ISO 27001 à Aarau : certificat en ligne, sans audit sur site

Aarau est le chef-lieu du canton d'Argovie, entre Zurich, Bâle et Berne. Les entreprises de la région travaillent pour des clients installés dans ces trois pôles, et la question de la sécurité de l'information arrive le plus souvent par le service achats du client : questionnaire fournisseur, annexe d'appel d'offres, clause de contrat.

Zertify n'a pas de bureau à Aarau. Le processus se déroule entièrement en ligne, ce qui vous évite de planifier des visites. Voici les profils pour lesquels ISO 27001:2022 revient régulièrement.

Prestataires informatiques et éditeurs de logiciels

Vos clients veulent savoir comment sont gérés les accès, les sauvegardes et le développement avant de vous confier leurs systèmes.

Fournisseurs de services cloud

L'édition 2022 a révisé les mesures liées aux services cloud, un point que les clients vérifient en priorité.

Prestataires financiers

Banques et partenaires attendent une preuve que les données sont protégées dans toute la chaîne de traitement.

Secteur de la santé

Les dossiers de patients exigent des règles claires d'accès et de conservation.

E-commerce et services en ligne

Données de paiement, comptes clients et historiques de commande : tout cela doit être protégé et documenté.

• Voir la norme ISO 27001

ISO 27001:2022 définit comment construire un système de management de la sécurité de l'information (SMSI). Au centre se trouve l'appréciation des risques : elle détermine quelles mesures de l'Annexe A vous mettez en oeuvre, et pourquoi. L'édition 2022 a révisé ces mesures, notamment pour les services cloud, la protection des données et les cyberrisques.

1. 01

   Évaluer les risques

   Vous identifiez les risques qui pèsent sur vos informations et vous les classez. C'est le sujet du chapitre 6, Planification.

2. 02

   Fixer une politique et des objectifs

   La direction approuve une politique de sécurité et des objectifs mesurables. Cela relève du chapitre 5, Leadership.

3. 03

   Appliquer les mesures de l'Annexe A

   Vous retenez les mesures adaptées à vos risques et vous les mettez en place.

4. 04

   Établir la déclaration d'applicabilité

   Ce document liste les mesures retenues, celles écartées, et la raison de chaque choix.

5. 05

   Sensibiliser et former

   Vos collaborateurs savent ce que la politique attend d'eux. Le chapitre 7, Support, traite ce point.

6. 06

   Gérer les incidents

   Vous détectez, traitez et documentez les incidents de sécurité, puis vous en tirez des corrections.

La voie classique passe par un organisme de certification qui envoie des auditeurs dans vos locaux. La voie Zertify repose sur une auto-évaluation remplie en ligne. Le tableau montre les différences pratiques.

• Comparer les voies de certification
• Certification sans audit sur site

Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur site : la base est votre auto-évaluation, confirmée chaque année par un court réaudit en ligne.

Le prix est de 849 CHF la première année, puis 569 CHF par an, réaudit en ligne compris. Le certificat est valable 3 ans. L'abonnement annuel se renouvelle automatiquement et se résilie à tout moment, dans votre espace client, pour la fin de l'année en cours. En cas de résiliation, le certificat prend fin avec l'année payée. Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein, et aucun compte n'est nécessaire pour acheter.

Si vous visez plusieurs normes, un rabais de 20 % s'applique pour deux normes et de 30 % à partir de trois, également sur la cotisation annuelle.

• Page ISO 27001
• Voir les prix
• Démarrer l'auto-évaluation gratuite

Le parcours se fait entièrement à distance. Prévoyez de réunir vos documents de sécurité avant de commencer, car les questions portent sur ce qui existe déjà dans votre entreprise.

1. 01

   Rassembler vos documents

   Politique de sécurité, analyse des risques, liste des accès, procédure d'incident : ayez-les sous la main.

2. 02

   Répondre aux 48 questions

   Chaque question appelle un oui ou un non. Les 13 exigences obligatoires de la norme doivent toutes recevoir un oui, et il faut au moins 24 oui parmi les 35 autres questions.

3. 03

   Payer

   Une fois l'évaluation réussie, vous réglez le premier abonnement annuel en ligne.

4. 04

   Recevoir le certificat

   Il arrive dans les 4 heures après la réussite et le paiement, au format PDF.

5. 05

   Le transmettre à vos clients

   Joignez le PDF à votre offre ou à votre réponse au questionnaire fournisseur.

• Voir le déroulement complet

Chaque certificat Zertify porte un numéro et un code QR. Le service achats d'un client scanne le code ou saisit le numéro sur la page de vérification publique, et voit immédiatement si le certificat est valide.

Soyez clair sur la nature du document : il repose sur une auto-évaluation et non sur un audit sur site. Certains donneurs d'ordre fixent des exigences précises dans leurs appels d'offres. Posez la question à votre client avant d'investir, c'est le moyen le plus sûr de savoir si ce certificat lui suffit.

• ISO pour les PME
• Coût d'une certification