Annexe A ISO 27001 : les 93 mesures en 4 thèmes, regroupées selon la façon dont vous allez vraiment les mettre en œuvre

L’annexe A de l’ISO/IEC 27001:2022 liste 93 mesures en quatre thèmes : organisationnelles (37), liées aux personnes (8), physiques (14) et technologiques (34). Elles remplacent les 114 mesures en 14 articles de l’édition 2013, et 11 sont nouvelles. Les thèmes sont un système de classement, pas un plan de travail. Triées selon le type de travail qu’elles demandent, les 93 mesures se répartissent en six lots.

Ce guide présente ce qu’est l’annexe A, ce qui a changé depuis 2013, six lots de travaux et leur ordre, la liste complète, ce que l’annexe A laisse ouvert, et une check-list.

Thème	Numéros de l’annexe A	Mesures	Nouvelles en 2022	Ce qu’il couvre
Organisationnel	5.1 à 5.37	37	3	Politiques, rôles, actifs, accès, fournisseurs, incidents, continuité, juridique
Personnes	6.1 à 6.8	8	0	Sélection, emploi, formation, travail à distance, déclaration des événements
Physique	7.1 à 7.14	14	1	Locaux, entrées, matériel, supports, services supports
Technologique	8.1 à 8.34	34	7	Terminaux, authentification, vulnérabilités, sauvegarde, journalisation, réseaux, développement
Total		93	11

Que sont les mesures de l’annexe A de l’ISO 27001 ?

L’annexe A est une liste de référence de mesures de sécurité de l’information, chacune avec un numéro, un titre et un court énoncé. La numérotation, de 5.1 à 8.34, suit les articles 5 à 8 de l’ISO/IEC 27002:2022, qui contient les recommandations de mise en œuvre. Les auditeurs les citent sous la forme A.5.1 à A.8.34.

Ce n’est pas une liste à cocher de bout en bout. L’article 6.1.3 vous demande de choisir les mesures qui traitent vos risques et de les comparer avec l’annexe A pour vérifier qu’aucune n’a été omise. Le résultat est la déclaration d’applicabilité (DdA), avec une justification pour chaque exclusion. L’annexe A n’est pas exhaustive : vous pouvez ajouter des mesures. Les justifications sont traitées dans le périmètre et la déclaration d’applicabilité.

Qu’est-ce qui a changé par rapport à l’annexe A de 2013 ?

L’édition 2013 comptait 114 mesures en 14 articles, de A.5 à A.18. L’édition 2022 les a regroupées en quatre thèmes et a ramené leur nombre à 93, surtout par fusion. Selon la synthèse de BSI, 58 mesures ont été révisées, 24 résultent de la fusion d’anciennes mesures et 11 sont nouvelles.

Les certificats selon l’édition 2013 ont expiré ou ont été retirés à la fin de la période de transition, le 31 octobre 2025. L’amendement 1:2024 a ajouté une formulation sur le changement climatique aux articles 4.1 et 4.2 et n’a pas modifié l’annexe A.

Les 11 nouvelles mesures

Mesure	Titre	Lot de travaux
5.7	Renseignements sur les menaces	Preuves
5.23	Sécurité de l’information dans l’utilisation de services en nuage	Fournisseurs
5.30	Préparation des TIC pour la continuité d’activité	Ingénierie
7.4	Surveillance de la sécurité physique	Consigner
8.9	Gestion des configurations	Ingénierie
8.10	Suppression des informations	Ingénierie
8.11	Masquage des données	Ingénierie
8.12	Prévention de la fuite de données	Ingénierie
8.16	Activités de surveillance	Ingénierie
8.23	Filtrage web	Ingénierie
8.28	Codage sécurisé	Ingénierie

Elles n’ont pas de réponse type héritée à recopier, et c’est pourquoi beaucoup de déclarations d’applicabilité restent vagues à cet endroit. Les éditeurs SaaS ont tendance à sous-estimer la 5.23 : la façon dont ils choisissent, utilisent et quittent des services en nuage représente l’essentiel de leur infrastructure.

