ISO 27001:2022 pour la chimie et la pharma
ISO 27001 pour chimie et pharma : le certificat sans audit sur site
Vos clients, vos donneurs d'ordre et vos partenaires de recherche veulent savoir comment vous protégez formules, données d'essais et données de production. L'ISO 27001 leur donne une réponse reconnue. Avec Zertify, vous passez une auto-évaluation en ligne et recevez votre certificat dans les 4 heures suivant la réussite et le paiement.
01: Demande du marché
Pourquoi la chimie et la pharma vous demandent l'ISO 27001
Dans ces secteurs, l'information vaut souvent plus que le produit fini. Une formule, un procédé de synthèse ou un dossier de lot représentent des années de travail. Quand un groupe pharmaceutique ou un fabricant de produits chimiques choisit un sous-traitant, son service achats envoie un questionnaire fournisseur. La sécurité de l'information y occupe une rubrique entière.
Un certificat ISO 27001 répond à la plupart de ces questions en un document. Vous le joignez à l'offre, au lieu de remplir chaque fois quarante pages de réponses. Les appels d'offres de clients plus grands le demandent de plus en plus comme critère d'entrée, au même titre qu'une assurance responsabilité civile.
Les entreprises concernées sont variées : fabricants à façon, laboratoires d'analyse, distributeurs de matières premières, sociétés de packaging pharmaceutique, éditeurs de logiciels pour laboratoires. Toutes manipulent des données qu'un client leur confie sous obligation de confidentialité.
02: Risques du secteur
Quels risques d'information la norme couvre dans votre secteur
L'ISO 27001 ne prescrit pas une liste de produits à acheter. Elle part de votre appréciation des risques et vous fait choisir les mesures de l'Annexe A qui s'y rapportent. Voici les actifs d'information que l'on retrouve le plus souvent dans une entreprise de chimie ou de pharma.
- Formules et procédés
- Recettes, paramètres de synthèse, spécifications de matières premières. Une fuite chez un sous-traitant suffit à exposer un avantage concurrentiel.
- Données d'essais et de recherche
- Résultats de laboratoire, protocoles d'étude, échantillons suivis dans un système de gestion. Leur intégrité compte autant que leur confidentialité.
- Dossiers de lots
- Documents de fabrication et de libération. Une modification non tracée pose un problème de fiabilité, pas seulement de sécurité informatique.
- Systèmes de pilotage de production
- Automates, supervision, interfaces avec l'ERP. Un arrêt causé par un rançongiciel immobilise une ligne et retarde les livraisons.
- Données de partenaires et de patients
- Listes de clients, conditions contractuelles, données transmises par des partenaires de développement. L'accès doit rester limité aux personnes autorisées.
03: Exigences
Comment une entreprise de chimie ou de pharma remplit les exigences clés
Les exigences de la norme sont les mêmes pour tous. Leur mise en pratique dépend de votre activité. Le tableau montre des exemples concrets pour chacune.
| Exigence | Exemple concret dans le secteur |
|---|---|
| Évaluer les risques | Vous recensez les systèmes qui contiennent des formules et des données de lots, puis vous estimez la probabilité et l'impact d'une perte ou d'une altération. |
| Politique et objectifs de sécurité | Une politique d'une page, signée par la direction, fixe par exemple que les formules ne quittent jamais le réseau interne sans chiffrement. |
| Mesures de l'Annexe A | Droits d'accès par projet dans le laboratoire, sauvegardes testées, séparation du réseau de production et du réseau bureautique. |
| Déclaration d'applicabilité | Vous listez chaque mesure retenue ou écartée, avec la raison. Une mesure sur le cloud est écartée si vous n'utilisez aucun service cloud. |
| Sensibiliser et former | Formation annuelle courte pour les équipes de laboratoire et de production, avec un exemple d'hameçonnage reçu par un acheteur. |
| Gérer les incidents | Une procédure indique qui prévenir quand un poste de laboratoire est infecté, et comment le client concerné est informé. |
04: Mise en route
Par où commencer avant l'auto-évaluation
Vous n'avez pas besoin d'un projet de plusieurs mois pour répondre honnêtement aux questions. Quelques travaux préparatoires rendent l'évaluation plus rapide.
Dressez l'inventaire de vos informations sensibles
Notez où se trouvent les formules, les données d'essais et les dossiers de lots, et qui y accède.
Rédigez la politique de sécurité
Une page suffit, mais la direction doit la valider. La clause 5 de la norme porte sur ce rôle de la direction.
Contrôlez les accès et les sauvegardes
Vérifiez les comptes inactifs, les droits des anciens collaborateurs et la dernière restauration réussie.
Prévoyez la gestion des incidents
Désignez un responsable et un suppléant, et décrivez les premières étapes à suivre.
Répondez aux 48 questions
Chaque réponse doit correspondre à ce que vous faites réellement. Une preuve manquante signale souvent le prochain point à régler.
05: Avec Zertify
Obtenir le certificat ISO 27001 avec Zertify
L'auto-évaluation compte 48 questions à répondre par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 35 autres, il faut au moins 24 oui pour réussir. Vous n'avez pas besoin de compte pour acheter.
Le certificat est délivré par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Vous recevez le PDF dans les 4 heures suivant la réussite et le paiement. Il porte un numéro et un code QR : votre client le contrôle sur la page de vérification publique, sans vous appeler.
Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF (569 €) par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. Un court re-audit en ligne le confirme chaque année. L'abonnement est annuel, résiliable à tout moment dans votre espace client jusqu'à la fin de l'année en cours. Pour les clients en Suisse et au Liechtenstein, la TVA de 8,1 % est comprise. Si vous visez plusieurs normes, la remise est de 20 % pour deux et de 30 % pour trois ou plus, aussi sur la cotisation annuelle.
06: Comparer
Certificat en ligne ou audit sur site : que choisir ?
La voie classique passe par un audit sur place réalisé par un organisme de certification. Elle convient si un client le prescrit expressément dans son cahier des charges. Elle demande en général plus de planning et mobilise vos équipes de laboratoire ou de production pendant l'audit.
Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site. Il convient bien à une PME qui doit prouver rapidement son niveau de sécurité dans un questionnaire fournisseur ou une offre. Avant de décider, lisez le comparatif des voies et vérifiez dans le cahier des charges de votre client ce qu'il attend précisément.
07: FAQ
Questions fréquentes sur l'ISO 27001 pour la chimie et la pharma
08: Guide
Pages liées
Vérifiez où vous en êtes avec l'ISO 27001
L'auto-évaluation de 48 questions montre en quelques minutes quelles exigences vous remplissez déjà.
Gratuit et sans inscription.