressées « de l’ombre », telles que les sous-traitants ou les collectivités locales, qui peuvent avoir un impact indirect sur vos opérations.

3. Consigner et analyser la matrice des parties intéressées

• Enregistrer chaque partie intéressée identifiée, en indiquant son nom et son rôle, dans un registre centralisé des parties intéressées.
• Réaliser une analyse formelle des parties intéressées afin de les classer en fonction de leur influence et de leur intérêt vis-à-vis de vos objectifs de sécurité de l’information.
• Utiliser des outils techniques tels que les grilles « pouvoir-intérêt » pour hiérarchiser les parties prenantes qui nécessitent une gestion et un suivi les plus intensifs.

4. Valider la liste des parties intéressées avec les principaux acteurs

• Contacter directement les représentants des parties intéressées identifiées afin de vérifier qu’il s’agit bien de parties intéressées clés ayant des intérêts pertinents en matière de sécurité de l’information.
• Mettre à jour votre documentation en fonction de ces retours d’information afin de vous assurer que vous n’omettez aucune entité essentielle et que vous ne consacrez pas trop d’attention à des entités mineures.
• Finaliser la liste afin qu’elle serve de référence pour votre phase de recueil des exigences techniques.

5. Énumérer les exigences de sécurité de l’information détaillées

• Analyser les documents pertinents, notamment les contrats-cadres de services, les accords de niveau de service (SLA) et les directives réglementaires telles que la loi 29-2019 (Congo), le RGPD ou la directive NIS2.
• Mener des entretiens et des enquêtes ciblés auprès des représentants des parties intéressées afin de recenser les besoins techniques spécifiques, tels que les obligations en matière d’authentification multifactorielle (MFA) ou les normes de chiffrement.
• Veiller à ce que toutes les exigences soient consignées de manière détaillée, en les reliant, le cas échéant, à des articles législatifs ou à des clauses contractuelles spécifiques.

6. Formaliser la confirmation des exigences

• Partager les exigences consignées avec chaque partie intéressée afin d’en confirmer l’exactitude et l’exhaustivité.
• Obtenir une validation officielle ou un accusé de réception écrit afin d’éviter tout litige futur concernant les obligations en matière de sécurité de l’information.
• Mettre à jour votre registre soumis à un contrôle de version afin de refléter l’état validé des besoins par/des parties intéressées.

7. Mise en correspondance des exigences avec les contrôles techniques et les évaluations des risques

• Réaliser une évaluation approfondie des risques afin d’identifier les risques de sécurité liés au non-respect de chaque exigence des parties intéressées.
• Élaborer une matrice de mise en correspondance des contrôles qui relie chaque exigence à un contrôle spécifique de l’annexe A ou à une procédure organisationnelle.
• Vérifiez que les implémentations techniques, telles que les rôles IAM et les registres d’actifs, sont configurées de manière à satisfaire ces obligations externes.

8. Justificatifs – décisions, gestion et résolution des conflits

• Identifier toute exigence contradictoire, telle que la demande d’un client d’accéder à des données qui entre en conflit avec les obligations en matière de protection de la vie privée imposées par une autorité de régulation.
• Mettre en place un processus formel de résolution impliquant la direction générale afin de déterminer quelles exigences ont la priorité.
• Consigner par écrit la justification de ces décisions afin de fournir aux auditeurs des preuves de l’approche fondée sur les risques adoptée par la direction.

9. Mettre en place un cycle récurrent de suivi et de révision

• Définir une fréquence fixe pour la révision du registre des parties intéressées, en veillant à ce qu’il reste en adéquation avec l’évolution de l’environnement commercial.
• Définir des critères spécifiques déclenchant une révision immédiate, tels que la signature d’un nouveau contrat majeur ou l’adoption d’une nouvelle législation en matière de sécurité.
• Veiller à ce que les résultats de la révision soient directement intégrés à la réunion de revue de direction, conformément à la Clause 9.3 – Revue de direction.

10. Rassembler les éléments justificatifs pour les audits de certification externes

• Rassembler tous les registres horodatés, les comptes rendus de réunion et les documents de cartographie des contrôles dans un seul « dossier de pièces justificatives d’audit ».
• Retracer le « fil conducteur / fil d’Ariane » depuis la réflexion initiale jusqu’au contrôle technique mis en œuvre afin de démontrer votre conformité totale.
• Veillez à conserver toutes les versions archivées du registre afin de retracer l’historique de votre parcours de mise en œuvre.

Comment auditer la Clause 4.2 ISO 27001

10 étapes pour auditer la Clause 4.2 ISO 27001

Cette liste de contrôle d’audit sert de guide technique pour la réalisation d’audits internes ISO 27001 auprès des parties intéressées ; elle reprend les critères exacts utilisés par les organismes accréditées de certification externes.

Elle fournit des conseils pratiques sur les éléments à examiner et sur la manière de vérifier efficacement la conformité.