Les attributs : une meilleure grille de lecture que les thèmes

C’est l’ISO/IEC 27002:2022, et non l’ISO 27001, qui attribue à chaque mesure cinq attributs : type de mesure (préventive, détective, corrective), propriétés de sécurité de l’information (confidentialité, intégrité, disponibilité), concepts de cybersécurité (identifier, protéger, détecter, répondre, récupérer), capacités opérationnelles et domaines de sécurité. En pratique, peu d’équipes s’en servent. « Toutes les mesures détectives » est une vue bien plus utile que « le thème physique » quand vous voulez savoir si vous remarqueriez un incident.

Dans quel ordre mettre en œuvre les mesures de l’annexe A ?

Les thèmes indiquent à un auditeur où classer un constat, pas qui fait le travail, combien de temps il prend ni ce qui commence en premier. Triées selon la façon dont un projet avance, les 93 mesures se répartissent en six lots de travaux. Les chiffres reposent sur l’affectation par défaut de la liste complète ci-dessous, pour une petite entreprise de logiciels ou de services.

Lot de travaux	Nature du travail	Mesures	Début
1. Consigner	Écrire ce qui se fait déjà, tenir des enregistrements	53	Semaines 2 à 6
2. Décider	Responsabilité, politique, classification, règles d’accès	5	Semaines 1 à 3
3. Preuves	Activités récurrentes jugées sur leur historique	11	Semaine 1
4. Ingénierie	Ingénierie et outillage	18	Mois 2 à 5
5. Fournisseurs	Inventorier, évaluer et revoir les tiers	6	Semaine 1
6. Non applicable	Exclusions avec une raison qui tient	13 candidates	Avec la DdA

Les lots 3 et 5 commencent en premier, même s’ils se terminent en dernier. Tout le secret est là. La vue mois par mois se trouve dans combien de temps prend vraiment l’ISO 27001. Pour une entreprise sans fonction sécurité, voir l’ISO 27001 sans équipe sécurité.

1. Consigner ce que vous faites déjà

C’est le lot le plus important, et la raison pour laquelle 93 fait moins peur qu’il n’y paraît. Vous intégrez déjà des personnes, vous retirez les accès quand elles partent (la plupart du temps), vous faites des sauvegardes et vous limitez qui accède à la production. Une grande partie de l’annexe A vous demande de consigner ce qui se fait déjà : une check-list de départ datée, une liste des accès avec une signature de revue, une tâche de sauvegarde avec un résultat de test joint. En pratique, deux semaines de documentation sans éclat règlent vingt mesures ou plus.

Le piège est une politique qui décrit une entreprise idéalisée. Si votre processus de départ consiste à envoyer un message au CTO, écrivez-le et améliorez-le, plutôt que de décrire un circuit RH que vous n’avez pas.

2. Les décisions que vous seul pouvez prendre

Elles sont peu nombreuses, et tout le reste en dépend. Qui porte la sécurité (5.2), ce à quoi la politique vous engage (5.1), où les tâches sont séparées (5.3), comment vous classifiez l’information (5.12), les règles d’accès (5.15). Les décisions les plus lourdes se trouvent dans les articles de la norme : le périmètre, les critères d’acceptation des risques et qui valide le risque résiduel.

Aucun consultant ni aucun outil ne peut les prendre à votre place. Les projets s’enlisent parce qu’une décision reste ouverte pendant trois mois pendant qu’on rédige des documents autour. Un audit de sécurité avant le programme les cadre en quelques semaines.

3. Les générateurs de preuves : lancez-les dès la première semaine

C’est le lot sur lequel on se trompe le plus, et l’erreur coûte cher. Il comprend notamment les revues des accès (5.18, 8.2), les enregistrements de correctifs (8.8), les tests de restauration (8.13), la journalisation (8.15), les enregistrements de changements (8.32) et la formation (6.3). Deux des plus importants ne sont même pas des mesures de l’annexe A : l’audit interne et la revue de direction, articles 9.2 et 9.3.

