Procédure Gestion Documentaire SMSI ISO 27001 : Word [Clause 7.5]

La clause 7.5 de la norme ISO 27001:2022 impose la maîtrise des informations documentées du système de management de la sécurité de l'information. Cette exigence couvre l'ensemble du cycle de vie des documents : création et mise à jour (identification, format, revue et approbation), maîtrise (disponibilité, protection, distribution, accès, utilisation, stockage, préservation, maîtrise des modifications, conservation et élimination). La gestion documentaire SMSI n'est pas une formalité bureaucratique : c'est le fondement de la traçabilité, de la reproductibilité et de l'amélioration continue du SMSI. Un SMSI sans gestion documentaire rigoureuse est comme une organisation qui travaille de mémoire — les décisions ne sont pas tracées, les bonnes pratiques ne sont pas capitalisées, et les preuves manquent lors des audits de certification. La procédure de gestion documentaire définit la taxonomie des documents SMSI (politiques, procédures, modes opératoires, enregistrements), les workflows d'approbation, les règles de nommage et de versionnage, les niveaux d'accès, les durées de conservation, et les règles d'archivage et de destruction.

Contexte normatif : la clause 7.5 ISO 27001 et ses exigences

La clause 7.5 se décompose en trois sous-clauses :

• 7.5.1 — Généralités : le SMSI doit comprendre les informations documentées requises par la norme, ET celles déterminées par l'organisation comme nécessaires pour l'efficacité du SMSI. Cette double source (norme + organisation) signifie qu'il existe des documents obligatoires (registre des risques, déclaration d'applicabilité, politique de sécurité, résultats des audits internes, etc.) et des documents facultatifs dont la nécessité est déterminée par l'organisation.
• 7.5.2 — Création et mise à jour : lors de la création ou de la mise à jour d'informations documentées, l'organisation doit assurer l'identification et la description (titre, date, auteur, référence), le format (langue, version logicielle, graphiques) et le support (papier, électronique), ainsi que la revue et l'approbation (par qui, selon quels critères de pertinence et d'adéquation).
• 7.5.3 — Maîtrise des informations documentées : définit les exigences de disponibilité (au bon endroit, au bon moment), de protection (contre la perte de confidentialité, l'utilisation inappropriée ou la perte d'intégrité), de distribution/accès/récupération/utilisation, de stockage et préservation, de maîtrise des modifications (versionnage), de conservation et de suppression.

Les informations documentées obligatoires selon ISO 27001:2022 incluent : périmètre du SMSI (4.3), politique de sécurité (5.2), objectifs de sécurité (6.2), résultats d'évaluation des risques (6.1.2), plan de traitement des risques (6.1.3), déclaration d'applicabilité (6.1.3d), plan d'audit interne (9.2), résultats des audits internes (9.2), résultats de la revue de direction (9.3), non-conformités et actions correctives (10.1-10.2), compétences (7.2d), et preuves de surveillance et mesure (9.1).

Taxonomie documentaire du SMSI

Niveau 1 — Politiques

Les politiques expriment les intentions de la direction, les orientations stratégiques et les engagements de l'organisation en matière de sécurité. Elles sont approuvées au plus haut niveau (direction générale ou COMEX) et s'appliquent à l'ensemble du périmètre SMSI. Exemples : politique de sécurité de l'information (document maître), politique de classification des données, politique de contrôle d'accès, politique de gestion des incidents, politique de sauvegarde. Les politiques sont généralement courtes (2-5 pages), orientées vers les principes et les objectifs, sans détail d'implémentation technique.

Niveau 2 — Procédures

Les procédures décrivent comment les activités du SMSI doivent être réalisées : qui fait quoi, quand et comment. Elles opérationnalisent les politiques. Exemples : procédure de gestion des incidents de sécurité, procédure d'onboarding/offboarding, procédure d'analyse des risques, procédure de gestion des accès privilégiés, procédure de notification CNIL. Les procédures sont approuvées par le RSSI et les responsables concernés. Leur longueur est variable (5-20 pages) selon la complexité du processus.

