ISO 27001:2022 pour le secteur informatique
ISO 27001 pour informatique : le certificat que vos clients demandent
Questionnaires fournisseurs, appels d'offres, audits clients : la même question revient, avez-vous un certificat ISO 27001 ? Chez Zertify, vous répondez en ligne à 48 questions sur votre gestion de la sécurité de l'information. Le certificat ISO 27001:2022 est émis dans les 4 heures après réussite et paiement.
01: Demande clients
Pourquoi vos clients exigent ISO 27001 d'un prestataire informatique
Une entreprise informatique touche à ce que ses clients ont de plus sensible : bases de données, serveurs, code source, identifiants d'administration. Le service achats d'un client ne peut pas contrôler vos pratiques lui-même. Il demande donc un justificatif.
Ce justificatif est réclamé à trois endroits. Dans le questionnaire fournisseur, où une case demande si vous êtes certifié ISO 27001 et sous quel numéro. Dans l'appel d'offres, où le certificat peut être une condition de participation ou rapporter des points. Lors de l'audit client, où il abrège la discussion sur vos mesures de base.
La norme répond à ces demandes parce qu'elle décrit une méthode et non un produit. ISO 27001:2022 définit comment construire un système de management de la sécurité de l'information (SMSI), avec l'appréciation des risques au centre. Un éditeur de logiciels et un hébergeur n'ont pas les mêmes risques, la méthode s'applique aux deux.
02: Risques du secteur
Quels risques propres à l'informatique la norme couvre-t-elle ?
L'appréciation des risques part de vos activités réelles. Pour une entreprise informatique, certaines situations reviennent presque toujours.
- Accès privilégiés
- Comptes d'administrateur sur les systèmes des clients, mots de passe partagés dans l'équipe, accès jamais supprimés après le départ d'un collaborateur.
- Développement et mise en production
- Déploiement sans relecture, secrets d'accès oubliés dans le dépôt de code, environnement de test alimenté avec des données réelles de clients.
- Sauvegardes et reprise
- Une sauvegarde qui tourne chaque nuit mais n'a jamais été restaurée en test. Personne ne sait combien de temps prendrait une reprise.
- Sous-traitants et services cloud
- Hébergeur, outil de tickets en ligne, développeurs externes : chacun voit une partie des données de vos clients et doit être évalué.
- Correctifs et vulnérabilités
- Serveurs et postes qui attendent des mises à jour pendant des semaines, faute de responsable désigné.
- Télémaintenance
- Connexion à distance sur le poste d'un client pour résoudre un incident, sans trace de qui s'est connecté et pourquoi.
Pour chacune de ces situations, vous évaluez la probabilité et l'impact, puis vous choisissez une mesure de l'Annexe A ou vous justifiez qu'elle ne s'applique pas. Ce choix figure dans la déclaration d'applicabilité.
03: Exigences clés
Comment une entreprise informatique remplit les exigences de la norme
Les exigences sont les mêmes pour tous les secteurs. Ce qui change, ce sont les exemples concrets que vous en donnez.
Évaluer les risques
Vous listez vos actifs : serveurs, dépôts de code, comptes cloud, données clients. Vous notez les menaces et décidez quels risques vous traitez en premier.
Définir une politique et des objectifs
Une politique de sécurité de deux pages signée par la direction, avec des objectifs mesurables, par exemple un délai maximal pour installer les correctifs critiques.
Mettre en oeuvre les mesures de l'Annexe A
Authentification à deux facteurs sur les accès d'administration, journalisation des connexions, revue de code avant mise en production, chiffrement des sauvegardes.
Établir la déclaration d'applicabilité
Un tableau qui reprend les mesures de l'Annexe A, indique lesquelles vous appliquez et pourquoi. Il découle directement de votre appréciation des risques.
Sensibiliser et former
Une courte formation à l'arrivée de chaque collaborateur et un rappel annuel sur l'hameçonnage, la gestion des mots de passe et le traitement des données clients.
Gérer les incidents et en tirer les enseignements
Une procédure qui dit qui est alerté, qui décide et qui informe le client. Après chaque incident, une courte analyse et une mesure corrective consignée.
04: Avec Zertify
Obtenir le certificat ISO 27001 en ligne avec Zertify
Vous répondez à 48 questions par oui ou non. 13 d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 35 autres, au moins 24 oui sont nécessaires. Si une exigence obligatoire manque, vous voyez laquelle avant de poursuivre.
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur site : le certificat repose sur votre auto-évaluation en ligne et une courte réévaluation en ligne chaque année. Chaque certificat porte un numéro et un QR code qui mènent à une page de vérification publique.
Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF (569 €) par an, réévaluation en ligne incluse. Le certificat est valable 3 ans. L'abonnement est annuel et résiliable à tout moment pour la fin de l'année en cours, dans votre compte client. Si vous résiliez, le certificat prend fin avec l'année payée. Pour deux normes, vous bénéficiez de 20 % de remise, pour trois ou plus de 30 %, aussi sur la cotisation annuelle. Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein. Aucun compte n'est nécessaire pour acheter.
Si votre client exige expressément un audit sur site par un organisme de certification, lisez d'abord la comparaison des deux voies.
05: Dans la pratique
Où présenter votre certificat ISO 27001 ?
Le certificat sert surtout dans quatre situations. Le tableau indique ce que le client demande et ce que vous lui remettez.
| Situation | Ce que le client demande | Ce que vous présentez |
|---|---|---|
| Questionnaire fournisseur | Statut de certification et numéro du certificat | Le PDF du certificat avec son QR code et le lien vers la page de vérification |
| Appel d'offres | Preuve d'un SMSI en place | Le certificat, et la déclaration d'applicabilité si l'acheteur la demande |
| Audit client | Politique de sécurité, gestion des incidents, droits d'accès | Votre politique, le registre des incidents, la liste des accès à jour |
| Renouvellement de contrat | Preuve que la certification est toujours en cours | La page de vérification publique et la confirmation de la réévaluation annuelle |
Lisez le cahier des charges avant de répondre : certains acheteurs précisent le type de certificat attendu. Pour une PME qui vend ses services à des entreprises plus grandes, le guide ci-dessous détaille la marche à suivre.
06: FAQ
Questions fréquentes sur ISO 27001 pour l'informatique
07: Guide
Pages liées
Savoir où en est votre SMSI
Répondez aux 48 questions de l'auto-évaluation ISO 27001 et voyez en quelques minutes si votre entreprise remplit les exigences.
Gratuit et sans inscription.