SMSI — ISO/IEC 27001 + RGPD sur ma propre infrastructure
Une démarche ISO/IEC 27001 menée sur ma propre infrastructure, non certifiée mais documentée et vérifiable — la certification n'existe que pour une organisation, pas pour un particulier.
Démarche ISO/IEC 27001:2022 menée à son terme sur 5 volets (périmètre, EBIOS RM, Déclaration d'Applicabilité, registre RGPD, politique SSI + audit interne) : Déclaration d'Applicabilité sur les 93 mesures de l'Annexe A (15 en place, 12 partielles, 20 à faire, 46 non applicables), audit interne de 17 contrôles (13 conformes, 2 partiels, 2 écarts structurels assumés) et journal d'incidents réels documentés. Non certifiée — démarche personnelle, entièrement documentée et vérifiable.
On ne dit jamais « mon site est certifié ISO 27001 » — la certification est délivrée par un organisme accrédité, après audit, à une organisation, pour plusieurs milliers d'euros ; un particulier avec une VM ne peut pas l'obtenir. Ce projet est un SMSI construit selon la structure ISO/IEC 27001:2022 (périmètre, analyse de risques, Déclaration d'Applicabilité, audit interne), explicitement non certifié — une démarche personnelle avec documentation complète et vérifiable. Périmètre retenu : la VM de production, l'application, la base de données, les données de visite et les accès d'administration ; explicitement hors périmètre : le poste de travail personnel, les comptes tiers, une VM secondaire inutilisée.
Analyse de risques menée selon la méthode EBIOS RM (5 ateliers : socle, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement), avec risques résiduels assumés par écrit plutôt que masqués. Déclaration d'Applicabilité rédigée sur les 93 mesures de l'Annexe A (édition 2022) : pour chacune, applicable ou non, justification, mise en œuvre et preuve — écarter une mesure avec une justification solide compte autant que l'appliquer. Résultat : 15 mesures en place, 12 partiellement, 20 restant à faire, 46 non applicables (majoritairement des mesures « personnes » et « physiques » transférées de fait au fournisseur cloud).
Volet RGPD construit en miroir : registre des traitements (article 30), base légale documentée avec balance des intérêts écrite, information des personnes (article 13), minimisation, procédure d'exercice des droits (articles 15 à 21), procédure de violation (article 33), analyse des sous-traitants (Oracle, région Paris, aucun transfert hors UE) et une analyse d'impact jugée non requise — avec la justification écrite comme livrable en soi. Une fonctionnalité d'agrégation OSINT automatique envisagée a été abandonnée faute de base légale solide au regard de l'article 14 — un renoncement documenté plutôt qu'un point aveugle. Écarts assumés à ce stade : un snapshot manuel du volume de production existe mais pas de politique de sauvegarde récurrente ni de sauvegarde de la base applicative, continuité d'activité non testée (plus de machine de secours), pas de scan de vulnérabilités en continu.