ISO 27001 à Genève : le certificat sans audit sur site

ISO 27001:2022 définit comment construire un système de management de la sécurité de l'information (SMSI). Au centre se trouve l'appréciation des risques : elle détermine quelles mesures de l'Annexe A vous mettez en oeuvre et pourquoi. L'édition 2022 a révisé ces mesures, notamment pour les services cloud, la protection des données et les cyberrisques.

Chez Zertify, tout se passe dans votre navigateur. Vous ouvrez l'auto-évaluation, vous répondez, vous recevez le certificat au format PDF. Zertify est un service en ligne sans bureau à Genève. Que votre siège soit à Genève, à Carouge ou ailleurs en Suisse, le déroulement est identique et personne ne vient dans vos locaux.

• La norme ISO 27001 en détail

La région genevoise compte des établissements financiers, des sociétés de négoce, des prestataires informatiques, des acteurs de la santé et des commerces en ligne. Beaucoup de ces entreprises manipulent des données sensibles pour le compte de tiers.

La demande arrive en général par un client : un questionnaire fournisseur, un appel d'offres, un audit client ou un service achats qui réclame une preuve. Voici les profils les plus concernés par cette norme.

Prestataires informatiques et éditeurs de logiciels

Vos clients vous confient leurs systèmes ou leurs données et veulent savoir comment vous les protégez.

Fournisseurs de services cloud

L'édition 2022 a revu les mesures liées au cloud. Le certificat répond directement aux questions de sécurité des acheteurs.

Prestataires financiers et banques

Les établissements exigent de plus en plus de leurs sous-traitants une preuve d'organisation en matière de sécurité.

Secteur de la santé

Les données de patients appellent des règles d'accès, de conservation et de gestion des incidents documentées.

E-commerce et services en ligne

Fichiers clients, paiements, comptes utilisateurs : le certificat montre que ces données sont traitées dans un cadre défini.

La voie classique repose sur un audit sur site par un organisme de certification. Elle demande de convenir de dates, d'accueillir les auditeurs et de mobiliser plusieurs personnes pendant la visite. La voie Zertify repose sur une auto-évaluation en ligne contrôlée par SICE.

• Comparer les voies de certification
• Certification sans audit sur site

Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Chaque certificat peut être vérifié publiquement par son numéro ou en scannant le QR code du PDF.

Le prix est de 849 CHF la première année, puis de 569 CHF par an, re-audit en ligne annuel compris. Le certificat est valable 3 ans. L'abonnement annuel est résiliable à tout moment dans votre compte client, avec effet à la fin de l'année en cours. En cas de résiliation, le certificat prend fin avec l'année payée. Pour les clients en Suisse, la TVA de 8,1 % est comprise dans les prix. Si vous visez deux normes, un rabais de 20 % s'applique, et de 30 % à partir de trois, aussi sur la redevance annuelle. Aucun compte n'est nécessaire pour acheter.

• Page ISO 27001
• Voir les prix
• Démarrer l'auto-évaluation gratuite

Le parcours tient en cinq étapes. Chacune se fait en ligne.

1. 01

   Répondre à l'auto-évaluation

   48 questions oui ou non sur votre organisation de la sécurité de l'information. L'évaluation est gratuite et ne demande pas d'inscription.

2. 02

   Atteindre les critères de réussite

   Sur les 48 questions, 13 reprennent des exigences obligatoires de la norme : toutes doivent recevoir la réponse oui. Parmi les 35 autres, il faut au moins 24 réponses oui.

3. 03

   Passer à la commande

   Une fois l'évaluation réussie, vous réglez la première année. SICE examine votre évaluation avant l'émission.

4. 04

   Recevoir le certificat

   Le certificat vous parvient dans les 4 heures après la réussite et le paiement, au format PDF avec numéro et QR code.

5. 05

   Confirmer chaque année

   Un court re-audit en ligne confirme chaque année que votre situation correspond toujours aux réponses données.

• Le déroulement en détail

Les questions suivent les exigences clés de la norme. Une réponse non sur l'une des 13 exigences obligatoires empêche la réussite, il vaut donc mieux préparer ces points avant de commencer.

Appréciation des risques

Vous avez identifié et évalué les risques liés à la sécurité de l'information. Ce travail relève du chapitre 6, Planification.

Politique et objectifs

Une politique de sécurité et des objectifs sont définis, approuvés par la direction (chapitre 5, Leadership).

Mesures de l'Annexe A et déclaration d'applicabilité

Vous avez choisi vos mesures en fonction des risques et consigné dans la DdA lesquelles s'appliquent et pourquoi.

Sensibilisation et formation

Vos collaborateurs savent quelles règles s'appliquent à eux (chapitre 7, Support).

Gestion des incidents

Vous savez comment signaler, traiter et analyser un incident de sécurité, puis en tirer des améliorations (chapitre 10).

• ISO pour les PME