Certification ISO 27001 au Maroc : guide entreprises et professionnels

L'ISO/IEC 27001 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information (SMSI). Elle ne prescrit pas une liste d'outils à installer : elle impose une méthode pour identifier les risques pesant sur l'information, choisir les mesures adaptées, les appliquer, les mesurer et les améliorer en continu.

Lorsqu'on parle de « certification ISO 27001 », deux réalités différentes se cachent derrière la même expression, et la confusion est fréquente dans les appels d'offres comme dans les offres d'emploi au Maroc :

Une entreprise ne peut pas s'auto-déclarer certifiée. La certification est délivrée par un organisme de certification indépendant, idéalement accrédité par un organisme d'accréditation reconnu (membre de l'IAF, par exemple), ce qui garantit que le certificat sera reconnu par les clients étrangers. Avant de choisir un certificateur, vérifiez son accréditation et son périmètre.

L'audit initial se déroule en deux étapes : une revue documentaire et de préparation (étape 1), puis un audit sur site de la mise en œuvre réelle (étape 2). Le certificat est valable trois ans, avec des audits de surveillance annuels, puis un audit de renouvellement. Le certificat mentionne un périmètre précis : un site, une activité, un service. Une entreprise peut donc commencer par le périmètre le plus exposé, par exemple son centre de services offshore ou son hébergement.

Pour les professionnels, les certifications individuelles les plus répandues sont proposées par des organismes comme PECB. Elles ne certifient pas une entreprise, mais attestent qu'une personne sait mettre en œuvre ou auditer un SMSI.

Les deux profils sont complémentaires, mais ils ne se recrutent pas pour les mêmes missions. Une entreprise qui démarre son projet a d'abord besoin d'un Lead Implementer ; un consultant qui vise les missions d'audit, ou un auditeur interne, s'orientera vers le Lead Auditor.

La version 2022 de la norme a remplacé l'édition 2013. Les clauses 4 à 10, qui décrivent le système de management, ont été légèrement ajustées (notamment sur la planification des changements et le suivi des processus). Le changement le plus visible concerne l'Annexe A, alignée sur l'ISO/IEC 27002:2022 : les 114 mesures réparties en 14 domaines ont été regroupées en 93 mesures organisées en 4 thèmes.

Onze mesures sont nouvelles, dont la veille sur les menaces (threat intelligence), la sécurité des services cloud, la préparation des TIC à la continuité d'activité, la gestion des configurations, la suppression des informations, le masquage des données, la prévention des fuites de données, la surveillance des activités, le filtrage web et le codage sécurisé. Un amendement publié en 2024 a par ailleurs ajouté la prise en compte du changement climatique dans l'analyse du contexte. La période de transition depuis la version 2013 est terminée : les certificats en cours de validité se réfèrent désormais à l'édition 2022.

La durée d'un projet varie selon la taille de l'organisation, la maturité existante et le périmètre retenu. Les étapes, elles, restent les mêmes, et l'ordre compte : sauter l'analyse de contexte ou l'appréciation des risques fragilise tout le reste.

Les écueils les plus fréquents sont connus : un périmètre trop large dès le départ, une analyse de risques copiée d'un modèle générique, une documentation produite pour l'auditeur mais ignorée par les équipes, ou une direction qui se désengage après le lancement. Un SMSI réussi est un système qui vit : les risques sont réévalués lorsque l'activité change, les incidents alimentent les actions correctives et les indicateurs sont réellement suivis en comité. Les étapes clés :

Au Maroc, la décision de se certifier est rarement purement interne. Elle répond le plus souvent à une demande du marché ou de l'environnement réglementaire.

Ce qui revient le plus souvent dans les projets :

Faire certifier son SMSI sans personne capable de le piloter en interne revient souvent à dépendre entièrement d'un consultant externe. Former un ou deux collaborateurs au Lead Implementer permet de garder la maîtrise du projet, de dialoguer d'égal à égal avec l'organisme de certification et de faire vivre le système après l'audit. Pour un RSSI qui pilote le programme plus largement, le CISM ou le CISSP complètent bien cette compétence.

GATech propose au Maroc la formation PECB ISO/IEC 27001 Lead Implementer sur 5 jours (35 heures), basée sur la version 2022, examen PECB inclus, dès 17 900 MAD, en présentiel à Casablanca, à Rabat ou en ligne. Les frais annuels de maintien de la certification PECB ne sont pas inclus.