Certificat ISO 27017 : sécurité du cloud pour les PME

Un certificat ISO 27017 atteste que votre organisation applique les mesures de sécurité de l'information propres aux services cloud, que vous les fournissiez ou que vous les utilisiez. Pour une PME, il s'obtient aujourd'hui par une auto-évaluation en ligne, sans audit sur site, ou par la voie classique avec un organisme de certification.

La norme porte le titre complet ISO 27017:2015, Sécurité du cloud. Elle s'adresse aux entreprises dont l'activité dépend du cloud, et les demandes viennent le plus souvent d'un client ou d'un service achats.

Que couvre ISO 27017:2015 ?

ISO 27017 est un code de bonnes pratiques. Elle reprend les mesures de sécurité de la norme ISO 27002 et y ajoute des recommandations pour l'environnement cloud. Elle ne remplace pas ISO 27001, qui décrit le système de management de la sécurité de l'information. Elle le complète sur un point précis : ce qui change lorsque les données et les applications tournent chez un prestataire plutôt que dans votre propre local technique.

Le point de départ est simple. Dans le cloud, la responsabilité de la sécurité se partage entre le fournisseur et le client. Si personne ne sait qui fait quoi, des failles apparaissent aux jonctions : une sauvegarde que chacun croit faite par l'autre, un accès administrateur jamais révoqué, des journaux que personne ne lit.

Fournisseur ou client : la norme distingue les deux rôles

La norme formule des recommandations pour deux types d'acteurs.

Le fournisseur de services cloud exploite l'infrastructure ou la plateforme. Il doit décrire clairement ce qu'il protège, séparer les environnements de ses clients et restituer ou effacer les données à la fin du contrat.

Le client de services cloud choisit un prestataire, configure ses services et gère ses utilisateurs. Il doit vérifier ce que le fournisseur garantit et assumer la part de sécurité qui lui revient.

Une agence web qui héberge les sites de ses clients, une start-up SaaS ou un éditeur de logiciel métier sont des fournisseurs. Un cabinet fiduciaire qui travaille dans un ERP en ligne est un client. Beaucoup d'entreprises sont les deux à la fois : elles utilisent une infrastructure cloud pour proposer leur propre service.

Les mesures propres au cloud

ISO 27017 ajoute sept mesures spécifiques à celles de la norme ISO 27002. Elles se résument ainsi :

• Rôles et responsabilités partagés : le contrat ou la documentation du service indique qui assure quelle mesure de sécurité.
• Restitution des actifs du client : à la fin du contrat, les données sont rendues ou supprimées selon une procédure connue.
• Séparation dans les environnements virtuels : les données d'un client ne sont pas accessibles aux autres clients.
• Durcissement des machines virtuelles : les services inutiles sont désactivés, les configurations sont contrôlées.
• Sécurité des opérations d'administration : les actions des administrateurs sont encadrées et tracées.
• Surveillance des services cloud : le client peut suivre ce qui se passe sur son périmètre, et le fournisseur surveille le sien.
• Alignement des réseaux virtuels et physiques : les règles de sécurité réseau restent cohérentes entre les deux couches.

À cela s'ajoutent des recommandations renforcées sur des sujets déjà présents dans ISO 27002 : gestion des accès, chiffrement, gestion des incidents, relations avec les fournisseurs, conformité aux exigences légales et contractuelles.

Quand un client demande un certificat de sécurité du cloud

La demande arrive rarement sous la forme d'une exigence réglementaire. Elle prend le plus souvent l'une de ces formes :

• une question dans un questionnaire fournisseur : « Votre service cloud est-il conforme à ISO 27017 ? »
• une exigence dans un appel d'offres, qui demande un certificat ou une preuve équivalente
• un audit client qui vérifie comment vous séparez les données de ses utilisateurs de celles des autres
• un service achats qui veut un document à joindre à son dossier de qualification des prestataires

Dans ces situations, une déclaration orale ne suffit pas. Le service achats cherche un document daté, avec un émetteur identifiable et un moyen de vérification. Un certificat avec un QR code renvoyant vers une page de vérification publique répond à ce besoin : la personne qui reçoit le PDF peut contrôler son authenticité en quelques secondes.