1. Provisionner un registre centralisé des parties intéressées

• Examiner les listes documentées des parties intéressées au sein du SMSI soumis à un contrôle de version afin de garantir une piste d’audit.
• Mener des entretiens avec le personnel afin de vérifier qu’il est conscient de l’influence des parties intéressées sur le niveau de sécurité de l’information.
• Examiner les contrats et les accords juridiques, et tenir compte des meilleures pratiques du secteur pour établir une cartographie exhaustive des parties intéressées.

2. Formaliser la définition des besoins/exigences

• Mener des enquêtes, des entretiens et des groupes de discussion afin de cerner les besoins explicites des parties intéressées internes et externes.
• Examiner les mécanismes de retour d’information, notamment les réclamations et les suggestions, ainsi que les études de marché et les rapports sectoriels.
• Vérifier les preuves documentées notamment, sur la manière dont ces besoins ont été recueillis et analysés pour s’assurer d’une implémentation technique sans écarts dans le SMSI.

3. Auditer la hiérarchisation des priorités et l’alignement sur les risques

• Examiner le processus d’évaluation des risques afin de déterminer dans quelle mesure il prend en compte l’impact du non-respect des exigences spécifiques des parties intéressées.
• Passer en revue les décisions de la direction et leurs justifications afin de s’assurer que la hiérarchisation des priorités repose sur des critères de sécurité de l’information objectifs.
• Vérifier la cohérence avec les objectifs stratégiques, en s’assurant que les exigences hautement prioritaires bénéficient d’un budget et de ressources suffisants.

4. Vérifier le contrôle des versions et l’accessibilité des documents

• Examiner le processus documenté de gestion des exigences/besoins des parties intéressées afin de s’assurer qu’il est conforme aux dispositions de la clause 7.5 – Informations documentées – de la norme ISO 27001.
• Vérifier le contrôle des versions, la fréquence des révisions et l’accessibilité des documents pour les parties intéressées concernées.
• Vérifier un échantillon de documents afin de s’assurer de leur exactitude, de leur exhaustivité et de leur pertinence par rapport à l’environnement opérationnel actuel.

5. Examen des canaux de communication et des feedbacks des parties intéressées

• Examiner les plans de communication et les archives afin de s’assurer que les parties intéressées sont informées de la manière dont leurs exigences sont satisfaites.
• Interroger les parties intéressées, le cas échéant, afin de valider l’efficacité de la communication de/avec l’organisation.
• Vérifier que les rapports techniques, tels que les rapports SOC2 ou les tableaux de bord de sécurité, sont utilisés pour garantir la transparence.

6. Mettre en correspondance les exigences avec les contrôles techniques et les registres d’actifs

• Assurer la traçabilité des exigences dans la documentation du SMSI, notamment les politiques, les procédures et les contrôles de l’annexe A.
• Vérifier que les contrôles, tels que les rôles IAM et l’authentification multi facteur (MFA), répondent aux exigences spécifiques et sont mis en œuvre de manière efficace.
• Effectuer des simulations des processus clés afin de confirmer que les exigences techniques sont bien intégrées dans le flux de travail opérationnel.

7. Valider le cycle de révision périodique et les mécanismes de déclenchement

• Examiner le processus de révision des exigences des parties intéressées afin de s’assurer qu’il ne s’agit pas d’un exercice statique et ponctuel.
• Vérifier la fréquence des révisions, les preuves des mises à jour et la manière dont les évolutions du paysage des menaces sont gérées.
• Rechercher les éléments déclencheurs d’une révision, tels que les modifications législatives (Nouvelle loi, RGPD/NIS2, etc.) ou les changements de stratégie d’entreprise.

8. Évaluer le processus de résolution des conflits et sa justification

• Examiner le processus de résolution des conflits mis en œuvre lorsque différentes parties intéressées ont des besoins de sécurité contradictoires.
• Interroger la direction sur la manière dont les conflits sont gérés et passer en revue des exemples de résolutions antérieures.
• Rechercher des preuves documentées des résolutions adoptées ainsi que la justification technique ou commerciale qui les sous-tend.
• Vérifier que le conseil d’administration a approuvé les résolutions de conflits de haut niveau.

9. Évaluer l’affectation des ressources et les compétences

• Examiner l’affectation des ressources, notamment en termes de personnel et d’outils, afin de s’assurer que les exigences de la clause 4.2 ISO 27001 sont respectées.
• Passer en revue les dossiers de formation afin de s’assurer que les personnes chargées de la gestion des parties intéressées comprennent leurs obligations techniques.
• Vérifier que le budget du SMSI prévoit explicitement la mise en œuvre des contrôles de sécurité obligatoires relatifs aux parties intéressées.

