SMSI — ISO 27001 et RGPD appliqués à ma propre infrastructure
Une méthode structurée pour décider quels risques de sécurité comptent, quoi faire à leur sujet et comment le prouver — appliquée au serveur qui héberge ce site.
Le besoin
Dire « c'est sécurisé » ne prouve rien. Les organisations utilisent la norme ISO 27001 pour décider, documenter et prouver ce qu'elles font face aux risques de sécurité — je voulais la pratiquer sur un cas réel.
L'idée
Traiter mon propre serveur comme celui d'un client : définir le périmètre, analyser les risques, choisir les mesures, auditer — et publier les écarts au lieu de les cacher.
Ce que j'ai construit
- Un périmètre, et l'inventaire de ce qu'il faut protéger.
- Une analyse de risques avec EBIOS RM, la méthode de l'ANSSI.
- La revue des 93 mesures de l'ISO 27001 (édition 2022), une par une — dont 35 écartées, chacune avec sa justification écrite.
- Une politique de sécurité, des procédures d'exploitation et un registre RGPD pour les données de visite de ce site.
- Un audit interne de 17 contrôles, avec les écarts écrits en toutes lettres.
- Des preuves vivantes : certaines exigences sont mesurées automatiquement toutes les heures, pas seulement déclarées.
Le résultat
- 93mesures passées en revue une par une
- 35écartées, chacune avec sa justification
- 17contrôles audités en interne
- 14 · 2 · 1conformes · partiels · écart
Sur les 93 mesures : 12 en place, 30 partielles, 16 à faire et 35 non applicables (chiffres recomptés le 12/09/2026). Les extraits publics sont en ligne ; l'analyse de risques et la Déclaration d'Applicabilité complètes se présentent en entretien.
En images
Ce que j'ai appris
Écarter une mesure avec une justification solide en dit autant que l'appliquer. Et un SMSI qui ne liste que ses réussites n'en est pas un — c'est une plaquette.
Détails techniques Stack, architecture et choix — pour les lecteurs techniques
Stack
- ISO/IEC 27001:2022
- EBIOS RM
- RGPD
- Ubuntu
- nginx
- systemd
- Cloudflare
- Litestream + restic
Comment ça marche
- Périmètre : VM de production, application, base, données de visite et accès d'administration. Hors périmètre, écrit noir sur blanc : poste de travail personnel et comptes tiers.
- EBIOS RM en cinq ateliers ; risques résiduels assumés par écrit. Ateliers 4 et 5 volontairement non publiés.
- Déclaration d'Applicabilité : 12 en place, 30 partielles, 16 à faire, 35 non applicables — majoritairement des mesures « personnes » et « physiques » transférées de fait au fournisseur cloud.
- RGPD : registre des traitements (art. 30), balance des intérêts écrite, mention d'information (art. 13), procédure d'exercice des droits (art. 15 à 21), procédure de violation (art. 33), analyses AIPD et DPO (art. 35 et 37).
- Audit interne : 17 contrôles — 14 conformes, 2 partiels, 1 écart structurel écrit en toutes lettres ; journal des incidents publié.
- Une fonctionnalité d'agrégation OSINT automatique a été abandonnée faute de base légale solide au regard de l'article 14 du RGPD.
- Écarts connus : continuité d'activité non testée depuis la suppression de la machine de secours ; pas de scan de vulnérabilités en continu.
Ce qui manque encore
- Non certifié — impossible pour un particulier
- Continuité non testée
- Pas de scan de vulnérabilités en continu