Ils sont jugés sur le fait qu’ils tournent depuis des mois. En pratique, les auditeurs attendent un historique, généralement d’au moins trois mois avant l’audit d’étape 2, et il ne peut pas être fabriqué après coup. Donc lancez-les dès la première semaine, avant que les politiques soient terminées. Une revue trimestrielle des accès menée deux fois, mal, vaut mieux qu’une revue menée une seule fois, parfaitement, la semaine avant l’audit.

4. Le travail d’ingénierie

Pour un éditeur de logiciels, l’effort réel se situe ici, et 17 des 18 mesures sont technologiques. Elles couvrent les terminaux (8.1), l’authentification (8.5), la configuration (8.9), la suppression, le masquage et la prévention des fuites de données (8.10 à 8.12), la surveillance (8.16), le cloisonnement des réseaux et le filtrage web (8.22, 8.23), la cryptographie (8.24) et le développement sécurisé (8.25 à 8.29, 8.31, 8.33). La dix-huitième est la préparation des TIC (5.30).

Huit des onze nouvelles mesures se trouvent ici. Prévoyez de vraies semaines d’ingénierie : aucun document ne règle ce lot, et il entre en concurrence avec votre feuille de route produit.

5. La longue traîne des fournisseurs

Cinq mesures sur les fournisseurs et le cloud (5.19 à 5.23), plus le développement externalisé (8.30), paraissent peu de chose. Elles prennent le plus de temps calendaire, parce que chaque étape dépend de quelqu’un d’autre : inventaire, classification, informations de sécurité, évaluation, cycle de revue. Votre liste de fournisseurs est plus longue que vous ne le pensez. Commencez dès la première semaine. Au titre de NIS2, le même travail couvre une grande partie de l’article 21, paragraphe 2, point d), sur la sécurité de la chaîne d’approvisionnement, comme expliqué dans ISO 27001 et NIS2.

6. Celles que vous marquerez non applicables

Si vous êtes entièrement dans le cloud, sans salle serveurs, plusieurs mesures physiques ne s’appliquent pas comme la norme l’imagine, ou votre fournisseur les prend en charge. Si vous n’écrivez pas de logiciel, les mesures de développement disparaissent. Exclure une mesure est légitime. C’est la justification qui s’effondre à la première question complémentaire qui fait déraper les audits.

Quelles sont les 93 mesures de l’ISO 27001 ?

Chaque mesure de l’annexe A, avec son titre tel qu’il figure dans l’ISO/IEC 27002:2022 et un lot de travaux par défaut. Traitez cette liste comme une première version de votre déclaration d’applicabilité, pas comme un verdict : déplacez les lignes selon votre appréciation des risques.

ISO/IEC 27001:2022 ANNEXE A : 93 MESURES PAR LOT DE TRAVAUX
D décider  C consigner  P preuves  I ingénierie  F fournisseurs
+ nouvelle en 2022   * souvent non applicable ou assurée par un prestataire

