Différence entre ISO 27017 et ISO 27001: laquelle choisir?

L'ISO 27001 fixe les exigences d'un système de management de la sécurité de l'information, quel que soit votre secteur. L'ISO 27017:2015 est un guide de bonnes pratiques qui reprend les mesures de sécurité de l'ISO 27002 et les adapte aux services cloud, du côté du fournisseur comme du côté du client.

La première norme répond à la question « comment organiser la sécurité dans mon entreprise ». La seconde répond à « que dois-je faire de plus ou de différent quand mes données ou mes services tournent dans le cloud ». Les deux ne se concurrencent pas. Elles se complètent.

Ce que couvre l'ISO 27001

L'ISO 27001 décrit un système de management. Elle ne dit pas quel pare-feu acheter. Elle demande que vous définissiez qui décide, quels risques vous acceptez, quelles mesures vous appliquez et comment vous vérifiez qu'elles fonctionnent.

La norme suit la structure commune aux normes de systèmes de management:

• Clause 4, Contexte de l'organisation: vos parties intéressées, le périmètre du système.
• Clause 5, Leadership: l'engagement de la direction, la politique de sécurité, les rôles.
• Clause 6, Planification: l'appréciation des risques, le traitement des risques, les objectifs.
• Clause 7, Support: ressources, compétences, sensibilisation, informations documentées.
• Clause 8, Fonctionnement: la mise en œuvre concrète des processus et du traitement des risques.
• Clause 9, Évaluation des performances: surveillance, audit interne, revue de direction.
• Clause 10, Amélioration: non-conformités et actions correctives.

S'y ajoute une annexe A qui liste des mesures de sécurité de référence. Vous choisissez celles qui répondent à vos risques et vous justifiez celles que vous écartez, dans une déclaration d'applicabilité.

L'ISO 27001 est neutre quant à la technologie. Une fiduciaire de six personnes, une agence web et un éditeur de logiciel peuvent l'appliquer, chacun avec un périmètre différent.

Ce que couvre l'ISO 27017

L'ISO 27017:2015 porte le titre de code de bonnes pratiques pour les mesures de sécurité de l'information applicables aux services cloud. Elle ne décrit pas un système de management complet. Elle prend les mesures de l'ISO 27002 et indique, pour chacune, ce qui change dans un environnement cloud.

La norme distingue deux rôles:

• le fournisseur de services cloud, qui héberge, exploite ou met à disposition l'infrastructure, la plateforme ou le logiciel;
• le client de services cloud, qui utilise ces services pour ses propres données et applications.

Chaque recommandation précise ce que doit faire l'un et ce que doit faire l'autre. C'est le point qui pose le plus de problèmes en pratique: qui sauvegarde, qui gère les accès administrateur, qui efface les données à la fin du contrat.

L'ISO 27017 ajoute en outre sept mesures propres au cloud. Elles traitent notamment de la répartition des responsabilités entre fournisseur et client, de la restitution et de la suppression des données du client à la fin du contrat, de la séparation entre environnements virtuels, du durcissement des machines virtuelles, de la sécurité des opérations d'administration, de la surveillance des services cloud et de l'alignement de la sécurité des réseaux virtuels et physiques.

Si vous cherchez une norme ciblée sur la protection des données personnelles dans le cloud, c'est l'ISO 27018, un autre sujet.

Les différences en un tableau

La différence de nature compte. L'ISO 27001 vous demande un cycle de management complet, avec appréciation des risques et revue de direction. L'ISO 27017 vous demande de démontrer que vos mesures tiennent compte de la réalité du cloud.

Qui a besoin de quoi

La réponse dépend de votre position dans la chaîne.

Vous fournissez un service en ligne. Vous êtes éditeur de logiciel, hébergeur, agence qui exploite une plateforme pour ses clients. Vos clients vous envoient des questionnaires fournisseurs avec des questions sur la séparation des données, la sauvegarde, la sortie de contrat. L'ISO 27017 répond directement à ces questions. L'ISO 27001 prouve en plus que votre organisation interne est structurée.

Vous utilisez des services cloud. Votre messagerie, votre comptabilité, votre CRM et vos fichiers sont chez des tiers. Votre risque ne se limite pas à leur fiabilité. Il tient aussi à la façon dont vous configurez les accès, gérez les comptes administrateur et contrôlez ce que vous partagez. L'ISO 27017 donne un cadre pour ces décisions.