10. Conservation des éléments probants d’audit et d’input pour la revue de direction

• Vérifier que les résultats de l’analyse des parties prenantes sont utilisés comme données d’entrée pour la revue de direction (clause 9.3 – Revue de direction).
• Vérifier la politique de conservation des documents afin de s’assurer que les éléments probants d’audit sont conservés pendant la durée de certification requise.
• Confirmer que toutes les non-conformités identifiées lors des audits précédents menés par les parties intéressées ont été corrigées et clôturées.

💡Astuce de Pro – Lors d’un audit, un auditeur peut poser la question suivante : « Qui fournit l’électricité ou la connexion Internet à votre centre de données principal ? » Ce fournisseur de services publics est une « partie intéressée cachée/fantôme ». Vous n’avez pas de contrat de sécurité direct avec lui, mais son exigence en matière de « stabilité de l’infrastructure » est essentielle pour votre SMSI. Si vous n’avez pas identifié ces couches cachées, c’est que vous n’avez pas véritablement compris votre contexte. Intégrer ces éléments dans votre registre, permet de passer haut la main, la phase 1 de votre audit.

Clause 6.1 Évaluation des risques : la mention des parties prenantes « fantômes »

Un auditeur recherche ce que nous avons appelé plus tôt, « fil conducteur, fil d’Ariane ».

Il s’agit du lien logique entre les parties intéressées que vous avez identifiées à la clause 4.2 et les risques que vous gérez à la clause 6.1 – Actions à mettre en œuvre face aux risques et opportunités.

Si votre registre comporte une partie intéressée « fantôme », telle qu’un fournisseur de services gérés (MSP) ou un sous-traitant de services cloud, mais que celle-ci n’apparaît pas dans votre évaluation des risques, votre SMSI présente une faille.

Aujourd’hui, la transparence de la chaîne d’approvisionnement constitue un axe prioritaire des audits. Vous ne pouvez pas vous contenter de faire confiance à vos fournisseurs ; vous devez évaluer le risque qu’ils ne respectent pas les exigences que vous avez définies.

Vous trouverez ci-dessous un exemple de tableau de risque très élaboré pour une partie intéressée cachée, qui démontrera à tout auditeur que votre gestion des risques est aboutie et intégrée.

ID Risque	Partie intéressée et exigence	Le Risque (Qu’est-ce qui peut mal tourner)	Impact / Probabilité	Traitement du risque
R-0019	Partie intéressée fantôme : Sous-traitant Cloud | Exigence : Résidence des données (CEMAC uniquement)	Le sous-traitant transfère des données vers une région située à l’étranger sans en informer les autorités, ce qui constitue ou peut constituer une violation des lois en vigueur (CEMAC).	Impact: Elevé | Probabilité: Moyenne	Annexe A 5.22 – Surveillance, révision et gestion des changements des services fournisseurs : Mettre en œuvre le « droit d’audit » prévu par le contrat et les contrôles automatisés de la configuration du verrouillage régional.
R-2029	Partie intéressée fantôme : Fournisseur de services publics | Exigence : Assurance de la continuité d’alimentation pour les serveurs sur site	Une panne prolongée du réseau électrique local a dépassé la capacité de l’onduleur, entraînant une corruption des données et une interruption du service.	Impact: Elevé | Probabilité: Basse	Annexe A 5.30 – Préparation des TIC pour la continuité d’activité : Tester chaque année la bascule vers le site secondaire de reprise après sinistre.

💡Astuce de Pro – Lorsqu’un auditeur sérieux audite la clause 6.1,il ne se contente pas d’examiner le tableau. Il demande au responsable du risque : « D’où vient ce risque ? » S’il peut se référer au registre des parties intéressées et expliquer : « Nous avons constaté que nos sous-traitants secondaires manifestaient un intérêt élevé pour notre flux de données, mais faisaient preuve d’une faible transparence ; c’est pourquoi nous avons signalé ce risque », alors vous avez gagné. C’est ainsi que l’on démontre qu’un SMSI intégré fonctionne correctement.

Si vos risques se limitent à la « perte d’un ordinateur portable » ou à un « e-mail de phishing », c’est que vous ne vous y prenez pas correctement.

Vous devez prendre en compte les risques liés au non-respect des exigences de vos parties intéressées. C’est là toute la différence entre une certification « pour la forme » et un système qui protège réellement votre entreprise.

Clause 4.2. ISO 27001 – Les 3 principales erreurs et comment y remédier

• Vous ne disposez d’aucune preuve/évidence attestant que quoi que ce soit s’est réellement produit : vous devez tenir des registres, rédiger des comptes rendus et conserver des preuves documentées. Le fait de répertorier les parties intéressées concernées et leurs exigences témoigne d’une compréhension approfondie de ces dernières et vous évitera des questions délicates.
• Vous n’avez pas établi de lien avec le SMSI : lorsqu’une partie intéressée et son exigence ont été identifiées, vous n’êtes pas en mesure d’établir un lien entre celles-ci et le système de gestion de la sécurité de l’information, ni d’expliquer comment vous y répondez. Même si vous l’expliquez oralement, assurez-vous de pouvoir le démontrer et de bien comprendre ce lien.
• Votre gestion des documents et des versions est incorrecte : maintenir à jour le contrôle des versions de vos documents, vérifier que les numéros de version correspondent là où ils sont utilisés, disposer d’une preuve de révision au cours des 12 derniers mois et veiller à ce que les documents ne comportent aucun commentaire sont autant de bonnes pratiques.

