« On fera l’audit quand on aura le temps. » Puis survient un contrôle CNIL, un client qui exige une certification, ou une fuite de données. L’audit n’est ni une case à cocher, ni une punition : c’est la photographie honnête de votre niveau de sécurité, celle qui transforme une intuition floue (« on est à peu près protégés ») en plan d’action priorisé.
Reste à savoir de quel audit on parle — car « audit RGPD » et « audit ISO 27001 » ne visent pas la même chose — et par quel bout le prendre sans se noyer. Voici la méthode.
1. RGPD, ISO 27001 : deux logiques complémentaires
On les confond souvent. Le RGPD est une obligation légale centrée sur la protection des données personnelles. L’ISO 27001 est une norme volontaire qui structure la sécurité de toute l’information via un système de management (SMSI). L’un protège les personnes, l’autre organise l’entreprise — et les deux se renforcent.
À retenir
Le RGPD répond à « sommes-nous en règle vis-à-vis de la loi ? », l’ISO 27001 à « notre sécurité est-elle pilotée et prouvable ? ». Une bonne démarche ISO 27001 couvre déjà une large part des exigences techniques du RGPD.
2. Les 3 natures d’audit à ne pas confondre
Sous le mot « audit » se cachent trois exercices différents. Les mélanger, c’est comparer des choux et des carottes.
Audit organisationnel
Revue des politiques, processus, rôles et gouvernance. Répond à « les bonnes règles existent-elles et sont-elles appliquées ? ».
Audit technique
Analyse de configuration, revue d’architecture et test d’intrusion (pentest). Répond à « le SI résiste-t-il concrètement ? ».
Audit de conformité
Écart entre l’existant et un référentiel (RGPD, ISO 27001, NIS2…). Produit un plan de mise en conformité priorisé.
3. La méthode en 5 étapes
Quel que soit le référentiel, un audit fiable suit toujours le même fil : on cadre, on collecte, on analyse, on priorise, on suit.
Le livrable clé n’est pas le rapport de constats, mais le plan d’action priorisé par le risque : ce qu’il faut corriger d’abord, avec quel effort et quel impact.
4. Volet RGPD : les 4 fondations
- Registre des traitements : la cartographie de qui traite quelles données, pourquoi et combien de temps. Point de départ non négociable.
- Base légale : chaque traitement doit reposer sur un fondement valide (consentement, contrat, obligation légale, intérêt légitime…).
- Droits des personnes : accès, rectification, effacement, portabilité — des procédures qui répondent dans les délais légaux.
- Sécurité & violations : mesures techniques adaptées et procédure de notification sous 72 h en cas de fuite.
5. Volet ISO 27001 : le SMSI, pas juste des mesures
ISO 27001 ne demande pas d’appliquer aveuglément une liste de mesures, mais de piloter la sécurité par le risque : identifier ses actifs, évaluer les risques, choisir les mesures de l’Annexe A qui les traitent, puis mesurer et améliorer en continu (logique PDCA). La certification atteste que ce système existe et fonctionne.
6. Les idées reçues
« On est conformes, donc on est sécurisés »
La conformité est un plancher documentaire, pas une garantie technique. On peut cocher les cases et rester vulnérable à une attaque réelle.
« L’ISO 27001, c’est pour les grands groupes »
Le périmètre s’adapte à la taille. Une PME peut certifier un service critique et en tirer un vrai avantage commercial.
« Le RGPD, c’est un sujet juridique »
C’est autant technique qu’organisationnel : sécurité des données, gestion des accès, journalisation, chiffrement en font partie.
« Un audit une fois suffit »
La conformité comme la sécurité se maintiennent : le SI, les traitements et les menaces évoluent. C’est un cycle, pas un one-shot.
7. Votre checklist « avant de commencer »
Cadrer
- Objectif clair : conformité légale, certification, ou réduction du risque ?
- Périmètre défini (entités, sites, applications concernés)
- Sponsor et interlocuteurs désignés
Rassembler
- Registre des traitements (RGPD) à jour ou à établir
- Inventaire des actifs et cartographie du SI
- Politiques et procédures existantes réunies
Piloter
- Analyse d’écart formalisée vs le référentiel visé
- Plan d’action priorisé par le risque (effort / impact)
- Revue périodique planifiée (cycle d’amélioration)
8. Questions fréquentes
Faut-il choisir entre RGPD et ISO 27001 ?
Non, ils sont complémentaires. Le RGPD est obligatoire pour toute donnée personnelle ; l’ISO 27001 est un choix stratégique qui structure la sécurité globale et couvre une bonne part des exigences techniques du RGPD.
Combien de temps dure un audit ?
De quelques jours pour un état des lieux ciblé à plusieurs semaines pour un audit de certification complet. Le facteur clé est le périmètre, pas la taille de l’entreprise.
Un audit débouche-t-il forcément sur une certification ?
Non. Un audit d’écart (« gap analysis ») sert d’abord à savoir où l’on en est. La certification ISO 27001 est une étape ultérieure, réalisée par un organisme accrédité.
Par quoi commencer avec un budget limité ?
Par le cadrage et l’analyse d’écart : ils sont peu coûteux et produisent le plan d’action priorisé. On traite ensuite les risques majeurs d’abord, le reste par vagues.
Où en êtes-vous vraiment ? Faisons l’état des lieux.
ZENISEC réalise vos audits RGPD et ISO 27001 — du cadrage à l’analyse d’écart, jusqu’au plan d’action priorisé et son suivi.
Demander un audit →
Découvrir notre expertise Cybersécurité →
Cas concret : Refonte du S.I & mise en conformité d’un groupe mutualiste →
Les commentaires sont fermés