ISO 27001 pour finance : le certificat que vos clients demandent

Une société financière détient des numéros de compte, des pièces d'identité, des positions de portefeuille et des ordres de paiement. Une fuite touche directement des clients, et ces clients le savent. Quand une banque, un assureur ou une caisse de pension choisit un prestataire, le service des achats veut une preuve que la sécurité de l'information est organisée, pas improvisée.

ISO 27001 donne cette preuve sous une forme que tout le monde comprend. Le certificat indique que vous avez évalué vos risques, défini des mesures et que vous les contrôlez chaque année. Il remplace une partie des réponses que vous rédigez aujourd'hui à la main dans chaque questionnaire.

Le sujet arrive aussi par d'autres portes : un audit client qui demande vos justificatifs, un appel d'offres qui fixe le certificat comme critère d'entrée, un partenaire qui veut connecter ses systèmes aux vôtres. Dans tous ces cas, un certificat avec code QR se contrôle en quelques secondes.

• La norme ISO 27001 en détail

ISO 27001 ne prescrit pas de produit. Elle part de vos processus et de vos risques, puis vous fait choisir les mesures de l'Annexe A qui s'y appliquent. Le tableau montre comment cela se traduit dans une société financière.

Les six exigences ci-dessous sont celles que vous devez pouvoir démontrer. Pour une structure de 5 à 50 personnes, elles tiennent en quelques documents courts, à condition qu'ils reflètent ce que vous faites réellement.

1. 01

   Évaluer les risques

   Un gestionnaire de fortune recense ses actifs (dossiers clients, accès à la banque dépositaire, messagerie) et note pour chacun la probabilité et la gravité d'une atteinte.

2. 02

   Définir politique et objectifs

   La direction signe une politique d'une page et fixe des objectifs mesurables, par exemple : zéro envoi de données clients vers une adresse privée.

3. 03

   Mettre en oeuvre les mesures de l'Annexe A

   Authentification à deux facteurs sur la plateforme de trading, droits d'accès revus chaque trimestre, chiffrement des disques des portables.

4. 04

   Établir la déclaration d'applicabilité

   Vous listez les mesures retenues et justifiez celles que vous écartez. Une fiduciaire sans développement interne écarte les mesures sur le code source, et le dit.

5. 05

   Sensibiliser et former

   Chaque collaborateur suit une courte formation sur le hameçonnage et la fraude au président. Une liste de présence en garde la trace.

6. 06

   Gérer les incidents

   Un e-mail de paiement suspect est signalé, enregistré, analysé, puis la procédure de validation des changements de coordonnées bancaires est corrigée.

Le questionnaire utilise le vocabulaire de la norme. Voici ce qu'il désigne dans une société financière.

SMSI

Le système de management de la sécurité de l'information : vos règles, responsabilités et contrôles réunis dans un cadre que la direction pilote.

Actif informationnel

Tout ce qui a de la valeur et doit être protégé : base clients, relevés de portefeuille, clés d'accès aux systèmes de paiement, contrats de mandat.

Appréciation des risques

L'analyse qui relie une menace à un actif, par exemple le vol d'identifiants d'un conseiller et l'accès aux comptes qu'il gère.

Déclaration d'applicabilité (DdA)

Le document qui indique, mesure par mesure, ce que vous appliquez et pourquoi. Les clients bancaires le demandent souvent en complément du certificat.

Incident de sécurité

Un événement qui compromet la confidentialité, l'intégrité ou la disponibilité d'une information : fichier clients envoyé au mauvais destinataire, panne prolongée de la plateforme d'ordres.

L'auto-évaluation compte 48 questions auxquelles on répond par oui ou par non. Treize d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 35 autres, il faut au moins 24 oui pour réussir. Aucun compte n'est nécessaire pour commencer ni pour acheter.

Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur site : une courte réévaluation en ligne confirme le certificat chaque année, et il reste valable 3 ans.

Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF (569 €) par an, réévaluation en ligne incluse. L'abonnement est annuel et se résilie à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Si vous résiliez, le certificat prend fin avec l'année payée. Un rabais de 20 % s'applique pour deux normes et de 30 % dès trois, aussi sur la cotisation annuelle. Pour la Suisse et le Liechtenstein, la TVA de 8,1 % est comprise.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Comment ça fonctionne

Certains donneurs d'ordre du secteur financier précisent dans leur cahier des charges qu'ils attendent un audit sur site par un organisme de certification. D'autres acceptent tout certificat ISO 27001 vérifiable. Relisez la formulation exacte du questionnaire ou de l'appel d'offres avant de choisir.

Si le critère est ouvert, la voie en ligne vous donne un certificat à présenter dès cette semaine. Si le client exige l'audit sur site, la voie classique reste la bonne. Le guide ci-dessous compare les deux approches point par point.

• Comparer les voies de certification
• Certification sans audit sur site
• Coût d'une certification