Documentation et maintien de la conformité à la Clause 4.2 ISO 27001

Cette section permet de poser les bases du SMSI en identifiant les personnes susceptibles d’influencer sa réussite.

Structure recommandée pour le document

Un moyen clair et concis de répertorier les parties intéressées consiste à utiliser un tableau à deux colonnes :

Nom de la partie intéressée	Leurs exigences
Nom 1	[Description détaillée du problème et de son impact potentiel sur le SMSI]
Nom 2	[Description détaillée du problème et de son impact potentiel sur le SMSI]
Nom 3	[Description détaillée du problème et de son impact potentiel sur le SMSI]

Voici un exemple appliqué :

Nom de la partie intéressée	Leurs exigences
Actionnaires	Conformité légale et réglementaire | Retour sur investissement
Staff	Conformité légale et réglementaire | Pas de formalités administratives inutiles
Clients	Conformité légale et réglementaire | Vie privée, Protection des données

Astuces clés en matière de documentation

• Utiliser un langage clair et concis pour décrire chaque partie intéressée et ses exigences.
• Exprimer clairement l’impact potentiel de chaque exigence sur le SMSI et sur l’organisation dans son ensemble.
• Réexaminer et mettre à jour régulièrement la liste des parties intéressées afin de refléter les changements au sein de l’organisation et l’évolution du paysage des menaces.

En recensant ainsi les parties intéressées, les organisations peuvent mieux cerner les défis auxquels elles sont confrontées et prendre des mesures proactives pour atténuer les risques liés à ces parties prenantes.

À quel moment revisiter le registre des parties intéresser et à quel moment communiquer avec elles ?

Les parties intéressées concernées par la norme ISO 27001 doivent être régulièrement informées afin de garantir l’efficacité de votre SMSI.

Voici un aperçu des moments où ces mises à jour sont essentielles :

1. À intervalles réguliers

Il faut procéder à un examen approfondi des parties intéressées au moins une fois par an. Cela vous permet d’évaluer les changements intervenus au sein de l’organisation, tels que :

• Changements politiques : changements de gouvernement.
• Changements de fournisseurs : changements concernant les fournisseurs de produits et de services.
• Changements organisationnels : changements au niveau des actionnaires, du conseil d’administration et des équipes de direction.

2. En fonction d’événements déclencheurs

• À la suite de tout incident de sécurité externe, procéder à un examen approfondi des parties intéressées afin d’identifier les facteurs de risque ou les exigences éventuels et de mettre en œuvre les mesures correctives nécessaires.
• À l’issue des audits externes, réexaminer et mettre à jour la liste des parties intéressées en fonction des conclusions et des recommandations de l’audit.
• Chaque fois que des évaluations des risques sont réalisées ou mises à jour, réexaminer et mettre à jour la liste des parties intéressées afin de refléter les risques nouveaux ou modifiés.

3. Bonnes pratiques

• Conserver une trace de toutes les modifications apportées à la liste des parties intéressées, en précisant la date de la modification, son motif et le nom de la personne en charge de cette modification.
• Veiller à ce que toutes les parties intéressées concernées soient informées de toute modification apportée à la liste des parties intéressées.
• Impliquer les principaux responsables de l’ensemble de l’organisation dans le processus de révision et de mise à jour afin de garantir une évaluation exhaustive et précise des parties intéressées.

Clause 4.2 ISO 27001 – Guide Avancé

Aujourd’hui, le principal « piège » de la clause 4.2 de la norme ISO 27001 réside dans l’absence de preuve attestant que la liste des parties intéressées a bien été réexaminée.

Si le compte-rendu de votre revue de direction se contente d’indiquer : « Les parties intéressées ont été réexaminées » sans fournir de détails, c’est donner une excuse à l’auditeur de creuser davantage et de vous épingler.

Vous devez prouver que les besoins et les attentes des parties intéressées constituent un point permanent à l’ordre du jour.

Pour atteindre la conformité au niveau le plus élevé, votre revue de direction (Clause 9.3) doit démontrer que vous avez proactivement vérifié l’existence de changements. Il ne s’agit pas simplement d’une réunion interne, mais d’une vérification de la réalité externe.

Utiliser le tableau ci-dessous pour savoir ce qu’un auditeur s’attend à trouver dans le compte-rendu de votre réunion.

