TL;DR
Depuis le 31 octobre 2025, toutes les certifications ISO 27001:2013 ont expiré ou été retirées. Il n’existe plus qu’une seule version valide de la norme : ISO/IEC 27001:2022.
Cette mise à jour introduit deux contrôles, A.8.8 et A.8.29, que la quasi-totalité des auditeurs de certification interprètent comme rendant le test d’intrusion effectivement incontournable pour tout système exposé sur internet ou faisant l’objet d’un développement applicatif en périmètre.
Le terme « test de pénétration » n’apparaît jamais dans le corps du texte de la norme. Mais une organisation certifiée qui ne peut pas produire un rapport de pentest récent lors d’un audit de surveillance reçoit, dans les faits, une non-conformité.
ISO 27001 est probablement la norme de sécurité la plus citée dans les appels d’offres, les questionnaires fournisseurs et les contrats B2B, en France comme en Europe. Elle est devenue le signal de référence de maturité en sécurité de l’information pour tout acteur qui cherche à vendre à des entreprises ou à des organisations publiques avec un niveau d’exigence sécuritaire.
Et pourtant, son rapport au test d’intrusion reste systématiquement mal compris. Certaines organisations pensent que la certification les dispense de passer par un pentest, d’autres croient au contraire que la norme l’impose formellement dans son texte. Ni l’une ni l’autre de ces lectures n’est exacte. C’est dans l’espace entre les deux que se cache le piège le plus fréquent.
Ce qu’est ISO 27001, exactement
ISO/IEC 27001 est une norme internationale publiée conjointement par l’Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC). Elle définit les exigences pour la mise en place, la mise en œuvre, la maintenance et l’amélioration continue d’un système de management de la sécurité de l’information (SMSI).
Contrairement à SOC 2, qui est une attestation d’audit rendue sous forme d’opinion par un cabinet comptable, ISO 27001 aboutit à une véritable certification formelle, délivrée par un organisme certificateur accrédité, avec une période de validité de trois ans et des audits de surveillance annuels. En France, le COFRAC, Comité français d’accréditation, est l’instance qui accrédite les organismes certificateurs habilités à délivrer la certification ISO 27001, parmi lesquels AFNOR Certification, Bureau Veritas ou SGS.
La norme en vigueur depuis octobre 2022 est ISO/IEC 27001:2022. La période de transition de trois ans s’est achevée le 31 octobre 2025 : à cette date, toutes les certifications ISO 27001:2013 non migrées ont expiré ou ont été retirées. Une organisation qui n’avait pas finalisé sa transition avant cette échéance doit désormais repartir d’un audit initial complet, traitement de nouveau client plutôt que simple mise à jour.
La norme se structure en deux parties. Les clauses 4 à 10 définissent le SMSI lui-même, son périmètre, la politique de sécurité, l’évaluation des risques, les objectifs, la surveillance et l’amélioration continue. L’Annexe A, dite Annexe normative, liste les contrôles de sécurité applicables, que l’organisation sélectionne et justifie dans un document clé : la Déclaration d’applicabilité (SoA, Statement of Applicability).
La version 2022 restructure l’Annexe A autour de quatre thèmes, organisationnel, humain, physique et technologique, et passe de 114 contrôles (version 2013) à 93 contrôles, dont 11 entièrement nouveaux. Parmi ces nouveaux contrôles figurent la sécurité du cloud, la threat intelligence, et les contrôles A.8.8 et A.8.29 qui renforcent les exigences de tests techniques.
Qui est concerné
ISO 27001 n’a pas de seuil réglementaire de déclenchement, aucun texte de loi ne rend la certification obligatoire pour toutes les entreprises d’un secteur. C’est une certification volontaire, mais dont l’absence peut devenir un bloquant commercial ou contractuel.
Les organisations pour lesquelles la question se pose en priorité sont les prestataires et fournisseurs technologiques, éditeurs de logiciels, intégrateurs, hébergeurs, qui vendent à des grandes entreprises, des collectivités publiques ou des opérateurs d’importance vitale, les entreprises soumises à NIS 2 ou DORA pour lesquelles ISO 27001 constitue une démonstration reconnue du niveau de maîtrise exigé, les PME et ETI qui répondent à des marchés publics où la certification est parfois un critère éliminatoire, et les structures qui assurent la gestion de données sensibles pour le compte de tiers.
