Guide public de révision

ISO 27001:2022 : guide de révision, questions et examens blancs

Apprenez à relier une situation à l’exigence du SMSI, aux preuves manquantes et à une décision étayée. Ce guide accompagne les étudiants et les personnes se préparant à participer à des audits.

Que réviser et que signifient les nombres ?

La préparation sélectionne 30 thèmes dans les Articles 4–10, et non 30 questions ou un décompte officiel de toutes les exigences. Un bloc distinct ajoute les Articles introductifs 1–3 : domaine d’application, références normatives et termes. Ils ne sont pas présentés comme des exigences facultatives ou exclues.

Différence entre ISO 27001 et ISO 27002

L’ISO 27001 définit les exigences d’un système de management de la sécurité de l’information (SMSI). L’ISO 27002 explique les mesures de sécurité et leur application. Leur sélection se justifie par les risques et exigences applicables, et non en considérant les 93 mesures comme obligatoires. La certification d’un SMSI est évaluée par rapport à l’ISO 27001, pas par les réponses à ces questions.

Comment préparer votre entraînement

Commencez par le contexte, le périmètre et le leadership (4–5). Distinguez le domaine d’application de la norme des limites du SMSI d’un organisme.
Reliez planification, support et fonctionnement (6–8). Par exemple, 6.1.2 définit le processus d’appréciation des risques ; 8.2 exige de réaliser les appréciations et d’en conserver les résultats.
Révisez l’évaluation des performances et l’amélioration (9–10). Faites un entraînement court, expliquez pourquoi les autres références conviennent moins, puis utilisez un examen blanc de 20, 40 ou 60 questions corrigé à la fin.

Exemple de question avec réponse expliquée

Situation et données fictives créées par Nexsora. Consultez le texte complet dans un exemplaire autorisé de la norme.

Un organisme programme quatre audits internes. Dans deux d’entre eux, les personnes qui examinent le travail l’ont également réalisé. Quelle référence faut-il consulter pour assurer l’objectivité et l’impartialité dans l’organisation des audits ?

Réponse argumentée

9.2.2, programme d’audit interne. Fixer des dates ne suffit pas : il faut définir critères et périmètre et choisir les auditeurs pour permettre une évaluation objective et impartiale. Le nombre de deux audits ne démontre pas à lui seul une non-conformité ; vérifiez responsabilités, garanties et faits.

Que vérifier ?

Demandez le programme, les critères, le périmètre, l’affectation des auditeurs et les preuves de protection de l’impartialité. 9.2.1 explique la finalité de l’audit ; 9.3 concerne la revue de direction, qui ne remplace pas l’audit interne.

Confusions à éviter

Ne confondez pas l’approbation d’un plan de traitement des risques (6.1.3) avec la preuve de sa mise en œuvre (8.3). Identifiez l’activité réellement décrite dans le cas.
Les exigences des Articles 4–10 ne peuvent pas être exclues pour déclarer la conformité. Les exclusions justifiées de mesures de l’Annexe A relèvent de la déclaration d’applicabilité : c’est une autre question.

Accéder aux questions et examens blancs ISO

Sélectionnez la norme dans l’espace d’entraînement. Connectez-vous pour enregistrer vos tentatives et essayer l’échantillon gratuit ; les modes complets exigent un accès en cours de validité ou un rôle administrateur.

ISO 27002:2022 : 93 mesures, questions et exemples

Source officielle et périmètre éditorial

Informations officielles sur ISO/IEC 27001 (site externe ; s’ouvre dans un nouvel onglet)

Base de révision : éditions 2022, sans les amendements de 2024. ISO 27001 définit les exigences du SMSI ; ISO 27002 fournit des recommandations sur les mesures de sécurité. Toutes les mesures ne sont pas obligatoires : leur sélection doit être justifiée par les risques et exigences applicables. La terminologie française ne vaut pas couverture de toutes les adaptations nationales. Matériel disponible en espagnol, anglais, portugais du Brésil et français. Le quechua et l’aymara conservent un accompagnement en espagnol. Les traductions et le contenu attendent une révision éditoriale indépendante par des spécialistes ; ce ne sont pas des versions officielles des normes.

Matériel original et indépendant de Nexsora. Ce n’est pas un examen officiel ; il ne confère aucune certification ISO et n’est pas approuvé par l’ISO. Les explications ne remplacent pas un exemplaire autorisé des normes.

Lecture historique de l’édition 2022 : elle renvoie à l’ISO/IEC 27000 comme vue d’ensemble et vocabulaire. L’ISO a remplacé l’édition 2018 par l’ISO/IEC 27000:2026, désormais centrée sur les concepts et relations, et non un vocabulaire complet. Pour une mise en œuvre actuelle, vérifiez les éditions et sources terminologiques en vigueur ; ces exercices n’intègrent ni ce changement ni l’amendement de 2024.