5 MESURES DE SÉCURITÉ ORGANISATIONNELLES (37)
D   5.1  Politiques de sécurité de l'information
D   5.2  Fonctions et responsabilités liées à la sécurité de l'information
D   5.3  Séparation des tâches
C   5.4  Responsabilités de la direction
C   5.5  Contacts avec les autorités
C   5.6  Contacts avec des groupes d'intérêt spécifiques
P+  5.7  Renseignements sur les menaces
C   5.8  Sécurité de l'information dans la gestion de projet
C   5.9  Inventaire des informations et autres actifs associés
C   5.10 Utilisation correcte des informations et autres actifs associés
C   5.11 Restitution des actifs
D   5.12 Classification des informations
C   5.13 Marquage des informations
C   5.14 Transfert des informations
D   5.15 Contrôle d'accès
C   5.16 Gestion des identités
C   5.17 Informations d'authentification
P   5.18 Droits d'accès
F   5.19 Sécurité de l'information dans les relations avec les fournisseurs
F   5.20 La sécurité de l'information dans les accords conclus avec les
         fournisseurs
F   5.21 Gestion de la sécurité de l'information dans la chaîne
         d'approvisionnement TIC
F   5.22 Surveillance, révision et gestion des changements des services
         fournisseurs
F+  5.23 Sécurité de l'information dans l'utilisation de services en nuage
C   5.24 Planification et préparation de la gestion des incidents de sécurité
         de l'information
C   5.25 Évaluation des événements de sécurité de l'information et prise de
         décision
C   5.26 Réponse aux incidents de sécurité de l'information
P   5.27 Tirer des enseignements des incidents de sécurité de l'information
C   5.28 Collecte des preuves
C   5.29 Sécurité de l'information pendant une perturbation
I+  5.30 Préparation des TIC pour la continuité d'activité
C   5.31 Exigences légales, statutaires, réglementaires et contractuelles
C   5.32 Droits de propriété intellectuelle
C   5.33 Protection des enregistrements
C   5.34 Protection de la vie privée et des DCP
P   5.35 Révision indépendante de la sécurité de l'information
P   5.36 Conformité aux politiques, règles et normes de sécurité de
         l'information
C   5.37 Procédures d'exploitation documentées

6 MESURES DE SÉCURITÉ APPLICABLES AUX PERSONNES (8)
C   6.1  Sélection des candidats
C   6.2  Termes et conditions du contrat de travail
P   6.3  Sensibilisation, enseignement et formation en sécurité de
         l'information
C   6.4  Processus disciplinaire
C   6.5  Responsabilités après la fin ou le changement d'un emploi
C   6.6  Accords de confidentialité ou de non-divulgation
C   6.7  Travail à distance
C   6.8  Déclaration des événements de sécurité de l'information

7 MESURES DE SÉCURITÉ PHYSIQUE (14)
C   7.1  Périmètres de sécurité physique
C   7.2  Les entrées physiques
C   7.3  Sécurisation des bureaux, des salles et des installations
C+* 7.4  Surveillance de la sécurité physique
C   7.5  Protection contre les menaces physiques et environnementales
C*  7.6  Travail dans les zones sécurisées
C   7.7  Bureau vide et écran vide
C   7.8  Emplacement et protection du matériel
C   7.9  Sécurité des actifs hors des locaux
C   7.10 Supports de stockage
C*  7.11 Services supports
C*  7.12 Sécurité du câblage
C   7.13 Maintenance du matériel
C   7.14 Élimination ou recyclage sécurisé(e) du matériel

8 MESURES DE SÉCURITÉ TECHNOLOGIQUES (34)
I   8.1  Terminaux finaux des utilisateurs
P   8.2  Droits d'accès privilégiés
C   8.3  Restrictions d'accès aux informations
C*  8.4  Accès aux codes source
I   8.5  Authentification sécurisée
C   8.6  Dimensionnement
C   8.7  Protection contre les programmes malveillants (malware)
P   8.8  Gestion des vulnérabilités techniques
I+  8.9  Gestion des configurations
I+  8.10 Suppression des informations
I+* 8.11 Masquage des données
I+  8.12 Prévention de la fuite de données
P   8.13 Sauvegarde des informations
C   8.14 Redondance des moyens de traitement de l'information
P   8.15 Journalisation
I+  8.16 Activités de surveillance
C   8.17 Synchronisation des horloges
C   8.18 Utilisation de programmes utilitaires à privilèges
C   8.19 Installation de logiciels sur des systèmes opérationnels
C   8.20 Sécurité des réseaux
C   8.21 Sécurité des services réseau
I   8.22 Cloisonnement des réseaux
I+  8.23 Filtrage web
I   8.24 Utilisation de la cryptographie
I*  8.25 Cycle de vie de développement sécurisé
I*  8.26 Exigences de sécurité des applications
I*  8.27 Principes d'ingénierie et d'architecture des systèmes sécurisés
I+* 8.28 Codage sécurisé
I*  8.29 Tests de sécurité dans le développement et l'acceptation
F   8.30 Développement externalisé
I*  8.31 Séparation des environnements de développement, de test et
         opérationnels
P   8.32 Gestion des changements
I*  8.33 Informations de test
C   8.34 Protection des systèmes d'information pendant les tests d'audit

Que laisse ouvert l’annexe A ?