Checklist avant de demander le certificat

Ces points correspondent aux questions que pose l'auto-évaluation. Si vous pouvez répondre à la plupart, vous êtes prêt.

• Vous avez dressé la liste de vos services cloud, utilisés et proposés, avec le nom du prestataire pour chacun.
• Vous savez, pour chaque service, qui est responsable de quoi : sauvegarde, mises à jour, gestion des accès, journalisation.
• Les comptes administrateurs sont nominatifs, protégés par une authentification à deux facteurs et revus à intervalles fixes.
• Les données de vos clients sont séparées logiquement, et vous pouvez expliquer comment.
• Une procédure décrit ce qui arrive aux données d'un client à la fin du contrat.
• Les données sensibles sont chiffrées en transit et au repos, et vous savez qui détient les clés.
• Vous conservez des journaux d'activité et quelqu'un les consulte.
• Vous avez un processus pour signaler et traiter un incident de sécurité, y compris envers vos clients.
• Vos contrats avec les prestataires cloud précisent le lieu de traitement des données et les obligations de sécurité.
• Une personne au sein de l'entreprise porte la responsabilité de ces sujets.

Les points manquants se corrigent généralement par une décision et une page de documentation, pas par un projet de plusieurs mois.

Certificat en ligne ou audit sur site ?

Il existe deux voies. La voie classique passe par un organisme de certification qui envoie un auditeur chez vous. Elle convient aux entreprises qui doivent présenter un audit sur site, par exemple parce qu'un contrat ou un donneur d'ordre l'impose explicitement. Elle demande du temps de préparation, plusieurs jours de présence et un budget en conséquence. Dans la pratique, ISO 27017 y est le plus souvent évaluée comme extension d'un audit ISO 27001.

La seconde voie repose sur une auto-évaluation en ligne. Vous répondez à des questions sur vos pratiques, vous fournissez les éléments demandés, et un membre du SICE Certification Board examine le dossier avant l'émission. Il n'y a pas d'auditeur dans vos locaux. Notre guide sur la certification ISO sans audit détaille ce que cela implique et dans quels cas cette voie suffit.

Pour une petite structure, le choix dépend de ce que le client attend. Si son questionnaire demande un certificat vérifiable, le certificat en ligne répond à la demande. Si son cahier des charges impose un audit sur site, il faut le savoir avant de commencer. Le guide sur la certification ISO pour les PME aide à poser cette question au bon moment.

Comment Zertify s'inscrit dans cette démarche

Zertify délivre un certificat ISO 27017:2015 Sécurité du cloud sur la base d'une auto-évaluation en ligne. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). Un membre du SICE Certification Board examine chaque évaluation avant l'émission.

Le processus se déroule en quatre temps :

1. Vous démarrez l'évaluation et répondez aux questions sur vos services cloud et vos pratiques de sécurité.
2. Le dossier est examiné.
3. Une fois l'évaluation réussie et le paiement effectué, le certificat est émis dans les 4 heures.
4. Vous recevez un PDF avec un QR code qui renvoie à une page de vérification publique.

Le certificat est valable trois ans. Il est confirmé chaque année par un court réaudit en ligne, dans le cadre d'un abonnement annuel. Les conditions sont détaillées sur la page tarifs.

Ce que le certificat ne remplace pas

Un certificat ne protège pas vos données. Il documente que vos pratiques correspondent à un référentiel reconnu à une date donnée. La sécurité réelle dépend de ce que vous faites tous les jours : appliquer les correctifs, retirer les accès d'un collaborateur qui part, tester la restauration d'une sauvegarde.

Il ne remplace pas non plus un contrat de traitement des données lorsque vous traitez des données personnelles pour le compte d'un client. Les deux documents répondent à des questions différentes, et un service achats sérieux demandera souvent les deux.

L'avantage de la démarche est interne. Pour répondre aux questions de l'auto-évaluation, il faut avoir décidé qui est responsable de quoi, ce qui est sauvegardé et comment les accès sont gérés. Beaucoup d'entreprises découvrent à ce moment que ces règles existaient dans la tête de deux personnes, mais nulle part sur papier.