ISO 27017 pour éditeurs SaaS : ce qu'il faut mettre en place

ISO 27017:2015 est le référentiel de sécurité conçu pour les services cloud. Il complète ISO 27002 par des mesures qui concernent directement un éditeur SaaS : qui protège quoi, comment les environnements clients sont séparés, comment les administrateurs sont encadrés.

Si vos clients vous envoient un questionnaire fournisseur ou si un appel d'offres demande des garanties sur la sécurité du cloud, ce référentiel donne le vocabulaire et la structure pour répondre avec des preuves plutôt qu'avec des déclarations.

Ce qu'ISO 27017 est, et ce qu'elle n'est pas

ISO 27017 est un code de bonnes pratiques. Elle ne décrit pas un système de management complet comme ISO 27001, et elle ne suit donc pas la structure en chapitres 4 à 10 que l'on retrouve dans les normes de management. Elle reprend les mesures de sécurité d'ISO 27002 et leur ajoute des conseils d'application pour deux acteurs : le fournisseur de service cloud et le client du service cloud.

Un éditeur SaaS occupe souvent les deux rôles. Vous fournissez une application à vos clients, et vous la faites tourner chez un hébergeur d'infrastructure, lui-même fournisseur cloud. ISO 27017 vous oblige à regarder les deux côtés de cette chaîne.

Les mesures propres au cloud

La norme introduit sept mesures supplémentaires, absentes d'ISO 27002. Elles décrivent assez bien ce qu'un acheteur attend d'un fournisseur SaaS.

Rôles et responsabilités partagés

Vous définissez par écrit ce qui relève de vous et ce qui relève du client. Qui gère les droits d'accès des utilisateurs finaux ? Qui configure l'authentification multifacteur ? Qui sauvegarde les données saisies, et pour quelle durée de conservation ? Ce document se retrouve presque toujours en annexe d'un contrat.

Restitution et suppression des données du client

À la fin du contrat, le client doit pouvoir récupérer ses données et obtenir leur effacement. La norme demande que cette procédure existe, qu'elle soit connue et qu'elle couvre aussi les copies de sauvegarde. Prévoyez un format d'export, un délai et une confirmation écrite de suppression.

Séparation des environnements virtuels

Les données d'un client ne doivent pas être accessibles à un autre. Dans une application multi-locataire, cela touche l'architecture : isolation logique des données, contrôle des requêtes, séparation entre production, test et développement. Vous devez pouvoir expliquer comment cette séparation est réalisée et testée.

Durcissement des machines virtuelles

Serveurs, conteneurs et images sont configurés pour n'exposer que ce qui est nécessaire. Ports inutiles fermés, services superflus retirés, correctifs appliqués selon un calendrier défini. Si vous utilisez des images de base, vous savez qui les met à jour.

Sécurité opérationnelle des administrateurs

Vos administrateurs ont des accès étendus à l'infrastructure et parfois aux données clients. La norme attend des procédures pour ces opérations : comptes nominatifs, authentification renforcée, journalisation des actions, validation des changements sensibles. Le compte partagé « admin » connu de toute l'équipe technique est le point que les clients relèvent le plus vite.

Surveillance des services cloud

Vous surveillez l'activité de votre service : tentatives d'accès anormales, utilisation inhabituelle, pannes. Le client, de son côté, doit pouvoir obtenir des informations sur ce qui concerne son usage, par exemple des journaux d'accès à son propre espace.

Cohérence entre réseaux virtuels et physiques

Les règles de sécurité de votre réseau virtuel, chez l'hébergeur, doivent correspondre à la politique que vous appliquez à votre réseau physique, par exemple celui du bureau depuis lequel vos équipes se connectent. Une règle stricte d'un côté et permissive de l'autre ne protège pas grand-chose.

Responsabilités partagées avec votre hébergeur

La plupart des éditeurs SaaS s'appuient sur un grand fournisseur d'infrastructure. Cela ne dispense pas de documenter ce que vous faites vous-même. Votre hébergeur sécurise le centre de calcul et la couche matérielle. La configuration de vos comptes, de vos réseaux virtuels, de vos bases de données et de vos accès reste de votre côté.

Commencez par un tableau simple à deux colonnes : ce que l'hébergeur assure, ce que vous assurez. Ajoutez une troisième colonne pour ce que vous demandez à vos clients de faire. Ce tableau devient la base de votre réponse à la plupart des questionnaires.