Niveau 3 — Modes opératoires

Les modes opératoires (ou instructions de travail) décrivent les actions techniques détaillées pour réaliser une tâche spécifique. Ils sont destinés aux opérationnels. Exemples : procédure de sauvegarde d'un serveur spécifique, configuration d'un pare-feu, installation d'un agent de sécurité, checklist d'audit. Ils sont approuvés par le responsable technique concerné. Contrairement aux procédures, les modes opératoires peuvent être spécifiques à une technologie ou une version logicielle — leur maintenance est donc plus fréquente.

Niveau 4 — Enregistrements

Les enregistrements sont les preuves de la mise en œuvre effective du SMSI. Ils résultent de l'exécution des processus et ne sont pas modifiables après création. Exemples : rapport d'audit interne, procès-verbal de revue de direction, ticket d'incident, résultat d'un test de restauration, fiche d'évaluation de compétences, journal des accès physiques, rapport de scan de vulnérabilités. Les enregistrements constituent les preuves fondamentales lors des audits de certification : sans enregistrements, un processus peut exister sur le papier mais son application effective ne peut pas être démontrée.

Conventions de nommage et versionnage

Système de référence documentaire

Un système de référence cohérent est indispensable pour gérer un corpus documentaire SMSI. La structure recommandée :

Gestion des versions

Le versionnage doit permettre de retrouver n'importe quelle version antérieure d'un document SMSI. Les règles minimales : conserver toutes les versions dans le GED avec date, auteur de la modification, et résumé des changements (changelog), marquer clairement la version en vigueur vs les versions archivées, interdire les modifications directes de documents approuvés (passer par une nouvelle version), et distinguer les brouillons (draft) des versions approuvées.

Workflow d'approbation des documents SMSI

Checklist d'audit — Clause 7.5 ISO 27001

Points de vigilance en gestion documentaire SMSI

La prolifération des documents non maîtrisés

Sans discipline documentaire, le corpus SMSI prolifère : procédures dupliquées, versions contradictoires, documents dont le propriétaire a quitté l'organisation, modes opératoires techniques obsolètes depuis 3 ans. La master list SMSI (liste maîtresse de tous les documents actifs, avec leur statut, propriétaire, et date de dernière révision) est l'outil de contrôle indispensable. Cette liste doit être revue lors de chaque audit interne.

Les enregistrements manquants : la non-conformité la plus fréquente

Lors des audits de certification ISO 27001, les non-conformités les plus fréquentes concernent les enregistrements manquants. L'organisation peut avoir des politiques excellentes et des procédures parfaitement rédigées, mais si elle ne peut pas présenter les enregistrements prouvant que ces procédures ont été exécutées, l'auditeur ne peut pas valider la clause. Les exemples classiques : procédure d'audit interne correcte mais aucun rapport d'audit des 12 derniers mois, procédure de revue des accès existante mais aucune trace des revues effectuées, procédure de formation documentée mais aucune liste de présence conservée.

L'accessibilité en mode dégradé

Lors d'un incident cyber majeur (ransomware chiffrant les systèmes), le GED peut être inaccessible. Les documents critiques pour la réponse à incident (procédure de gestion des incidents, contacts d'urgence, plan de continuité, runbooks de restauration) doivent être disponibles sur un support alternatif : copie imprimée dans un coffre, USB chiffrée hors réseau, ou copie sur un système cloud non connecté à l'infrastructure principale. Cet aspect de la continuité documentaire est souvent négligé.

FAQ — Procédure de gestion documentaire ISO 27001 clause 7.5

Quels sont les documents absolument obligatoires pour ISO 27001 ?

La norme ISO 27001:2022 impose explicitement les informations documentées suivantes : périmètre du SMSI (4.3), politique de sécurité (5.2), objectifs de sécurité (6.2), processus d'évaluation des risques (6.1.2), résultats de l'évaluation des risques (6.1.2), plan de traitement des risques (6.1.3), déclaration d'applicabilité (6.1.3d), compétences (7.2), programme d'audit interne (9.2.2), résultats des audits internes (9.2.2), résultats de la revue de direction (9.3), non-conformités et actions correctives (10.1), résultats des actions correctives (10.1). Ces documents sont systématiquement demandés lors des audits de certification.

Quelle solution GED utiliser pour un SMSI ISO 27001 ?