Déclencheur de revue	Preuves / Evidences (A présenter à l’auditeur)	L’action qui en résulte
Nouvelle législation	Compte rendu de la discussion sur l’impact du projet de loi congolais sur la cybersécurité et la résilience.	Mise à jour du registre des parties intéressées afin d’y inclure le gouvernement en tant que partie intéressée hautement prioritaire.
Avis des clients	Résumé des questionnaires de sécurité reçus des clients au cours des six derniers mois.	Identification d’une nouvelle tendance : 50 % des clients posent désormais des questions sur la gouvernance et la transparence de l’IA.
Changements de fournisseurs	Examen du rapport SOC 2 mis à jour d’un fournisseur de SaaS essentiel.	Vérification renouvelée du respect par le prestataire des exigences définies à la clause 4.2.

Comment gérer les exigences contradictoires des parties intéressées

Que se passe-t-il lorsque vos parties intéressées sont en désaccord ?

Par exemple, votre personnel souhaite « la confidentialité et l’anonymat » (niveau de surveillance faible), tandis que vos clients exigent « des journaux d’audit complets des activités du personnel » (niveau de surveillance élevé).

Il s’agit là d’un conflit classique qui entraîne l’échec des audits, car les responsables n’osent pas faire un choix.

Pour importe à l’auditeur tant que vous documentez la résolution du conflit. Vous devez démontrer que la direction générale a évalué les risques et pris une décision formelle. C’est la preuve ultime d’un SMSI mature.

💡Astuce de Pro – En cas de conflit, il faut rédiger un « compte rendu d’arbitrage ». Il s’agit d’une simple note d’une page indiquant : « La partie intéressé A souhaite X, la partie intéressée B souhaite Y. Nous avons choisi de mettre en œuvre Y car le risque contractuel lié à la perte du client B l’emporte sur le risque culturel interne lié à l’exigence X. » Lorsqu’un auditeur voit cela, il cesse d’auditer cette section. Vous lui avez ainsi démontré que vous maîtrisez vos exigences, et que vous n’en êtes pas simplement victime.

Evidences / Preuves spécifiques – Ce que l’auditeur voit

La conformité de haut niveau consiste avant tout à savoir répondre à la question en face de vous, vous pose. La différence entre une réussite et un échec se résume souvent à la qualité de vos preuves verbales et documentées.

Vous devez me montrer la trace « en temps réel » de la manière dont vous gérez vos parties intéressées.

Aujourd’hui, un auditeur ne se contente pas d’un simple PDF statique.

Il veut s’assurer que votre registre des parties intéressées est un document vivant qui s’adapte au monde réel.

Vous trouverez ci-dessous un exemple de « simulation d’audit » qui illustre précisément comment un responsable de la conformité hautement performant gère un défi technique lié à la clause 4.2.

« Comment vous assurez-vous que vos exigences en matière de personnel sont à jour et qu’elles n’ont pas simplement été copiées à partir d’un modèle datant d’il y a trois ans ? » ~ Question de l’auditeur

« Nous examinons les besoins des parties intéressées dans le cadre de notre groupe de pilotage SMSI trimestriel. Par exemple, si vous consultez le compte-rendu de notre réunion générale de janvier, vous constaterez que les collaborateurs ont fait part de leurs préoccupations concernant la confidentialité lorsqu’ils travaillent dans des lieux publics. Nous avons ensuite mis à jour le registre des parties intéressées (v5.1) afin d’y inclure l’exigence « Confidentialité du télétravail », ce qui a ensuite entraîné une mise à jour de notre politique relative aux appareils mobiles. » ~ Réponse du service de conformité

Les 3 types de preuves que vous devez absolument préparer

Elément de preuve	Ce que cela prouve à l’auditeur	Score/Note de l’Auditeur
Le registre versionné	Que vous disposiez d’une liste officielle des parties intéressées et de leurs besoins spécifiques en matière de sécurité de l’information.	Standard
Procès-verbal de la réunion de revue de direction	Que le Conseil d’administration ait effectivement examiné la liste et approuvé les exigences relevant de la « décision de la direction ».	Professionnel
La trace du déclencheur	Une fiche correspondant à une nouvelle exigence (par exemple, un nouveau contrat client) a été ajoutée au registre en cours d’année.	Top

💡Astuce de Pro – Les auditeurs adorent faire des « tests de traçabilité ». Ils choisiraient une exigence figurant dans votre registre des parties intéressées, par exemple l’exigence d’un client concernant la réalisation de tests d’intrusion annuels, et ils vous demanderaient de montrer où celle-ci est gérée. Si vous ne pouvez pas montrer un risque correspondant dans votre registre des risques ou un contrôle dans votre déclaration d’applicabilité (SoA), votre registre n’est qu’un simple bout de papier. Les preuves ne sont valables que si elles sont reliées au reste du SMSI.

Exigences vs « Souhaits » : la nuance de l’auditeur

L’une des plus grandes erreurs lors d’un audit ISO 27001 est qu’une entreprise ait documenté chaque « souhait » ou « attente » exprimé par ses parties intéressées.

