ISO 27001 à Fribourg : certificat en ligne, sans audit sur site

La norme est la même à Fribourg, à Zurich ou à Paris. ISO 27001:2022 décrit comment construire un système de management de la sécurité de l'information (SMSI). Au centre se trouve l'appréciation des risques : elle détermine quelles mesures de l'Annexe A vous appliquez, et pourquoi.

L'édition 2022 a révisé ces mesures, notamment pour les services cloud, la protection des données et les cyberrisques. Voici les exigences que votre entreprise doit pouvoir démontrer.

Appréciation des risques

Vous identifiez les risques qui pèsent sur vos informations et vous les évaluez de manière documentée.

Politique et objectifs

La direction fixe une politique de sécurité et des objectifs que l'équipe connaît.

Mesures de l'Annexe A

Vous mettez en oeuvre les mesures de sécurité que votre analyse de risques rend nécessaires.

Déclaration d'applicabilité

Ce document liste les mesures retenues, celles écartées et la raison de chaque choix.

Sensibilisation et formation

Les collaborateurs savent ce que la politique de sécurité attend d'eux au quotidien.

Gestion des incidents

Vous traitez les incidents de sécurité selon une procédure et vous en tirez des enseignements.

• Page de la norme ISO 27001

Le besoin vient rarement de la norme elle-même. Il vient d'un client. Un questionnaire fournisseur demande une preuve de sécurité de l'information, un appel d'offres exige un certificat, ou un audit client pointe l'absence de SMSI.

Les entreprises concernées travaillent en général avec des données qui ne leur appartiennent pas : prestataires informatiques et éditeurs de logiciels, fournisseurs de services cloud, prestataires financiers, acteurs du secteur de la santé, boutiques en ligne et toute société qui traite des données clients sensibles. Une PME fribourgeoise de l'un de ces domaines peut avoir ses principaux clients à Berne, à Lausanne ou à Zurich. C'est alors le service achats de ces clients qui pose la question du certificat.

Une entreprise dont les données sont peu exposées n'a souvent pas d'obligation. Elle peut malgré tout choisir la norme pour structurer sa sécurité et répondre plus vite aux questionnaires.

• Les normes ISO pour les PME

La voie classique passe par un organisme de certification qui envoie des auditeurs dans vos locaux. Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site. Il est confirmé chaque année par un court re-audit en ligne.

• Comparer les voies de certification
• Certification sans audit sur site

Zertify est un service en ligne. Nous n'avons pas de bureau à Fribourg et nous ne prétendons pas connaître votre marché local. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission.

Le parcours se déroule en quatre étapes.

1. 01

   Répondre à l'auto-évaluation

   48 questions par oui ou non. Les 13 premières correspondent à des exigences obligatoires de la norme et doivent toutes recevoir un oui.

2. 02

   Atteindre le seuil

   Parmi les 35 autres questions, au moins 24 réponses doivent être positives pour réussir.

3. 03

   Payer et recevoir le certificat

   Aucun compte n'est nécessaire pour commander. Le PDF arrive sous 4 heures après la réussite et le paiement.

4. 04

   Le partager avec vos clients

   Le PDF porte un code QR. Il mène à une page de vérification publique où le certificat se contrôle par son numéro.

• Démarrer l'auto-évaluation gratuite
• Le déroulement en détail
• Voir les prix

Le tarif est de 849 CHF en première année, puis 569 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. Pour les clients en Suisse et au Liechtenstein, la TVA suisse de 8,1 % est comprise.

L'abonnement se renouvelle chaque année de manière automatique. Vous le résiliez à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Le certificat s'arrête alors avec l'année payée.

Si vous visez plusieurs normes, par exemple ISO 9001 en complément, un rabais de 20 % s'applique pour deux normes et de 30 % à partir de trois, également sur la cotisation annuelle.

• Guide sur le coût d'une certification

L'auto-évaluation n'est pas un formulaire à remplir au hasard. Chaque oui doit correspondre à une pratique réelle de votre entreprise, puisque SICE contrôle l'évaluation avant l'émission. Prenez à côté de vous votre politique de sécurité, votre registre des risques et la liste des mesures appliquées.

Si vous n'avez pas encore de déclaration d'applicabilité, établissez-la d'abord. Elle fait partie des exigences de la norme et les questions obligatoires s'y réfèrent. Le test est gratuit et sans inscription : vous voyez où vous en êtes avant de payer quoi que ce soit.

• Tester mon niveau gratuitement