Le choix du GED dépend de la taille et des contraintes de l'organisation. Pour les PME : SharePoint/Teams (si déjà en place dans l'environnement Microsoft 365), Confluence (pour les équipes tech), ou même une arborescence de dossiers bien organisée sur un serveur de fichiers avec gestion des droits. Pour les organisations plus grandes : solutions GED dédiées (M-Files, Open Bee, Alfresco, Nuxeo) avec workflow d'approbation intégré. L'essentiel est que le système utilisé permette le versionnage, le contrôle d'accès, la traçabilité des modifications, et la récupération des versions historiques.

Comment gérer les documents en anglais et en français dans un SMSI bilingue ?

La norme ISO 27001 ne prescrit pas de langue spécifique. Les organisations opérant dans plusieurs pays ou ayant des partenaires internationaux peuvent maintenir leur SMSI en anglais ou en double langue. L'important est la cohérence : si un document existe en deux langues, les deux versions doivent être synchronisées et la version de référence en cas de contradiction doit être explicitement identifiée. Pour les certifications en France, les auditeurs peuvent exiger des traductions ou des documents en français pour certaines communications réglementaires.

Digitalisation de la gestion documentaire SMSI : outils et intégration

La gestion documentaire manuelle du SMSI — classeurs partagés, emails pour la validation, versionnage par convention de nommage de fichiers — est une source récurrente de non-conformités lors des audits ISO 27001. Les organisations qui gèrent leurs documents SMSI dans SharePoint non configuré ou dans un répertoire réseau partagé sans contrôle des versions accumulent des risques documentaires qui se révèlent lors des audits de certification : versions obsolètes en circulation, preuves d'approbation insuffisantes, traçabilité des modifications inexistante.

Les outils de GRC (Governance, Risk and Compliance) dédiés au SMSI résolvent nativement ces problèmes. Des solutions comme Qualys TotalCloud GRC, IBM OpenPages, LogicGate, ou des solutions plus accessibles comme Tandem ou AuditBoard, intègrent des workflows documentaires conformes ISO 27001 : cycles d'approbation configurables, versionning automatique, notifications d'échéances de révision, traçabilité des modifications et archivage réglementaire. Le retour sur investissement est mesurable : les organisations qui adoptent ces outils réduisent significativement le temps préparation des audits et éliminent les non-conformités documentaires récurrentes.

Pour les organisations qui ne souhaitent pas investir dans un outil GRC dédié, une configuration rigoureuse d'un outil collaboratif existant peut suffire. Microsoft 365 avec SharePoint configuré en Document Management System offre les fonctionnalités essentielles : versionning automatique, workflows d'approbation Power Automate, politiques de rétention, co-authoring avec journalisation, et intégration avec les groupes Active Directory pour les contrôles d'accès. La condition est que la configuration soit explicitée dans la procédure documentaire et que les administrateurs soient formés pour maintenir cette configuration lors des évolutions de la plateforme.

La taxonomie documentaire du SMSI doit être pensée dès le départ pour faciliter la navigation lors des audits. Une structure hiérarchique claire — niveau politique (P), procédure (PR), guide (G), enregistrement (E), formulaire (F) — avec des codes documentaires stables facilite les références croisées entre documents et les exigences de la norme. Chaque exigence ISO 27001 devrait pouvoir être tracée vers un ou plusieurs documents de référence dans le système de gestion documentaire. Cette traçabilité bidirectionnelle — de l'exigence vers le document et du document vers l'exigence — est l'un des critères d'évaluation les plus utilisés par les auditeurs pour évaluer la maturité du SMSI.

La gestion des enregistrements SMSI mérite une attention particulière car elle est distincte de la gestion des documents. Les enregistrements — comptes-rendus de revue de direction, rapports d'audit interne, registres de traitements des non-conformités, preuves de sensibilisation, journaux d'incidents — constituent les preuves d'efficacité opérationnelle du SMSI. Leur durée de conservation doit être définie en fonction des exigences légales (certains enregistrements RH ont une durée légale), des exigences contractuelles clients et des exigences de l'organisme de certification. Une politique d'archivage des enregistrements distincte de la politique documentaire générale est recommandée pour les SMSI de taille significative.

Maîtrise des enregistrements comme preuves d'efficacité opérationnelle du SMSI

La clause 7.5 ISO 27001 distingue deux catégories documentaires aux exigences différentes : les documents (procédures, politiques, guides) qui définissent ce qui doit être fait, et les enregistrements qui prouvent que ce qui devait être fait a effectivement été fait. Cette distinction est fondamentale pour la préparation des audits de certification — un auditeur ISO 27001 expérimenté va systématiquement demander des enregistrements pour vérifier l'application effective des procédures documentées.

