Annexe A ISO 27001 2022 : les 93 contrôles expliqués

L'Annexe A d'ISO 27001:2022 est le cœur opérationnel de la norme. Elle liste les 93 contrôles de sécurité que toute organisation certifiée doit évaluer, sélectionner et mettre en œuvre en cohérence avec son analyse de risques. Contrairement aux clauses 4 à 10 de la norme qui décrivent comment gérer la sécurité de l'information, l'Annexe A précise quoi protéger et par quels moyens.

Pour la triade CID (Confidentialité, Intégrité, Disponibilité), l'Annexe A fournit un cadre complet couvrant les dimensions organisationnelles, humaines, physiques et technologiques. Elle est indissociable de la Déclaration d'Applicabilité (SOA) que tout auditeur de certification examine en priorité lors de l'audit Stage 1.

Ce guide détaille l'intégralité des 93 contrôles, leur structure, leur mise en œuvre pratique et les évolutions majeures par rapport à la version 2013.

Structure de l'Annexe A ISO 27001:2022

La révision de 2022 a profondément remanié l'architecture de l'Annexe A. La version précédente (2013) comptait 114 contrôles répartis en 14 domaines. La version 2022 les consolide en 93 contrôles organisés en 4 grands domaines :

Autre innovation majeure : chaque contrôle est désormais qualifié par 5 attributs qui permettent de le filtrer et de le regrouper selon la perspective de l'organisation :

• Type de contrôle : préventif, détectif, correctif
• Propriétés de sécurité : confidentialité, intégrité, disponibilité
• Concepts de cybersécurité : identifier, protéger, détecter, répondre, récupérer
• Capacités opérationnelles : gouvernance, gestion des actifs, protection de l'information…
• Domaines de sécurité : gouvernance, protection, défense, résilience

Domaine A.5 — Contrôles organisationnels (37 contrôles)

Le domaine A.5 est le plus vaste de l'Annexe A. Il couvre la gouvernance, les politiques, les processus et les relations avec les tiers. C'est ici que se jouent les fondations du SMSI.

Politiques et gouvernance (A.5.1 à A.5.4)

A.5.1 — Politiques de sécurité de l'information : l'organisation doit définir, approuver et communiquer une politique SMSI à tous les niveaux. La politique doit être révisée régulièrement et après tout incident majeur.

A.5.2 — Rôles et responsabilités : attribution claire des rôles SMSI à des personnes nommées. Le CISO (ou RSSI) doit être identifié et disposer d'un mandat formel.

A.5.3 — Séparation des tâches : prévenir les conflits d'intérêts et les fraudes en séparant les fonctions critiques (ex. : celui qui valide un paiement ne doit pas être celui qui l'initie).

A.5.4 — Responsabilités de la direction : l'engagement de la direction générale est exigible et vérifiable (compte-rendus, budgets alloués, nominations).

Intelligence et gestion des risques (A.5.5 à A.5.8)

A.5.5 — Relations avec les autorités : maintenir des contacts avec les CERT, l'ANSSI, les forces de l'ordre selon la nature de l'activité.

A.5.6 — Relations avec les groupes spécialisés : participation à des forums sectoriels (ISAC, clubs RSSI) pour partager l'information sur les menaces.

A.5.7 — Threat intelligence [NOUVEAU 2022] : collecte, analyse et partage d'informations sur les menaces pertinentes pour l'organisation. Inclut la veille sur les CVE, TTPs des groupes APT et indicateurs de compromission.

A.5.8 — Sécurité dans la gestion de projet : intégrer les exigences de sécurité dès la phase de conception de tout projet (principe de security by design).

Gestion des actifs (A.5.9 à A.5.14)

A.5.9 — Inventaire des actifs : tenir à jour un registre de tous les actifs informationnels avec leur propriétaire, leur classification et leur emplacement. Voir notre guide sur la classification de l'information ISO 27001.

A.5.10 à A.5.13 — Classification et étiquetage : définir des niveaux de sensibilité (Public, Interne, Confidentiel, Secret) et les appliquer systématiquement à tous les actifs.

A.5.14 — Transferts d'information : encadrer contractuellement et techniquement tous les transferts (email, FTP sécurisé, API, support physique).

Contrôle d'accès et authentification (A.5.15 à A.5.18)

A.5.15 — Contrôle d'accès : politique de contrôle d'accès basée sur le besoin d'en connaître, les principes du moindre privilège et de la séparation des tâches.