Presque toutes les mesures sont rédigées comme un résultat à atteindre, pas comme un niveau d’exigence. C’est voulu : la même liste doit convenir à une start-up de trois personnes et à une banque. C’est donc votre déclaration d’applicabilité et votre auditeur qui fixent la barre, pas ce qu’un attaquant devrait franchir. Dans la lettre des mesures :

• Authentification (8.5) demande une authentification sécurisée conforme à vos règles d’accès. Aucune mesure n’impose l’authentification à plusieurs facteurs (MFA) sur chaque compte, et c’est dans l’ancien accès que tout le monde utilise encore que se loge cette différence.
• Journalisation et surveillance (8.15, 8.16) peuvent être satisfaites par une configuration documentée et une routine de revue. Un journal que personne ne lit est un coût de stockage, pas une mesure de sécurité.
• Sauvegarde (8.13) est satisfaite par des sauvegardes qui tournent et qui sont testées. Une tâche qui a signalé un succès n’est pas un système restauré de bout en bout sous la pression du temps.
• Gestion des vulnérabilités (8.8) se mesure à l’aune de votre propre politique de correctifs. Si vous avez écrit « trimestriel », une faille critique laissée en production pendant onze semaines reste dans les limites de votre propre politique.
• Sécurité des fournisseurs (5.19 à 5.22) est satisfaite par des évaluations et des revues périodiques archivées. Rien dans l’annexe A ne vous oblige à vérifier que le fournisseur fait ce que dit le questionnaire.

Cela ne rend pas la norme inutile. Cela en fait un plancher. Faites deux passes : « cela satisfait-il la mesure ? », qui vous mène à la certification, et « cela arrêterait-il quelqu’un ? », qui vous mène à la sécurité. Notez où les réponses divergent. Cette liste est courte, inconfortable, et vaut plus que le certificat.

Combler l’écart suppose des preuves lues directement dans les systèmes : l’état de la MFA dans le fournisseur d’identité, l’ancienneté des correctifs dans les outils de gestion des terminaux, les résultats de restauration dans la plateforme de sauvegarde. Une personne examine ce qui dérive. C’est ainsi que fonctionne la plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle. Le programme complet figure sur la page ISO 27001.

Check-list annexe A ISO 27001

• Construisez la déclaration d’applicabilité sur les 93 mesures de l’édition 2022, pas sur les 114 anciennes.
• Justifiez chaque exclusion de façon qu’elle résiste à une question complémentaire.
• Lancez dès la première semaine les revues des accès, les enregistrements de correctifs, les tests de restauration, la journalisation et l’inventaire des fournisseurs.
• Tranchez les décisions ouvertes : responsable, politique, classification, règles d’accès, périmètre, acceptation des risques.
• Donnez aux nouvelles mesures, en particulier 5.23, 8.9 et 8.28, des réponses précises, pas du texte de modèle.
• Faites la seconde passe : chaque mesure arrêterait-elle quelqu’un ? Là où ce n’est pas le cas, notez-le.

Sources

• ISO/IEC 27001:2022, Systèmes de management de la sécurité de l’information, Exigences, article 6.1.3 et annexe A, ISO.
• ISO/IEC 27001:2022/Amd 1:2024, Changements concernant les actions en lien avec le climat, ISO.
• ISO/IEC 27002:2022, Mesures de sécurité de l’information, articles 4 à 8 (thèmes, attributs, titres des mesures), ISO.
• IAF MD 26:2023, exigences de transition pour l’ISO/IEC 27001:2022, IAF.
• BSI, ISO/IEC 27001:2022 : ce qui a changé (de 114 à 93 mesures ; 24 fusionnées, 58 révisées, 11 nouvelles), BSI.

Questions fréquentes