ISO 27001:2022 pour l'immobilier
ISO 27001 pour immobilier : le certificat que demandent propriétaires et partenaires
Régie, gérance, promoteur ou courtier : vous détenez des dossiers de locataires, des coordonnées bancaires et des plans. ISO 27001:2022 montre que vous protégez ces données selon une méthode reconnue. Avec Zertify, vous passez une auto-évaluation en ligne et recevez le certificat dans les 4 heures suivant la réussite et le paiement.
01: Demande
Pourquoi l'on vous demande une certification ISO 27001 dans l'immobilier
Une régie conserve des copies de pièces d'identité, des extraits de poursuites, des contrats de bail et des IBAN. Un promoteur gère les données des acquéreurs, les offres et les plans de projets en cours. Ce sont des informations que personne ne souhaite voir circuler.
Le service achats d'un propriétaire institutionnel, d'une banque ou d'un grand maître d'ouvrage envoie de plus en plus un questionnaire fournisseur sur la sécurité de l'information. Les mêmes questions reviennent dans les appels d'offres pour des mandats de gérance. Répondre par un certificat vérifiable évite de remplir chaque fois vingt pages de déclarations.
ISO 27001:2022 définit comment construire un système de management de la sécurité de l'information (SMSI). Au centre se trouve l'appréciation des risques : elle détermine quelles mesures de l'Annexe A vous appliquez, et pourquoi.
02: Risques
Quels processus de l'immobilier la norme couvre-t-elle ?
La norme ne prescrit pas un outil. Elle vous demande d'examiner vos propres processus et de traiter les risques qui comptent. Dans l'immobilier, ils se concentrent sur quelques activités.
| Processus | Données concernées | Risque typique | Réponse de la norme |
|---|---|---|---|
| Location et sélection des candidats | Dossiers de candidature, pièces d'identité, extraits de poursuites | Envoi par e-mail non protégé, conservation sans limite de durée | Règles de conservation et de suppression, accès réservé aux collaborateurs concernés |
| Conciergerie et gestion technique | Clés, codes d'accès, plans des immeubles | Accès conservés par d'anciens prestataires | Gestion des accès, retrait des droits à la fin du mandat |
| Comptabilité locative et décomptes | IBAN, loyers, soldes de charges | Faux e-mail demandant de changer un IBAN | Contrôle des modifications de coordonnées, sensibilisation du personnel |
| Visites et vente | Données des acquéreurs, offres reçues | Fuite d'une offre confidentielle | Classification des informations, engagements de confidentialité |
| Logiciels métier en ligne | Base de gérance, archives de documents | Perte de données ou panne chez le fournisseur | Évaluation des fournisseurs, sauvegardes testées |
03: Exigences
Comment une entreprise immobilière remplit les exigences clés
Les exigences suivent la structure commune des normes ISO, du contexte (chapitre 4) à l'amélioration (chapitre 10). Voici ce qu'elles donnent concrètement dans une gérance de taille moyenne.
Évaluer les risques
Vous listez vos actifs d'information, par exemple le dossier de candidature d'un locataire ou le fichier des propriétaires, puis vous notez ce qui pourrait mal tourner et avec quelle gravité.
Définir politique et objectifs
Une politique de deux pages signée par la direction suffit : qui accède à quoi, comment on transmet un dossier, combien de temps on le garde. Un objectif mesurable peut être zéro dossier envoyé sans protection.
Mettre en oeuvre les mesures de l'Annexe A
Authentification renforcée sur le logiciel de gérance, appareils mobiles des collaborateurs protégés, sauvegardes, boîtes à clés et codes d'immeubles gérés par un registre.
Établir la déclaration d'applicabilité
Pour chaque mesure de l'Annexe A, vous notez si elle s'applique et pourquoi. Une régie sans développement logiciel peut justifier d'écarter les mesures qui concernent le code source.
Sensibiliser et former
Les gestionnaires et le secrétariat apprennent à reconnaître un faux e-mail de changement d'IBAN ou une demande de documents émanant d'un tiers non autorisé.
Gérer les incidents
Un ordinateur portable perdu pendant une visite ou un dossier envoyé au mauvais destinataire est consigné, traité, puis la règle est corrigée.
04: Vocabulaire
Les termes de la norme appliqués à une régie
Le jargon de l'ISO 27001 paraît abstrait tant qu'on ne l'associe pas à votre quotidien. Cinq termes reviennent dans chaque audit.
- Actif d'information
- Toute information qui a de la valeur pour vous : le fichier des locataires, les décomptes de chauffage, les plans d'un immeuble en transformation.
- Appréciation des risques
- L'analyse écrite des menaces qui pèsent sur ces actifs. Exemple : la probabilité qu'un ancien concierge utilise encore un code d'accès.
- Déclaration d'applicabilité
- Le tableau qui indique, mesure par mesure, ce que vous appliquez et ce que vous écartez, avec la raison.
- Contrôle d'accès
- La règle qui décide qui ouvre quoi, des dossiers numériques aux locaux techniques, y compris pour les artisans mandatés.
- Incident de sécurité
- Tout événement qui met une information en danger : une clé USB égarée, un compte de messagerie piraté, un document de bail transmis à la mauvaise personne.
05: Zertify
Obtenir l'ISO 27001 avec Zertify
Le certificat repose sur une auto-évaluation en ligne, sans audit sur site. Elle compte 48 questions auxquelles vous répondez par oui ou non. Treize d'entre elles correspondent à des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 35 autres, au moins 24 oui sont nécessaires pour réussir.
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Vous recevez le PDF dans les 4 heures suivant la réussite et le paiement. Un numéro et un QR code permettent à n'importe quel donneur d'ordre de le contrôler sur la page de vérification publique.
Le prix est de 849 CHF la première année, puis de 569 CHF par an, re-audit en ligne compris. Le certificat est valable 3 ans et confirmé chaque année par un court re-audit en ligne. L'abonnement se résilie à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Si vous le résiliez, le certificat prend fin avec l'année payée. Un compte n'est pas nécessaire pour l'achat. Pour deux normes, le rabais est de 20 %, et de 30 % dès trois normes, y compris sur la cotisation annuelle.
La voie classique, avec un audit sur site par un organisme de certification, reste une option. Le guide de comparaison vous aide à choisir selon ce que vos clients exigent.
06: FAQ
Questions fréquentes sur l'ISO 27001 pour l'immobilier
07: Guide
Pages liées
Vérifiez où en est votre sécurité de l'information
L'auto-évaluation ISO 27001 prend quelques minutes et montre ce qu'il vous reste à documenter.
Gratuit et sans inscription.