A.5.16 — Gestion des identités : cycle de vie complet des comptes (création, modification, désactivation, suppression). Revue périodique obligatoire.

A.5.17 — Informations d'authentification : politique de mots de passe, stockage sécurisé des secrets, MFA pour les accès critiques.

A.5.18 — Droits d'accès : attribution, révision et révocation des droits d'accès lors des changements de poste ou départ.

Relations fournisseurs et cloud (A.5.19 à A.5.23)

A.5.19 à A.5.21 — Sécurité des relations fournisseurs : clauses contractuelles de sécurité, évaluation des sous-traitants, audit droit d'accès. La chaîne d'approvisionnement est une surface d'attaque majeure.

A.5.23 — Sécurité pour les services cloud [NOUVEAU 2022] : processus d'acquisition, utilisation, gestion et sortie des services cloud (SaaS, IaaS, PaaS). Lire notre modèle de Politique Services Cloud ISO 27001 A.5.23.

Incidents et continuité (A.5.24 à A.5.30)

A.5.24 à A.5.28 — Gestion des incidents : plan de réponse, classification, communication, retours d'expérience et preuves forensiques.

A.5.29 — Sécurité de l'information en continuité d'activité : intégration des exigences SMSI dans le PCA/PRA.

A.5.30 — Préparation ICT pour la continuité [NOUVEAU 2022] : tests réguliers des plans de reprise IT, RTO/RPO documentés et validés.

Conformité et propriété intellectuelle (A.5.31 à A.5.37)

A.5.31 à A.5.33 — Exigences légales : conformité RGPD, réglementation sectorielle (DORA, NIS 2), propriété intellectuelle, protection des données personnelles.

A.5.36 — Conformité aux politiques : vérification périodique que les pratiques respectent les politiques internes SMSI.

A.5.37 — Procédures d'exploitation documentées : toutes les procédures critiques (sauvegardes, gestion des incidents, déploiements) doivent être formalisées et accessibles.

Domaine A.6 — Contrôles liés aux personnes (8 contrôles)

L'humain est le premier facteur de risque et le premier rempart de sécurité. Le domaine A.6 couvre tout le cycle de vie des collaborateurs dans le SMSI.

A.6.1 — Vérification des antécédents : contrôle pré-embauche proportionnel au niveau d'accès et aux exigences légales (RGPD, droit du travail). Pour les postes sensibles (admin sys, développeur, CISO), un vetting approfondi est recommandé.

A.6.2 — Termes et conditions d'emploi : intégrer les obligations de sécurité dans le contrat de travail, les accords de confidentialité (NDA) et les chartes informatiques. Ces engagements doivent être signés avant tout accès aux systèmes.

A.6.3 — Sensibilisation, formation et éducation : programme annuel de sensibilisation à la sécurité (phishing simulé, e-learning, ateliers). La formation doit être adaptée au rôle (un comptable n'a pas les mêmes besoins qu'un administrateur réseau).

A.6.4 — Processus disciplinaire : procédure formelle pour traiter les violations de la politique de sécurité, proportionnée et conforme au droit du travail.

A.6.5 — Responsabilités en cas de cessation ou changement de poste : révocation immédiate des accès, restitution du matériel, rappel des engagements de confidentialité post-emploi.

A.6.6 — Accords de confidentialité : NDA formels avec les tiers, prestataires, stagiaires. Durée, périmètre et pénalités doivent être précisés.

A.6.7 — Travail à distance [NOUVEAU 2022] : politique de télétravail couvrant les connexions VPN, le chiffrement des terminaux, la politique de bureau propre à domicile et les règles d'utilisation des réseaux Wi-Fi publics.

A.6.8 — Signalement des événements de sécurité : canal clair et accessible pour que tout collaborateur signale un incident ou une suspicion (boîte dédiée, hotline RSSI, intranet).

Domaine A.7 — Contrôles physiques (14 contrôles)

La sécurité physique est souvent négligée au profit de la cybersécurité. Pourtant, un accès physique non contrôlé rend inefficaces tous les contrôles logiques.

A.7.1 — Périmètres de sécurité physique : définir des zones de sécurité avec des niveaux d'accès différenciés (open space, salle serveur, local technique, data center). Les frontières doivent être visibles et contrôlables.

A.7.2 — Entrées physiques : contrôle d'accès par badge, biométrie ou code PIN. Journal des entrées/sorties pour les zones sensibles. Visiteurs escortés.