Les exigences concrètes de la version 2022
Le SMSI lui-même impose des obligations de fond : définir un périmètre clair, conduire une évaluation des risques documentée, fixer des objectifs de sécurité mesurables, surveiller l’efficacité des contrôles (clause 9.1) et piloter l’amélioration continue.
Côté Annexe A, deux contrôles ont le plus d’implications directes sur le test d’intrusion.
Le contrôle A.8.8, gestion des vulnérabilités techniques, impose que l’organisation identifie, évalue et traite les vulnérabilités de ses systèmes. Le document d’implémentation ISO 27002:2022 mentionne explicitement les tests de pénétration comme moyen de vérification. Un simple scanner de vulnérabilités peut suffire pour des systèmes simples, mais dès qu’un système exposé sur internet ou une application développée en interne est dans le périmètre, les auditeurs attendent une évaluation indépendante.
Le contrôle A.8.29, tests de sécurité en développement et acceptation, impose que des tests de sécurité soient réalisés tout au long des phases de développement et d’acceptation des systèmes, avant leur mise en production et lors de modifications substantielles. ISO 27002:2022 recommande explicitement les tests de pénétration comme technique de validation dans ce cadre.
À ces deux contrôles s’ajoute la clause 9.1, qui impose de démontrer que les contrôles fonctionnent réellement, pas seulement qu’ils ont été documentés. C’est cette clause qui transforme un rapport de pentest, avec ses findings et son plan de remédiation, en pièce justificative directe pour l’auditeur.
Le piège le plus sous-estimé : la Déclaration d’applicabilité mal calée sur la réalité testée
C’est le point le moins visible, et le plus fréquemment source de non-conformité lors des audits de surveillance.
La Déclaration d’applicabilité (SoA) est le document qui liste les 93 contrôles de l’Annexe A, indique pour chacun s’il est applicable ou exclu, et justifie les exclusions. L’auditeur va vérifier que les contrôles déclarés applicables ont effectivement été mis en œuvre et produisent les preuves attendues.
Le piège se construit ainsi. Une organisation déclare A.8.8 et A.8.29 applicables dans sa SoA, fait réaliser un pentest pour l’audit de certification initial, puis réduit le scope du pentest l’année suivante sans mettre à jour la SoA. Lors de l’audit de surveillance, l’auditeur compare une SoA qui décrit un périmètre SMSI complet avec un rapport de pentest qui ne couvre qu’une partie de ce périmètre. L’écart entre les deux constitue une non-conformité au sens de la clause 9.1.
La règle à retenir : tout système qui entre dans le périmètre du SMSI doit être couvert par le pentest, sauf exclusion documentée et justifiée de manière explicite dans la SoA. Réduire un scope pour des raisons budgétaires reste légitime, à condition que cette décision se traduise par une exclusion formelle dans la SoA, pas par un silence entre les deux documents.
Comment un pentest PIIRATES s’articule avec une démarche ISO 27001
Un pentest calibré pour ISO 27001 peut se limiter à produire une pièce justificative pour l’auditeur. C’est une utilisation valide, mais partielle.
Sur le plan documentaire, nos rapports incluent une annexe qui mappe chaque catégorie de finding vers les contrôles de l’Annexe A concernés, principalement A.8.8 et A.8.29, mais aussi A.8.7 ou A.8.23 selon la nature des vulnérabilités identifiées. Cette correspondance explicite facilite le travail de l’auditeur : plutôt que de reconstruire lui-même le lien entre un rapport technique générique et la SoA, il dispose d’une table de correspondance directement exploitable.
Nous incluons également le plan de remédiation et, lorsque le planning de la mission le permet, un test de revalidation des correctifs appliqués avant l’audit de certification ou de surveillance. Ce retest est ce qui permet à l’auditeur de conclure que les vulnérabilités identifiées ont bien été traitées, pas seulement documentées.
