ISO 27001 Annexe A : des contrôles aux mesures concrètes

L'Annexe A d'ISO 27001 (version 2022) liste 93 contrôles répartis en quatre thèmes : organisationnels, liés aux personnes, physiques et technologiques. Sur le papier, c'est une liste d'exigences. En pratique, beaucoup se traduisent par des réglages précis sur vos postes de travail. L'enjeu n'est pas de tout couvrir d'un coup, mais de faire correspondre chaque contrôle technologique à une mesure vérifiable, puis d'en conserver la preuve. C'est cette correspondance concrète que nous détaillons ici, dans un environnement Microsoft 365 avec Intune.

Des contrôles aux réglages d'endpoint

Plusieurs contrôles technologiques de l'Annexe A ont une déclinaison directe sur les appareils. Voici les correspondances les plus courantes que l'on retrouve dans un environnement Microsoft 365 avec Intune.

• Protection contre les logiciels malveillants (A.8.7) : Microsoft Defender avec protection en temps réel et cloud.
• Gestion des vulnérabilités techniques (A.8.8) : mises à jour de l'OS et des applications imposées par politique.
• Chiffrement (A.8.24) : BitLocker sur Windows, FileVault sur macOS, avec séquestre des clés.
• Authentification (A.8.5) : MFA et Accès conditionnel pour tous les accès.
• Journalisation (A.8.15) : collecte des événements de connexion et d'administration.
• Terminaux des utilisateurs (A.8.1) : verrouillage automatique, code robuste, conformité des appareils.

Un exemple de bout en bout : le chiffrement

Prenons le contrôle A.8.24. Il ne suffit pas d'écrire « les disques sont chiffrés » dans une politique. Concrètement, vous configurez une politique Intune imposant BitLocker sur Windows, vous l'assignez aux groupes d'appareils concernés, vous activez le séquestre des clés de récupération, puis vous vérifiez le taux d'appareils réellement chiffrés. La preuve à présenter à l'auditeur, ce n'est pas la phrase de la politique, c'est le rapport de conformité qui montre le pourcentage d'appareils couverts à une date donnée.

Un second exemple : les vulnérabilités techniques

Le contrôle A.8.8 fonctionne de la même manière. Vous définissez une politique de mise à jour Intune qui impose un délai maximal d'application des correctifs de sécurité à l'OS et aux applications clés, vous l'assignez aux bons groupes d'appareils, puis vous suivez le nombre d'appareils respectant ce délai. L'auditeur ne veut pas entendre que les mises à jour sont « gérées » ; il veut voir la part du parc corrigée dans le délai défini, à une date précise. La même boucle configurer-assigner-vérifier s'applique à presque tous les contrôles technologiques, ce qui rend la démarche reproductible.

Ne pas confondre politique et preuve

Un auditeur ISO 27001 ne se contente pas d'une intention. Il attend une politique documentée, une mise en œuvre technique, et une preuve que la mesure est réellement appliquée sur le parc. Un contrôle « couvert » sur un tableur mais absent de la configuration Intune ne passera pas. La cohérence entre le document et la réalité technique est le cœur de l'audit.

1. 1Rédigez une politique courte par domaine (chiffrement, accès, mises à jour).
2. 2Traduisez-la en politiques Intune assignées aux bons groupes.
3. 3Vérifiez le taux de conformité réel des appareils.
4. 4Conservez une preuve datée pour l'audit.

Piloter la couverture

Le plus difficile est de garder une vue d'ensemble : quels contrôles sont couverts, partiellement couverts, ou absents. Sans cartographie, on avance à l'aveugle et on découvre les manques au moment de l'audit, dans l'urgence. Une vue consolidée permet au contraire de prioriser les efforts sur les écarts qui comptent.

Un contrôle n'est réellement couvert que lorsque la politique est appliquée, assignée et vérifiée sur le parc.

Maintenir la couverture dans le temps

Cette logique vaut aussi pour le maintien dans le temps. Un parc évolue : nouveaux appareils, nouveaux utilisateurs, exceptions temporaires. Un contrôle jugé conforme lors de la certification peut se dégrader silencieusement si personne ne surveille le taux de conformité réel. La revue régulière fait partie intégrante de la démarche ISO 27001, au même titre que la mise en place initiale. Un tableau de bord qui recalcule la couverture en continu vaut mieux qu'un audit ponctuel une fois par an.

