Il existe aujourd'hui des entreprises certifiées ISO 27001 sans avoir jamais passé un seul entretien d'audit. Sans avoir soumis la moindre preuve documentaire. Sans même avoir parlé à un vrai auditeur.
Ce n'est pas une rumeur. Info partagé edans un échange entre experts qui décrit le cas concret d'une société ayant obtenu plusieurs certificats officiels en quelques jours (contre paiement). Pas de contrôle. Pas de processus. Un PDF avec un logo.
Le marché de la conformité de façade existe, et il prospère.
La pression commerciale est réelle : aujourd'hui, présenter une attestation de conformité est un préalable pour décrocher des contrats enterprise, répondre à des appels d'offres publics ou passer les due diligences d'un grand compte. Face à cette urgence, certaines organisations cèdent à la tentation du raccourci. Des organismes non accrédités, parfois de vrais acteurs dotés de plateformes en ligne soignées (!) délivrent des "certifications" contre paiement rapide. Certains poussent le cynisme jusqu'à facturer des pénalités fictives pour "non-conformités", jouant sur l'ignorance de leurs clients.
Mais qu'est-ce qu'un certificat ISO vaut vraiment ?
Une certification légitime repose sur une chaîne de confiance stricte. L'organisme certificateur doit être lui-même audité et reconnu par un organisme national d'accréditation (le COFRAC en France, UKAS au Royaume-Uni, ANAB aux États-Unis) conformément à la norme ISO 17021. En dehors de ce cadre : zéro valeur juridique, zéro valeur technique. C'est autant valable juridiquement que le dessin de votre nièce de 8 ans.
Pire : ce faux certificat crée une illusion de sécurité. Les vraies vulnérabilités restent béantes. Et les vraies conséquences arrivent quand ça compte le plus, lors d'une vérification sérieuse par un acheteur, un investisseur ou après un incident de sécurité.
Les acheteurs ne sont plus dupes.
Les DSI et RSSI des grandes entreprises vérifient désormais systématiquement les registres d'accréditation officiels. Quand un certificat de complaisance s'effondre en due diligence, les conséquences sont immédiates : exclusion de l'appel d'offres, rupture commerciale, réputation entachée. Ce n'est plus un risque théorique, c'est un risque business direct.
La conformité n'est pas un produit qu'on commande en ligne.
Une vraie démarche ISO 27001, c'est un processus d'amélioration continue. C'est un RSSI qui anime une analyse de risques EBIOS RM. C'est un auditeur qui creuse vos processus, vos accès, votre gestion des incidents. C'est inconfortable, et c'est exactement pour ça que ça a de la valeur.
Chez Basilis, on automatise 80% de la collecte de preuves via API pour enlever la douleur opérationnelle. Mais les 20% restants — la supervision humaine, la préparation à l'audit, la validation par un Expert Cyber dédié ne sont pas négociables. C'est cette partie qui fait la différence entre un badge décoratif et une certification qui ouvre des deals.
La prochaine fois qu'un prestataire vous promet une ISO 27001 en 3 semaines sans audit sérieux, posez une question simple : quel est votre numéro d'accréditation COFRAC ?