Sur le fond, le cycle ISO 27001 avec audits de surveillance annuels crée une cadence naturelle pour les tests d’intrusion. Lorsque nous intervenons dans ce cadre, nous structurons la mission pour que son périmètre soit aligné avec la SoA, validé en amont avec le RSSI ou le responsable conformité, plutôt que reconstitué a posteriori lors de la relecture du rapport.
La valeur au-delà de la certification
Un certificat ISO 27001 a une date d’expiration. Ce qu’il génère à l’intérieur d’une organisation, si la démarche est menée sérieusement plutôt que pour cocher une case, n’en a pas.
La plus grande valeur d’une démarche ISO 27001 réussie n’est pas le document imprimé que l’on peut présenter à un client ou glisser dans un dossier d’appel d’offres. C’est la structuration du raisonnement par les risques que l’évaluation annuelle oblige à maintenir. Une organisation qui traverse régulièrement l’exercice de révision de sa SoA, de mise à jour de son registre de risques et de vérification de l’efficacité réelle de ses contrôles développe progressivement une culture de la sécurité qui change la façon dont les décisions techniques sont prises au quotidien, bien au-delà des moments d’audit.
Le pentest annuel s’inscrit dans cette logique. Vu comme une obligation de conformité, il produit un rapport que l’auditeur valide et que tout le monde oublie jusqu’à l’année suivante. Vu comme un moment de vérification collective, il crée une occasion rare pour les équipes techniques de voir concrètement, sur leur propre infrastructure et leur propre code, comment un attaquant raisonne et ce qu’il peut atteindre. Cette expérience, répétée d’une année sur l’autre avec un périmètre qui évolue au rythme de l’organisation, construit une compétence interne qui ne figure dans aucune case de la SoA, mais qui est probablement l’actif de sécurité le plus durable qu’une organisation puisse développer.
Votre prochain audit de surveillance ISO 27001 approche ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
Pas par ce terme dans le corps du texte. Mais les contrôles A.8.8 et A.8.29, lus avec les recommandations d’ISO 27002:2022, rendent le pentest effectivement incontournable pour tout système exposé sur internet ou application développée en interne dans le périmètre. Une organisation qui ne peut pas produire un rapport de pentest récent lors d’un audit de surveillance reçoit, dans les faits, une non-conformité.
ISO 27001 est une norme internationale qui aboutit à une certification formelle délivrée par un organisme accrédité COFRAC, valide trois ans avec audits de surveillance annuels. SOC 2 est une attestation américaine portée par l’AICPA, rendue sous forme d’opinion par un cabinet d’audit CPA, sans certificat formel. ISO 27001 est souvent privilégiée en Europe et dans les secteurs réglementés, SOC 2 domine dans les ventes SaaS B2B vers le marché américain.
La version 2022 restructure l’Annexe A de 114 à 93 contrôles, organisés en quatre thèmes plutôt que quatorze catégories. Elle introduit 11 nouveaux contrôles dont A.8.8 et A.8.29 qui renforcent les exigences de tests techniques. Toutes les certifications ISO 27001:2013 ont expiré au 31 octobre 2025.
Le standard de marché est une fréquence annuelle, alignée sur le cycle des audits de surveillance. Des tests additionnels sont attendus après tout changement significatif de périmètre, d’architecture, d’authentification ou d’hébergement. Pour les systèmes critiques ou les applications en développement actif, une fréquence plus élevée peut être justifiée par l’analyse de risques.
Pour des systèmes simples avec des technologies standard, un scanner peut constituer une preuve suffisante pour A.8.8. Pour des applications web développées en interne, des API, ou tout système exposé traitant des données sensibles, les auditeurs attendent une évaluation indépendante et manuelle. ISO 27002:2022 mentionne explicitement les tests de pénétration en complément des scanners, pas en substitut.
Les organismes certificateurs accrédités par le COFRAC, Comité français d’accréditation. Parmi les plus présents en France : AFNOR Certification, Bureau Veritas Certification, SGS et Lloyd’s Register. Le choix de l’organisme certificateur n’a pas d’incidence sur la valeur de la certification, toutes étant délivrées sous accréditation COFRAC.
ISO 27001 exige-t-elle un pentest ? Contrôles A.8.8 et A.8.29, piège de la Déclaration d’applicabilité, fréquence, et ce que la norme vaut au-delà du certificat.