Si vous traitez chaque demande informelle comme une exigence obligatoire du SMSI, vous vous retrouverez avec un SMSI pléthorique, coûteux et impossible à maintenir.

Vous devez apprendre à faire le tri entre les « attentes des parties intéressées » et les « exigences obligatoires ».

Couper tout le superflu.

La norme vous fournit un outil spécifique à cet effet dans la clause 4.2(c). Elle vous impose de déterminer lesquelles des exigences identifiées seront prises en compte par le SMSI.

Il s’agit là d’un choix de la direction générale.

C’est l’occasion pour vous de faire abstraction du bruit ambiant (superflu) et de vous concentrer uniquement sur ce qui est nécessaire d’un point de vue légal, contractuel, commercial ou stratégique.

Comment couper le superflu – la table de décision

Lorsque vous établissez votre registre des parties intéressées, appliquez ce raisonnement pour déterminer si les « attentes » d’une partie intéressée doivent effectivement être intégrées de manière officielle dans le périmètre de votre SMSI.

Aujourd’hui, les auditeurs s’attendront à ce niveau de réflexion critique, et non pas simplement à une liste passive.

Attente de la partie intéressée	Type	Est-ce une exigence du SMSI ?	Le raisonnement envers l’auditeur
“Nous voulons une disponibilité de 100%”	Un souhait	Non	Cela n’est pas prévu dans le contrat en plus d’être techniquement irréalisable. Notre objectif est de 99,9 %, conformément à nos accords de niveau de service (SLA).
“Nous voulons du MFA pour toutes les connexions”	Contractuel	Oui	Il s’agit d’une clause spécifique de notre contrat-cadre de services (MSA) conclu avec le client X.
“Nous voulons une suppression des données tous les 03 ans”	Réglementaire	Oui	Requis par la Loi xXX
“Nous devons adopter les normes de sécurité en matière d’IA.”	Stratégique	Choix de la direction générale	Nous avons choisi d’adopter la norme ISO 42001 car nous nous lançons cette année dans les services liés à l’IA.

💡Astuce de Pro – Ce n’est pas parce qu’un client formule une demande lors d’un entretien commercial que celle-ci constitue une exigence du SMSI. À moins qu’elle ne soit inscrite dans un contrat, un règlement ou une décision officielle du conseil d’administration, il ne s’agit que d’une attente. Si, lors d’un audit, l’auditeur constate que vous avez mentionné une disponibilité à 100 %, il vous demanderait de lui fournir la preuve que cet objectif est effectivement atteint. Si vous ne pouvez pas la lui fournir, il s’agit d’une non-conformité. Ne vous engagez que sur ce que vous comptez réellement faire.

Documenter son choix – exemple

Pour satisfaire aux dispositions de la clause 4.2(c), vous devez prouver que vous avez déterminé quelles exigences vous alliez traiter.

Voici un exemple de texte que vous pouvez avoir dans votre procès-verbal de votre revue de direction :

Le groupe de pilotage du SMSI a examiné les « attentes » répertoriées dans le registre des parties prenantes (v1.1). Il a été officiellement décidé que la demande de « disponibilité à 100 % » formulée par l’équipe commerciale constituait un objectif opérationnel, mais NON une exigence obligatoire du SMSI. En revanche, la « notification des incidents dans un délai de 72 heures » demandée par le client X est acceptée comme une exigence obligatoire et est désormais intégrée à notre procédure de réponse aux incidents.

La matrice pouvoir-intérêt : la logique de hiérarchisation des priorités

La plupart des entreprises échouent à leur audit ISO 27001 au niveau de la clause 4.2, car elles se contentent de dresser la liste de toutes les personnes auxquelles elles pensent, sans aucun cadre technique.

Si vous présentez à un auditeur une liste exhaustive et hétéroclite de parties intéressées, sans aucun ordre de priorité, vous lui faites en substance comprendre que vous ne savez pas qui est réellement à l’origine de vos risques.

Un auditeur principal souhaite voir la matrice de Mendelow mise en pratique.

Vous devez classer vos parties intéressées en fonction de leur capacité à influencer votre SMSI et de leur intérêt pour ses résultats. Il ne s’agit pas seulement d’un exercice de gestion ; cela détermine l’affectation de votre budget de sécurité de l’information et la manière dont vous gérez la communication.

Si vous ignorez une exigence formulée par une partie intéressée influente, vous vous exposez à une non-conformité majeure.

Comment traiter vos parties intéressées : le tableau des priorités

Aujourd’hui, les auditeurs demanderont une analyse technique détaillée de la manière dont vous gérez ces groupes. Utilisez le tableau ci-dessous pour définir votre stratégie.

Si vous êtes en mesure de présenter ces informations lors de votre audit de phase 1, cela démontrera que vous adoptez une approche mûre et fondée sur les risques en matière de gestion des parties intéressées.

