Accompagnement ISO 27001 : comment se préparer à la certification ?
La certification ISO/IEC 27001 porte sur votre système de management de la sécurité de l'information : il faut l'établir, l'appliquer, le mesurer et l'améliorer avant qu'un auditeur externe ne le certifie. Le certificat de votre fournisseur cloud ne couvre que ses propres services : la configuration de votre locataire Microsoft 365 reste à votre charge et à votre preuve.
Ce que disent les sources
Microsoft décrit la norme comme une spécification formelle qui « rend obligatoires des exigences qui définissent comment implémenter, surveiller, tenir à jour et améliorer en continu » le système de management, avec des exigences de documentation, de contrôle d'accès, d'audit et de mesures correctives.
La même page indique que des auditeurs examinent « les services cloud d'Office 365 au moins une fois par an » au regard de la norme. Le certificat porte donc sur les services de Microsoft ; il ne dit rien de la façon dont vous avez configuré votre propre locataire (c'est notre lecture, et c'est elle que l'auditeur de votre certification appliquera).
Suis-je concerné ? Le test en une minute
- Votre périmètre (activités, sites, systèmes) est-il écrit ?
- Disposez-vous d'une appréciation des risques datée et d'une déclaration d'applicabilité ?
- Pouvez-vous montrer une mesure récente de vos mesures de sécurité, par exemple la configuration de Microsoft 365 ?
Trois « oui » : vous pouvez solliciter un organisme de certification. Un « non » : c'est par lui que commence l'accompagnement, avant tout audit.
La certification est délivrée par un organisme de certification accrédité ; en France, l'accréditation de ces organismes relève du COFRAC. L'audit de certification se déroule en deux étapes : une revue de votre documentation, puis un audit de la mise en œuvre effective de votre système de management. Le certificat couvre un cycle de trois ans, avec des audits de surveillance, en général annuels, puis un audit de renouvellement. SYAGA n'est pas un organisme de certification et n'intervient pas dans sa décision.
Et ensuite
Si votre messagerie et vos documents sont dans Microsoft 365, le score de sécurité gratuit mesure en quelques minutes la configuration de sécurité de votre locataire et vous dit, point par point, ce qui est en place et ce qui ne l'est pas. Rien n'est installé sur vos serveurs.
Gratuit: votre score + vos écarts. Le rapport détaillé et la déclaration étayée : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Faits relus le 14/10/2026 sur les sources officielles citées (Microsoft Learn). Cette page informe ; elle ne constitue pas un conseil juridique.