ISO 27001 · Commerce
ISO 27001 pour commerce : certificat en ligne, sans audit sur site
Grands acheteurs, places de marché et partenaires logistiques veulent savoir comment vous protégez les données. Chez Zertify, vous répondez à 48 questions en ligne et recevez votre certificat ISO 27001:2022 dans les 4 heures qui suivent la réussite et le paiement. Votre client peut le vérifier lui-même.
01: Demande des clients
Pourquoi clients et partenaires demandent l'ISO 27001 à un commerce
Un commerce détient des adresses, des historiques de commande, des comptes clients et des accès à des outils de paiement. Dès que vous livrez des entreprises ou travaillez avec un grand distributeur, cette réalité apparaît dans un questionnaire fournisseur.
Le service achats veut savoir qui accède aux données de commande, où elles sont stockées et ce qui se passe après un incident. Un certificat ISO 27001 répond à ces questions avec une seule pièce jointe. Vous n'avez plus à remplir chaque fois un nouveau formulaire de plusieurs pages.
Les appels d'offres de groupements d'achat, de chaînes ou de plateformes en ligne peuvent aussi citer l'ISO 27001 comme critère d'éligibilité ou comme point supplémentaire. Sans certificat, votre offre part avec un handicap, même si vos pratiques sont solides.
02: Risques du secteur
Quels risques du commerce la norme ISO 27001 couvre-t-elle ?
ISO 27001:2022 part d'une appréciation des risques. Dans un commerce, les scénarios sont connus et concrets.
- Données clients et comptes en ligne
- Adresses, historiques d'achat, mots de passe. Une fuite expose vos clients à l'hameçonnage et vous oblige à réagir vite.
- Paiements
- Votre prestataire de paiement traite les cartes. Vos accès à son interface, les remboursements et les rapprochements restent sous votre responsabilité.
- Stocks et système de gestion
- Un accès non autorisé ou une erreur de synchronisation entre caisse, boutique et entrepôt fausse les stocks et bloque des commandes.
- Fournisseurs et logisticiens
- Vous échangez des fichiers de commande avec des transporteurs, des fabricants et des places de marché. La norme demande de maîtriser ces relations.
- Pics d'activité
- Soldes et fêtes de fin d'année : la charge monte, le personnel temporaire arrive, les droits d'accès se multiplient. Il faut prévoir la continuité et le retrait des accès.
- Terminaux en magasin
- Caisses, tablettes et Wi-Fi invités partagent parfois le même réseau. Séparer les réseaux limite les dégâts d'une intrusion.
03: Exigences clés
Comment un commerce répond aux exigences de l'ISO 27001
La norme ne dicte pas un outil. Elle demande des preuves que vous gérez les risques. Voici à quoi cela ressemble dans un commerce.
| Exigence de la norme | Exemple dans un commerce |
|---|---|
| Évaluer les risques | Vous notez probabilité et impact d'une panne de caisse un samedi, du vol de la base clients ou du piratage du compte administrateur de la boutique. |
| Politique et objectifs de sécurité | Une politique courte, signée par la direction, avec un objectif vérifiable : authentification à deux facteurs sur tous les comptes de la boutique d'ici fin d'année. |
| Mesures de l'Annexe A | Sauvegardes testées de la base produits et commandes, droits d'accès par poste, mises à jour régulières des terminaux de paiement. |
| Déclaration d'applicabilité | Vous listez les mesures retenues et celles écartées avec une raison. Une mesure sur le développement logiciel peut être écartée si votre boutique est une solution standard hébergée. |
| Sensibilisation et formation | Un briefing pour la vente et la logistique : repérer un faux e-mail de fournisseur, verrouiller la caisse, ne jamais partager un mot de passe. Les auxiliaires le reçoivent à leur arrivée. |
| Gestion des incidents | Une procédure indique qui prévenir en cas de fuite de fichier client ou de commande frauduleuse. La direction passe en revue chaque incident. |
04: Mise en pratique
Par où commencer quand on dirige un commerce
Un exemple de démarche pour un commerce de quelques dizaines de personnes, avec boutique en ligne et magasin.
Dresser la liste des systèmes et des données
Boutique, caisse, comptabilité, messagerie, fichiers fournisseurs, base clients. Notez qui y accède.
Évaluer les risques par système
Pour chaque ligne, une question : que se passe-t-il si cela tombe en panne, fuit ou est modifié ?
Fixer les règles minimales
Mots de passe, authentification à deux facteurs, sauvegardes, départ d'un collaborateur : le compte est fermé le jour même.
Former l'équipe et garder une trace
Une feuille de présence au briefing suffit comme preuve. Faites de même pour le personnel de saison.
Répondre à l'auto-évaluation
Les 48 questions montrent ce qui existe déjà et ce qu'il reste à formaliser avant de déposer la demande.
La plupart des commerces ont déjà une partie de ces mesures en place. Il manque souvent seulement le document qui le prouve.
05: Avec Zertify
Obtenir le certificat ISO 27001 pour votre commerce avec Zertify
Zertify n'organise pas d'audit sur site. Vous répondez en ligne à 48 questions par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 35 autres, il faut au moins 24 oui pour réussir.
Chaque auto-évaluation est examinée par SICE (Swiss Institute of Certification and Education) avant l'émission du certificat. G6 Agency AG émet le certificat sous licence de SICE. Il arrive dans les 4 heures après réussite et paiement.
Le PDF porte un numéro et un QR code. Votre client scanne le code et arrive sur la page de vérification publique. Chaque année, un court re-audit en ligne confirme le certificat.
Le prix est de 849 CHF (849 €) la première année, puis 569 CHF (569 €) par an, re-audit en ligne compris. Le certificat est valable 3 ans. La TVA suisse de 8,1 % est incluse pour les clients en Suisse et au Liechtenstein. Aucun compte n'est nécessaire pour acheter.
06: Autre voie
Quand la voie classique avec audit sur site reste à envisager
Certains clients écrivent dans leur cahier des charges qu'ils exigent un audit sur site par un organisme de certification. Dans ce cas, la voie classique s'impose. Posez la question à votre acheteur avant de choisir.
Si votre client demande un certificat ISO 27001 que son service achats peut vérifier en ligne, le certificat Zertify répond à ce besoin. Le guide compare les voies de certification et leurs coûts.
07: FAQ
Questions fréquentes sur l'ISO 27001 pour un commerce
08: Guide
Pages liées
Testez où en est votre commerce
L'auto-évaluation ISO 27001 prend quelques minutes et montre ce qui manque avant le certificat.
Gratuit et sans inscription.