Les erreurs classiques à éviter

• Cocher un contrôle sur un tableur sans vérifier que la politique Intune correspondante existe et s'applique.
• Confondre « politique créée » et « politique assignée » : une politique sans périmètre ne protège aucun appareil.
• Négliger les contrôles organisationnels et humains, en pensant que la technique suffit à la certification.
• Oublier de dater les preuves, ce qui les rend inexploitables le jour de l'audit.
• Laisser des exceptions temporaires devenir permanentes sans revue.

Prioriser les contrôles à fort impact

Tous les contrôles n'apportent pas le même gain de sécurité pour le même effort. Face à une liste de 93 contrôles, commencer par ceux qui réduisent le plus la surface d'attaque évite de se disperser et rend la progression visible dès les premières semaines.

1. 1Traitez d'abord le chiffrement et l'authentification forte, à fort impact et rapides à déployer.
2. 2Enchaînez sur les mises à jour et la protection anti-malware, qui couvrent les menaces les plus courantes.
3. 3Ajoutez la journalisation, indispensable pour détecter et documenter un incident.
4. 4Terminez par les contrôles organisationnels, qui demandent l'implication de la direction.

Une organisation de cent postes part d'un taux de chiffrement de 70 %. En assignant une politique BitLocker aux groupes non couverts et en activant le séquestre des clés, elle atteint 98 % en deux semaines. Le contrôle A.8.24 passe alors de partiel à couvert, avec un rapport daté à l'appui. Le même schéma, répété contrôle par contrôle, transforme une liste abstraite en une trajectoire mesurable et défendable devant un auditeur.

Comment AuPoint vous aide

AuPoint établit cette correspondance automatiquement : chaque protection déployée est reliée aux contrôles ISO 27001 concernés, et la plateforme calcule un score de couverture par référentiel. Vous obtenez un rapport de conformité daté et exportable, prêt à être présenté à un auditeur, sans tenir un tableur à jour manuellement. Vous voyez d'un coup d'œil ce qui est couvert, partiel ou manquant, et vous priorisez en connaissance de cause.

Questions fréquentes

Couvrir les contrôles techniques suffit-il pour être certifié ?

Non. La certification reste un processus formel qui suppose un système de management de la sécurité de l'information, incluant des contrôles organisationnels et humains. Les mesures d'endpoint sont une brique essentielle mais ne remplacent ni la gouvernance ni l'audit officiel.

Combien de contrôles de l'Annexe A concernent les postes ?

Il n'y a pas de chiffre officiel, mais une part significative des contrôles technologiques a une déclinaison directe sur les appareils : chiffrement, protection anti-malware, mises à jour, authentification, journalisation, configuration des terminaux. C'est souvent là que se concentre l'effort de mise en œuvre technique.

À quelle fréquence faut-il régénérer la preuve ?

Idéalement en continu, et au minimum avant chaque audit ou revue de direction. Un rapport récent, reflétant l'état actuel du parc, inspire bien plus confiance qu'un document de plusieurs mois qui a pu diverger de la réalité.

Faut-il documenter les contrôles jugés non applicables ?

Oui. La démarche ISO 27001 attend une déclaration d'applicabilité qui justifie, pour chaque contrôle, son inclusion ou son exclusion. Un contrôle écarté doit l'être en connaissance de cause, avec une justification traçable, et non par simple oubli.

Un même réglage peut-il couvrir plusieurs contrôles ?

Souvent, oui. Le chiffrement du disque contribue par exemple à la protection des données et à la sécurité des terminaux. Cartographier une fois vos réglages, puis les relier à tous les contrôles concernés, évite de dupliquer le travail de preuve.

Relier les contrôles de l'Annexe A à des mesures Intune vérifiables transforme une liste abstraite en démarche concrète et pilotable. Avec AuPoint, chaque protection est cartographiée sur les contrôles concernés, et la plateforme génère un rapport de conformité daté et exportable en PDF, avec un score de couverture par référentiel. Attention toutefois : ce rapport documente vos mesures techniques et ne se substitue pas à une certification formelle ni à un avis juridique.