A.7.3 — Sécurisation des bureaux, salles et équipements : verrous, alarmes, cloisons opaques pour les zones sensibles. Politique de clean desk obligatoire.

A.7.4 — Surveillance physique [NOUVEAU 2022] : CCTV dans les zones critiques, alertes en cas d'accès non autorisé, intégration avec le SIEM pour corréler les événements physiques et logiques.

A.7.5 — Protection contre les menaces physiques et environnementales : incendie, inondation, coupure de courant, surtension. Plans de continuité adaptés.

A.7.6 — Travail dans les zones sécurisées : règles strictes pour les prestataires intervenant en zone sensible (supervision, interdiction des appareils photo, journalisation).

A.7.7 — Bureau propre et écran propre : aucun document sensible visible en fin de journée, verrouillage automatique des sessions, destructeurs de documents.

A.7.8 à A.7.9 — Équipements : installation des serveurs et équipements réseau dans des zones protégées, câblage sécurisé, prévention des écoutes passives.

A.7.10 — Support de stockage : procédures de gestion, transport et destruction sécurisée des supports (disques durs, clés USB, bandes de sauvegarde). Certificats de destruction exigés.

A.7.11 à A.7.14 — Utilitaires et maintenance : alimentation redondante, maintenance préventive documentée, effacement sécurisé avant cession ou élimination des équipements.

Domaine A.8 — Contrôles technologiques (34 contrôles)

Le domaine A.8 est le plus technique. Il couvre l'ensemble de la pile technologique : endpoints, réseaux, développement, identités et opérations.

A.8.1 — Terminaux des utilisateurs : politique BYOD vs COPE, chiffrement des disques (BitLocker, FileVault), MDM, verrouillage à distance.

A.8.2 — Droits d'accès privilégiés : comptes administrateurs dédiés, PAM (Privileged Access Management), sessions enregistrées pour les accès sensibles.

A.8.3 — Restriction d'accès à l'information : contrôle granulaire basé sur les rôles (RBAC), principe du moindre privilège, révision trimestrielle des droits.

A.8.4 — Accès au code source : contrôle d'accès aux dépôts Git, revue de code obligatoire, protection des branches principales.

A.8.5 — Authentification sécurisée : MFA obligatoire pour les accès à distance et les systèmes critiques, SSO sécurisé, bannissement des comptes génériques partagés.

A.8.6 — Gestion de la capacité : surveillance des ressources (CPU, mémoire, stockage, bande passante), alertes de dépassement, plans d'extension.

A.8.7 — Protection contre les malwares : EDR/XDR, mises à jour automatiques, politique de liste blanche pour les applications critiques.

A.8.8 — Gestion des vulnérabilités techniques : processus de scan, évaluation CVSS, priorisation EPSS, délais de remédiation selon la criticité.

A.8.9 — Gestion de la configuration [NOUVEAU 2022] : baselines de configuration sécurisée (CIS Benchmarks), drift detection, gestion des exceptions documentées.

A.8.10 — Suppression de l'information [NOUVEAU 2022] : procédures de purge et d'archivage conformes aux durées de conservation légales et aux exigences RGPD.

A.8.11 — Masquage des données [NOUVEAU 2022] : pseudonymisation et tokenisation des données personnelles sensibles, notamment dans les environnements de test et de développement.

A.8.12 — Prévention des fuites de données (DLP) [NOUVEAU 2022] : solutions DLP sur les endpoints, les emails et les accès cloud. Règles de détection adaptées à la classification des actifs.

A.8.13 — Sauvegarde : stratégie 3-2-1 (3 copies, 2 supports, 1 hors site), chiffrement des sauvegardes, tests de restauration réguliers.

A.8.14 — Redondance : haute disponibilité pour les systèmes critiques, failover automatique, RTO/RPO définis et testés.

A.8.15 — Journalisation : logs centralisés (SIEM), intégrité des logs garantie, durée de rétention adaptée (minimum 1 an pour NIS 2).

A.8.16 — Surveillance des activités [NOUVEAU 2022] : monitoring temps réel, détection des comportements anormaux (UEBA), alertes sur les accès hors horaires ou hors zone géographique.

A.8.17 — Synchronisation des horloges : NTP sécurisé, source de temps fiable pour tous les systèmes. Essentiel pour la corrélation des logs et la valeur probante forensique.

A.8.18 à A.8.20 — Réseaux : segmentation (VLAN, DMZ, micro-segmentation), filtrage, chiffrement des communications (TLS 1.2+), pare-feu de nouvelle génération.