Les enregistrements sont les preuves opérationnelles du SMSI. Pour chaque contrôle ISO 27001, au moins un enregistrement devrait démontrer son application. Pour le contrôle A.8.2 sur les droits d'accès privilégiés, les enregistrements typiques sont les tickets de demande d'accès approuvés, les comptes-rendus de revues périodiques des accès, et les journaux de suppression d'accès lors des départs. Pour A.5.23 sur la sécurité des services cloud, les enregistrements incluent les évaluations de sécurité des providers cloud, les contrats avec les clauses de sécurité vérifiées, et les revues périodiques de configuration. La constitution et la maintenance de ces enregistrements sont un effort continu qui doit être intégré dans les processus opérationnels quotidiens, pas une activité de préparation d'audit de dernière minute.

La gestion des enregistrements électroniques pose des défis spécifiques de lisibilité à long terme et d'intégrité. Les enregistrements stockés dans des formats propriétaires (fichiers Excel, formats d'application GRC spécifiques) peuvent devenir illisibles si le logiciel change de version ou est remplacé. Les bonnes pratiques recommandent l'archivage des enregistrements importants dans des formats standards ouverts (PDF/A pour les documents, CSV pour les données structurées) et la vérification périodique de la lisibilité des archives. L'intégrité des enregistrements électroniques — garantir qu'ils n'ont pas été modifiés après leur création — peut nécessiter des mécanismes de signature numérique ou de stockage WORM pour les enregistrements qui ont valeur probatoire (rapports d'audit interne, registres d'incidents, comptes-rendus de revue de direction).

Le droit à l'effacement RGPD crée une tension avec les obligations de conservation des enregistrements SMSI qui contiennent des données personnelles. Un registre d'incidents qui nomme des employés impliqués dans un incident de sécurité, un journal d'accès qui trace les activités d'un utilisateur spécifique, ou un rapport d'audit interne qui mentionne des défaillances individuelles — ces enregistrements contiennent des données personnelles soumises au RGPD. La procédure de gestion documentaire doit définir comment concilier les durées de conservation réglementaires des enregistrements SMSI avec les droits des personnes concernées, en prévoyant si nécessaire des mécanismes de pseudonymisation des noms dans les enregistrements archivés.

Intégration de la gestion documentaire SMSI dans les systèmes d'entreprise existants

La question de l'intégration de la gestion documentaire SMSI dans les systèmes existants de l'organisation est souvent posée lors de la mise en place d'un SMSI : doit-on déployer un outil GRC spécialisé, ou peut-on s'appuyer sur les outils collaboratifs déjà en place (SharePoint, Confluence, Google Workspace) ? La réponse dépend de la taille du SMSI, du niveau de maturité visé et des ressources disponibles.

Pour les PME et les organisations avec un SMSI de périmètre limité, la configuration rigoureuse d'un outil collaboratif existant est généralement suffisante pour la certification ISO 27001. SharePoint avec des bibliothèques de documents configurées avec versionning obligatoire, des colonnes personnalisées pour le statut du document (brouillon, en revue, approuvé, obsolète), des workflows d'approbation Power Automate, et des alertes automatiques pour les révisions planifiées couvre les exigences de base de la clause 7.5. La condition est que ces configurations soient documentées et maintenues — un SharePoint mal configuré peut rapidement dériver vers un répertoire de fichiers non versionnés qui ne satisfait plus les exigences ISO 27001.

Pour les grandes organisations ou celles avec des exigences de conformité multiples (ISO 27001 + SOC 2 + PCI DSS), un outil GRC dédié offre des avantages significatifs : traçabilité des exigences normatives vers les documents de contrôle, workflows d'approbation multi-niveaux, génération automatique de rapports d'audit, et intégration avec les outils de gestion des risques. Le coût d'implémentation et d'exploitation de ces outils est justifié par la réduction du temps de préparation des audits et la fiabilité accrue de la couverture documentaire. Le choix de l'outil doit impliquer les équipes qui vont l'utiliser quotidiennement — une solution techniquement parfaite mais non adoptée par les équipes n'atteint pas ses objectifs.