ISO 27001:2022 pour les organismes de formation
ISO 27001 pour formation : prouver la sécurité de vos données de participants
Les entreprises clientes, les services RH et les services achats demandent de plus en plus une preuve que vous protégez les données des participants. Avec Zertify, vous passez une auto-évaluation en ligne de 48 questions et recevez votre certificat ISO 27001 sous 4 heures après la réussite et le paiement. Chaque certificat est vérifiable publiquement.
01: Demande du marché
Pourquoi les clients demandent l'ISO 27001 à un organisme de formation
Un organisme de formation détient plus de données qu'il n'y paraît: listes de participants, adresses e-mail professionnelles, évaluations de collaborateurs, résultats d'examens. Lors d'une formation en entreprise, le client apporte en plus des documents internes qui servent de cas pratiques.
Le service achats ou le service RH d'une entreprise cliente envoie alors un questionnaire fournisseur. On y interroge la gestion des accès, la sauvegarde, la sous-traitance de la plateforme d'apprentissage ou l'hébergement des enregistrements vidéo. Un certificat ISO 27001 répond à une grande partie de ces questions avec un seul document.
Certains appels d'offres demandent aussi une preuve de gestion de la sécurité de l'information. Sans elle, votre offre peut être écartée avant même que le contenu pédagogique soit examiné. Lisez toujours le cahier des charges: il précise quel type de preuve est exigé.
02: Risques
Quels processus et quels risques d'un organisme de formation la norme couvre-t-elle ?
ISO 27001 part de l'appréciation des risques. Voici les points que celle-ci fait le plus souvent apparaître dans une activité de formation.
- Données des participants
- Inscriptions, listes de présence, factures adressées à l'employeur. Le risque typique: une liste envoyée au mauvais destinataire ou conservée sans limite de durée.
- Plateforme d'apprentissage en ligne
- Comptes des participants, droits des formateurs, hébergement dans le cloud. Un compte de formateur resté actif après la fin de son mandat donne accès à des données qu'il ne devrait plus voir.
- Documents des clients
- Organigrammes, procédures ou données de projet fournis pour un cas pratique. Ils restent facilement sur l'ordinateur portable d'un formateur.
- Formateurs indépendants
- Ils travaillent avec leur propre matériel et accèdent à vos listes. Les règles d'accès et de restitution doivent figurer dans leur contrat.
- Examens et attestations
- Résultats, certificats de participation, corrections. Une attestation modifiée ou un résultat consulté par une personne non autorisée nuit directement à votre crédibilité.
- Visioconférence et enregistrements
- Liens de réunion partagés largement, sessions enregistrées et stockées sans règle de suppression.
03: Exigences
Comment un organisme de formation répond aux exigences de l'ISO 27001
La norme décrit ce qu'il faut démontrer, pas la manière exacte de le faire. Le tableau montre des réponses réalistes pour une structure de formation.
| Exigence | Exemple dans la formation |
|---|---|
| Évaluer les risques | Inventaire des actifs: plateforme, listes de participants, ordinateurs des formateurs. Chaque risque est noté selon sa probabilité et sa gravité. |
| Politique et objectifs de sécurité | Une page signée par la direction. Objectif concret: désactiver le compte d'un formateur le jour où son mandat prend fin. |
| Mesures de l'Annexe A | Authentification à deux facteurs sur la plateforme, chiffrement des portables, sauvegarde des supports de cours. |
| Déclaration d'applicabilité | Liste des mesures retenues ou écartées avec justification. Les mesures sur le développement sécurisé sont écartées si vous ne programmez pas de logiciel. |
| Sensibilisation et formation | Séance courte à l'arrivée de chaque formateur, rappel annuel sur l'hameçonnage et l'envoi de listes. |
| Gestion des incidents | Procédure en cas d'envoi au mauvais destinataire: qui est informé, qui consigne l'événement, quelle correction est décidée. |
Un organisme qui gère déjà ses processus de manière ordonnée possède souvent une partie de ces éléments. Il manque généralement leur formalisation écrite.
04: Avec Zertify
Obtenir le certificat ISO 27001 avec Zertify
Vous répondez en ligne à 48 questions par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 35 autres, il faut au moins 24 réponses positives. Aucun audit sur place n'a lieu.
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque auto-évaluation avant l'émission. Le certificat arrive sous 4 heures après la réussite et le paiement. Il porte un numéro et un code QR: le service achats de votre client contrôle sa validité sur la page de vérification publique, sans vous contacter.
Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. Pour les clients en Suisse et au Liechtenstein, la TVA de 8,1 % est comprise. Vous n'avez pas besoin de compte pour acheter.
05: Choix de la voie
Audit sur site ou auto-évaluation en ligne : que choisir ?
La voie classique passe par un audit sur site mené par un organisme de certification. Elle demande des semaines de planification et la présence d'un auditeur dans vos locaux. Certains appels d'offres la nomment explicitement. Vérifiez donc ce que votre client ou le cahier des charges exige.
L'auto-évaluation en ligne convient lorsque vos clients veulent une preuve de gestion de la sécurité de l'information, contrôlable en quelques secondes. Un re-audit en ligne confirme chaque année que votre dispositif reste en place. Pour un organisme de dix ou quarante collaborateurs, la charge administrative reste ainsi supportable.
06: Préparation
Comment préparer l'auto-évaluation
Une demi-journée de préparation suffit souvent pour savoir où vous en êtes. Ces étapes aident à répondre aux 48 questions sans hésiter.
Désigner un responsable
Une personne répond de la sécurité de l'information, par exemple la direction ou le responsable administratif.
Lister vos outils et vos données
Plateforme, messagerie, outil de visioconférence, stockage des listes, ordinateurs des formateurs.
Écrire une politique d'une page
Elle fixe les objectifs et les règles d'accès, de sauvegarde et de suppression.
Documenter vos mesures
Mot de passe et double authentification, chiffrement, contrats avec les formateurs externes.
Répondre aux 48 questions
Les 13 exigences obligatoires d'abord. Si l'une manque, complétez la mesure avant de poursuivre.
07: FAQ
Questions fréquentes sur l'ISO 27001 pour la formation
08: Guide
Pages associées
Vérifiez où en est votre organisme de formation
L'auto-évaluation ISO 27001 compte 48 questions et vous indique tout de suite si vous remplissez les exigences.
Gratuit et sans inscription.