Ce que vos clients vérifient réellement

Le service achats d'une entreprise cliente ne lit pas la norme. Il ouvre un questionnaire fournisseur et attend des réponses sur quelques thèmes récurrents : localisation des données, chiffrement, gestion des accès, sauvegarde, plan en cas d'incident, sous-traitants, sortie du contrat.

Un certificat ne remplace pas ces réponses, mais il évite d'en refaire la démonstration à chaque demande. Il pointe vers un référentiel connu, et le client peut en contrôler l'authenticité sur une page de vérification publique. Cela raccourcit la discussion lors d'un audit client ou d'une phase de sélection.

Une précision utile : certains clients, notamment dans la finance ou le secteur public, exigent explicitement un certificat ISO 27001 délivré après un audit sur site. Lisez le cahier des charges avant de choisir votre démarche.

Checklist de préparation pour un éditeur SaaS

Cette liste vous permet de mesurer où vous en êtes avant de démarrer.

• Un document décrit la répartition des responsabilités entre vous, votre hébergeur et vos clients.
• Les données clients sont séparées logiquement, et vous savez expliquer comment.
• Les environnements de production, de test et de développement sont distincts.
• Les comptes administrateurs sont nominatifs, avec authentification multifacteur.
• Les actions d'administration sont journalisées et les journaux sont conservés.
• Les serveurs et conteneurs suivent une configuration de référence et un calendrier de correctifs.
• Une procédure de restitution et de suppression des données existe pour la fin de contrat.
• Les sauvegardes sont chiffrées et leur restauration a été testée.
• Vous surveillez les accès anormaux et les pannes, et quelqu'un est désigné pour réagir.
• La liste de vos sous-traitants et leur rôle dans le traitement des données sont à jour.
• Un processus de gestion des incidents prévoit l'information des clients concernés.
• Les règles de sécurité du réseau virtuel et du réseau de bureau sont alignées.

Si vous cochez moins de la moitié des cases, commencez par le tableau des responsabilités et la gestion des accès administrateurs. Ce sont les deux sujets qui pèsent le plus lors d'une revue fournisseur.

Deux manières d'obtenir une reconnaissance

La voie classique passe par un organisme de certification qui mène un audit sur site : planification, visite, constats, suivi. Elle convient quand un client l'impose. Elle demande du temps de la part de vos équipes techniques, et son coût dépend du périmètre et de la taille de l'entreprise. Pour comparer les budgets, notre guide sur le coût d'une certification ISO détaille ce qui entre en ligne de compte.

L'autre voie repose sur une auto-évaluation en ligne, sans audit sur site. Vous répondez aux questions, vous appuyez vos réponses sur votre situation réelle, et un membre du SICE Certification Board relit l'évaluation avant l'émission. Le principe est expliqué dans notre page sur la certification ISO sans audit.

Comment Zertify s'intègre dans votre démarche

Zertify propose un certificat pour la norme ISO 27017:2015 Sécurité du cloud. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). Chaque évaluation est relue par un membre du SICE Certification Board avant l'émission.

Le déroulement est le suivant :

1. Vous démarrez l'évaluation en ligne et répondez aux questions sur votre service, vos accès, vos données et vos sous-traitants.
2. L'évaluation est relue. Si elle est réussie et le paiement effectué, le certificat est émis dans un délai de 4 heures.
3. Vous recevez un PDF avec un code QR. Celui-ci renvoie à une page de vérification publique, que vos clients ou votre service achats peuvent ouvrir pour contrôler le certificat.

Le certificat est valable trois ans. Il est confirmé chaque année par un court ré-audit en ligne, dans le cadre d'un abonnement annuel. Vous trouverez le détail sur la page des tarifs.

Pour un éditeur SaaS de petite taille, cette voie convient quand l'objectif est de répondre aux questionnaires fournisseurs avec un justificatif vérifiable, sans immobiliser l'équipe technique pendant un audit sur site.

Utiliser le certificat dans vos ventes

Un certificat n'a de valeur que s'il se retrouve là où l'acheteur le cherche. Ajoutez le PDF à votre dossier de sécurité, mentionnez-le dans vos réponses aux appels d'offres et placez le lien de vérification dans la signature de vos offres commerciales. Quand un questionnaire pose une question couverte par votre évaluation, répondez en une phrase et renvoyez à la page de vérification.

Côté interne, gardez le tableau des responsabilités à jour. Si vous changez d'hébergeur, ajoutez un sous-traitant ou modifiez votre architecture multi-locataire, la documentation doit suivre. Le ré-audit annuel s'appuie sur cette tenue à jour.