A.8.23 — Filtrage web [NOUVEAU 2022] : proxy filtrant, liste de blocage des domaines malveillants (C2, phishing), contrôle des catégories de sites.

A.8.24 — Utilisation de la cryptographie : politique de chiffrement, gestion du cycle de vie des clés (HSM recommandé), algorithmes approuvés (AES-256, RSA-4096, ECDSA).

A.8.25 à A.8.29 — Développement sécurisé : SDL (Secure Development Lifecycle), tests SAST/DAST, revue de code, gestion des dépendances (SCA), pentest avant mise en production.

A.8.28 — Codage sécurisé [NOUVEAU 2022] : standards de codage (OWASP, NIST), formation des développeurs, intégration des contrôles de sécurité dans la pipeline CI/CD.

A.8.30 à A.8.34 — Externalisation et tests : exigences de sécurité pour les prestataires IT, tests d'intrusion annuels, red team pour les organisations matures.

Déclaration d'applicabilité (SOA) — comment choisir ses contrôles

La Déclaration d'Applicabilité est le document pivot qui fait le lien entre l'analyse de risques et les contrôles de l'Annexe A. Pour chaque contrôle, l'organisation doit indiquer :

1. Applicable ou non (avec justification si exclusion)
2. État de mise en œuvre (planifié, en cours, implémenté)
3. Référence aux documents qui décrivent la mise en œuvre
4. Raison de l'inclusion (obligation légale, risque identifié, bonne pratique)

Un contrôle peut être exclu du SOA uniquement si aucun risque ne justifie son application et qu'aucune exigence légale ou contractuelle ne l'impose. L'auditeur de certification vérifiera systématiquement la cohérence entre l'analyse de risques, le plan de traitement des risques et le SOA.

Pour votre parcours vers la certification, consultez notre guide Certification ISO 27001 PME : Coût, Délais et Étapes 2026 et notre Roadmap ISO 27001 PME en 9 mois.

Tableau récapitulatif de l'Annexe A ISO 27001:2022

Pour accéder à l'intégralité du tableau des 93 contrôles, consultez le site officiel de l'ISO ou les guides publiés par le BSI Group.

Notre cabinet accompagne les PME et ETI dans la mise en œuvre complète de l'Annexe A. Préparez votre audit interne ISO 27001 ou demandez un accompagnement personnalisé.

FAQ — Annexe A ISO 27001:2022

Quelle est la différence entre l'Annexe A ISO 27001:2013 et 2022 ?

La version 2022 réduit le nombre de contrôles de 114 à 93, les regroupe en 4 domaines (au lieu de 14) et introduit 11 nouveaux contrôles axés sur le cloud, la threat intelligence et la sécurité des communications. Certains contrôles ont été fusionnés, d'autres renommés.

Tous les contrôles de l'Annexe A sont-ils obligatoires ?

Non. L'organisation choisit les contrôles applicables en fonction de son analyse de risques et documente ses choix dans la Déclaration d'Applicabilité (SOA). Tout contrôle exclu doit être justifié par une raison valable (hors périmètre, risque inexistant, mesure alternative équivalente).

Qu'est-ce que la Déclaration d'Applicabilité (SOA) en ISO 27001 ?

Le SOA est un document obligatoire qui liste l'ensemble des 93 contrôles de l'Annexe A, indique pour chacun s'il est applicable ou non, justifie les exclusions et décrit comment les contrôles sélectionnés sont mis en œuvre. Il est examiné lors de l'audit de certification Stage 1.

Comment les 93 contrôles sont-ils structurés dans l'Annexe A 2022 ?

Ils sont répartis en 4 domaines : A.5 Contrôles organisationnels (37 contrôles), A.6 Contrôles liés aux personnes (8 contrôles), A.7 Contrôles physiques (14 contrôles) et A.8 Contrôles technologiques (34 contrôles). Chaque contrôle est décrit avec un titre, un objectif et des lignes directrices de mise en œuvre.

Quels sont les 11 nouveaux contrôles introduits en ISO 27001:2022 ?

Les 11 nouveaux contrôles incluent : threat intelligence (A.5.7), sécurité de l'information pour les services cloud (A.5.23), préparation aux incidents ICT (A.5.30), surveillance physique (A.7.4), gestion de la configuration (A.8.9), suppression de l'information (A.8.10), masquage des données (A.8.11), prévention des fuites de données DLP (A.8.12), surveillance des activités (A.8.16), filtrage web (A.8.23) et codage sécurisé (A.8.28).