Catégorie de la partie intéressée	Niveau de Pouvoir / Intérêt	Stratégie pour le SMSI	Exemple réel
À surveiller de près – rigoureusement	Pouvoir élevé / Grand Intérêt	Une collaboration étroite et une parfaite adéquation avec leurs exigences en matière de sécurité de l’information.	Principaux clients grands comptes : ils vous soumettent à des audits et peuvent résilier vos contrats.
Garder satisfait	Pouvoir élevé / Faible Intérêt	Respecter toutes les obligations légales et réglementaires afin d’éviter les amendes ou les sanctions.	Autorités de régulation : elles ne s’intéressent pas à vos opérations quotidiennes tant qu’aucune faille de sécurité ne se produit.
Garder informé	Pouvoir faible / Grand Intérêt	Fournir régulièrement des informations et des formations afin de s’assurer qu’ils respectent les politiques de sécurité.	Personnel interne : il est concerné par toutes les politiques, mais ne participe pas à l’élaboration du budget.
Surveillance uniquement	Pouvoir faible / Faible Intérêt	Vérifier régulièrement s’il y a eu des changements concernant leur situation ou leurs besoins.	Communauté locale : impact minime sur la sécurité de l’information, mais reste une partie intéressée.

💡Astuce de Pro – Le secret d’une conformité irréprochable réside ici dans le fait de relier directement cette matrice à la clause 6.1 (Mesures visant à gérer les risques). Si une partie intéressée se trouve dans la catégorie « À surveiller de près », toute exigence de sa part à laquelle vous ne répondez pas actuellement doit figurer dans votre registre des risques. Vous ne pouvez pas affirmer qu’un client est très influent et ensuite ignorer sa demande d’authentification multifactorielle (MFA) ou de sauvegardes chiffrées. Cela entraînera systématiquement un échec à l’audit.

L’audit interne : vérifier votre conformité à la clause 4.2 ISO 27001

Aujourd’hui, il ne suffira plus de simplement « réussir » votre audit interne.

Vous devrez prouver que votre processus relevant de la clause 4.2 est solide.

Vous pouvez utiliser ce modèle de test d’audit interne pour identifier les lacunes avant qu’un auditeur externe indépendant ne le fasse.

Si vous pouvez présenter à l’auditeur, un rapport d’audit interne ayant identifié une partie intéressée manquante, puis lui montrer les mesures correctives que vous avez prises, cela correspondra à la définition d’un SMSI irréprochable.

Cas d’audit test	Éléments à vérifier (les preuves)	Critères de réussite (Lead Auitor)
Test n° 1 : la nouvelle trace de contrat	Choisir un contrat signé au cours des six derniers mois.	Les exigences en matière de sécurité prévues par ce contrat spécifique sont-elles reprises dans le registre des parties intéressées ?
Test n° 2 : Le vérification sur « L’Action Climat »	Examiner le registre et les procès-verbaux de la revue de direction.	Existe-t-il une décision officialisée (positive ou négative) concernant les exigences en matière de changement climatique ?
Test n° 3 : L’alignement des priorités	Comparer vos parties intéressées « à fort impact » à votre registre des risques.	Toutes les exigences des parties intéressées de premier plan font-elles l’objet d’une entrée de risque correspondante dans la clause 6.1 ?
Test n° 4 : la liaison de communication	Consulter l’annexe A.5.5 (Contacts avec les autorités) et l’annexe A.5.6 (Contacts avec des groupes d’intérêt spécifiques).	Existe-t-il une liste de contacts à jour et vérifiée pour les autorités de régulation et les groupes figurant dans votre liste des parties intéressées ?

Lien entre la clause 4 ISO 27001 et les risques

Si vous souhaitez impressionner un auditeur, vous devez lui montrer le « fil conducteur ».

La clause 4.2 est le cœur de votre SMSI. Elle ne fonctionne pas de manière isolée ; elle s’appuie sur les résultats de la clause 4.1 (Contexte) et définit les limites obligatoires de la clause 4.3 (Périmètre).

En fin de compte, ces exigences alimentent directement la clause 6.1 (Évaluation des risques).

Aujourd’hui, un auditeur recherche le raisonnement suivant :

• Clause 4.1 : Vous identifiez l’enjeu (par exemple : « Nous passons à 100 % au cloud »).
• Clause 4.2 : Vous identifiez les parties intéressées concernées par cet enjeu (par exemple : « L’autorité de régulation exige que les données soient hébergées au en république du Congo »).
• Clause 4.3 : Vous définissez votre périmètre de manière à inclure cette exigence (par exemple : « Le périmètre inclut les régions ST Digital situées au Congo »).
• Clause 6.1 : Vous évaluez le risque lié au non-respect de cette exigence (par exemple : « Risque : non-conformité aux lois sur la résidence des données »).