Vous répondez à un appel d'offres. Lisez le cahier des charges. Certains acheteurs demandent expressément l'ISO 27001, d'autres acceptent un référentiel cloud. Une exigence formulée comme « sécurité de l'information conforme à une norme reconnue » laisse un peu plus de marge. Si le texte cite une norme précise, vous n'avez pas d'interprétation à faire.

Peut-on avoir l'une sans l'autre

Oui, mais il y a une logique de dépendance. L'ISO 27017 s'appuie sur l'ISO 27002, qui est elle-même le prolongement de l'annexe A de l'ISO 27001. Quand un organisme applique l'ISO 27001, l'ISO 27017 lui sert de complément pour la partie cloud. À l'inverse, une entreprise sans système de management peut déjà suivre l'ISO 27017 pour ses mesures techniques et organisationnelles liées au cloud.

Pour une PME qui démarre, la seconde approche est souvent plus réaliste. Elle part d'un besoin visible, par exemple un questionnaire client reçu cette semaine, au lieu d'un projet de système de management qui mobilise la direction pendant des mois. Les mécanismes de fond restent proches: inventaire des services, responsabilités écrites, gestion des accès, plan de sortie. Notre guide sur la certification ISO pour les PME détaille comment une petite structure aborde ce type de norme sans équipe dédiée.

Les erreurs fréquentes

Première confusion: croire que l'ISO 27017 remplace l'ISO 27001. Elle ne définit ni politique, ni appréciation des risques, ni revue de direction au sens de la clause 9. Elle les suppose ou les laisse de côté.

Deuxième confusion: penser que le fournisseur cloud porte seul la responsabilité. Un hébergeur sécurise son infrastructure. Il ne configure pas à votre place les droits de vos collaborateurs ni l'authentification de vos comptes.

Troisième confusion: ignorer la fin de contrat. Beaucoup d'entreprises savent comment elles entrent chez un fournisseur et pas comment elles en sortent, avec leurs données, dans un format exploitable.

Checklist: où en êtes-vous?

Cette liste vous aide à situer votre besoin avant de choisir une norme.

• J'ai dressé la liste des services cloud que mon entreprise utilise (messagerie, stockage, comptabilité, CRM, hébergement).
• Je sais lesquels contiennent des données de clients ou des données sensibles.
• Je peux dire pour chacun qui gère les accès administrateur, moi ou le fournisseur.
• Les responsabilités entre le fournisseur et moi sont écrites, pas seulement supposées.
• Je connais la procédure de récupération et de suppression des données à la fin du contrat.
• Mes comptes cloud utilisent une authentification à plusieurs facteurs.
• Mes propres clients me demandent des preuves sur la sécurité de mes services en ligne.
• J'ai relu les exigences des derniers appels d'offres ou questionnaires fournisseurs pour savoir quelle norme ils citent.

Si la majorité des cases cochées concerne vos services en ligne et vos clients, l'ISO 27017 est le bon point de départ. Si les exigences portent sur l'organisation entière, avec gouvernance et audits internes, c'est l'ISO 27001 qu'il faut regarder.

Comment Zertify s'inscrit dans votre démarche

Zertify délivre un certificat ISO 27017:2015 Sécurité du cloud à partir d'une auto-évaluation en ligne. Il n'y a pas d'audit sur site. Vous répondez aux questions sur vos pratiques cloud, un membre du SICE Certification Board examine chaque évaluation, puis le certificat est émis par G6 Agency AG sous licence du SICE (Swiss Institute of Certification and Education). Après une évaluation réussie et le paiement, l'émission prend 4 heures.

Le certificat est un PDF avec un code QR qui renvoie vers une page de vérification publique. Votre client ou votre service des achats peut contrôler l'authenticité sans vous écrire. La validité est de trois ans. Chaque année, une courte ré-audit en ligne confirme que vos pratiques sont toujours en place, dans le cadre d'un abonnement annuel. Les détails figurent sur la page tarifs.

Cette approche diffère de la voie classique, avec un audit sur site par un organisme de certification. Elle convient quand vous devez fournir une preuve rapidement, sans mobiliser vos équipes pendant plusieurs jours. Notre article sur la certification ISO sans audit explique ce que cela change concrètement, et ce que vous devez préparer.

Pour voir où vous en êtes, vous pouvez démarrer l'évaluation. Elle vous montre les points à clarifier avant toute émission.