💡Astuce de Pro – Les auditeurs apprécient particulièrement lorsqu’une organisation identifie elle-même ses propres erreurs. Si votre audit interne a révélé que vous aviez oublié d’inclure une partie intéressée « fantôme » (comme un nouveau sous-traitant), et que vous avez signalé une non-conformité à votre propre encontre pour y remédier, vous êtes crédible et gagnez la confiance de l’auditeur. Cela démontre que la clause 10.2 (Non-conformité et actions correctives) fonctionne chez vous. Ne cachez pas vos lacunes internes ; il faut documenter la manière dont vous les avez corrigées.

Interaction avec l’annexe A : faire correspondre des parties intéressées avec des contrôles

La plupart des guides de mise en œuvre mettent fortement l’accent sur les exigences de la clause 4.2 de la norme ISO 27001, mais échouent complètement lorsqu’il s’agit de la mise en œuvre technique.

Dans la mise à jour de 2022, la relation entre votre liste de parties intéressées et vos contrôles de l’annexe A est devenue encore plus cruciale.

Vous ne pouvez pas vous contenter d’identifier vos parties intéressées et de vous en tenir à cela ; vous devez démontrer comment vous communiquez avec elles.

Un Lead Auditor recherche une logique très précise : la clause 4.2 identifie qui sont vos parties intéressantes et ce dont elles ont besoin, tandis que les points 5.5 et 5.6 de l’annexe A définissent la manière dont vous communiquez concrètement avec elles.

Si votre registre mentionne une autorité de régulation mais que vos contrôles ne prévoient aucun processus de contact défini, votre SMSI présente une lacune majeure.

La logique : « Qui » contre « Comment »

Aujourd’hui, les auditeurs voudront s’assurer que votre registre des parties intéressées n’est pas une simple liste statique. Il doit être le moteur de votre sécurité opérationnelle.

Vous pouvez utiliser le tableau ci-dessous pour voir comment ces exigences se traduisent en contrôles de sécurité obligatoires.

Clause 4.2 ISO 27001 (“Qui”)	Contrôle de l’Annexe A (“Comment”)	Exigences techniques
Autorités de régulation et instances officielles (par exemple, COBAC, Police)	Annexe A.5.5 – Contacts avec les autorités	Vous devez disposer d’une procédure documentée permettant de signaler les violations de données ou les problèmes juridiques dans un délai de 72 heures.
Groupes d’intérêt spécifiques (par exemple, OWASP, CIS)	Annexe A.5.6 – Contacts avec des groupes d’intérêt spécifiques	La preuve que vous recevez des informations sur les menaces ou des mises à jour sur les meilleures pratiques pour garder une longueur d’avance sur les cybermenaces.
Fournisseurs de services cloud (par exemple, AWS, GCP)	Annexe A.5.23 – Sécurité de l’information dans l’utilisation de services en nuage (Cloud)	Adapter le modèle de responsabilité partagée du fournisseur de services cloud à vos propres exigences internes en matière de sécurité.

💡Astuce de Pro – Un auditeur auditant la section 5.5 de l’annexe A, ne va pas se contenter de voir un nom sur une liste. Il pourrait vous demander ceci : « Si vous subissiez une violation majeure à l’instant même, quelle personne précise de l’ANSSI appelleriez-vous, et où se trouve son numéro de téléphone ? » Si vous devez passer cinq minutes à le chercher, vous avez échoué à ce contrôle. Votre analyse des parties intéressées prévue à la clause 4.2 doit alimenter directement votre plan de réponse aux incidents. Pas de lien, pas de validation.

FAQ Clause 4.2 ISO 27001 : Réponses clés

Verrouille ta conformité et sécurise tes marchés High-Ticket dès aujourd’hui

La Clause 4.2 de l’ISO 27001 est bien plus qu’une exigence normative : c’est ton bouclier juridique face aux régulateurs et ton meilleur argument commercial face à tes prospects les plus exigeants.

En cartographiant avec précision les besoins de tes parties intéressées en zone CEMAC, tu donnes une légitimité incontestable à ta stratégie de sécurité de l’information.

Ne laisse pas une omission réglementaire ou une clause contractuelle oubliée compromettre la certification de ton entreprise ou te fermer la porte des grands appels d’offres à Brazzaville, Douala, Libreville, Port-Gentil ou même au-delà.

En tant que Lead Implementer ISO 27001 spécialisé dans l’accompagnement des dirigeants et des institutions de haut niveau en Afrique Centrale, je t’aide à structurer une gouvernance cyber irréprochable, parfaitement alignée sur les exigences de la COBAC, de la CIMA et de tes donneurs d’ordre industriels.

👉 Ecris-moi (miakassissa@miakassissa.com) pour réserver ton diagnostic stratégique privé. Ensemble, nous évaluerons la maturité de ton organisation face aux menaces cyber et nous tracerons une feuille de route claire pour verrouiller ta conformité et protéger durablement la valeur de ton entreprise.

Suggestions de lectures pour aller plus loin

🛡 Lire ➡️ Le Guide de référence ISO 27001

🛡 Lire ➡️ Clause 4.1 ISO 27001 - Comprendre l'organisation et son contexte