ISO 27001:2022 Management de la sécurité de l'information
ISO 27001 pour entreprises de services
Un client vous envoie un questionnaire de sécurité, ou un appel d'offres demande une preuve. Avec Zertify, vous répondez à 48 questions en ligne et recevez le certificat ISO 27001:2022 dans les 4 heures après réussite et paiement.
01: Demande du marché
Pourquoi vos clients demandent l'ISO 27001
Une entreprise de services travaille avec les données de ses clients : contrats, listes de salaires, dossiers de candidats, comptes d'accès, documents stratégiques. Le client confie ces informations à un prestataire externe et veut savoir comment elles sont protégées.
Le service achats le formalise dans un questionnaire fournisseur. Les appels d'offres de grandes entreprises et d'administrations contiennent souvent une ligne sur la sécurité de l'information. Sans réponse documentée, votre offre perd des points ou n'est pas examinée.
Un certificat ISO 27001 remplace des dizaines de réponses individuelles par un document. L'acheteur le vérifie sur une page publique avec le numéro ou le QR code du PDF, sans vous écrire.
02: Risques
Quels risques la norme couvre dans une entreprise de services
ISO 27001:2022 construit un système de management de la sécurité de l'information (SMSI) autour de l'appréciation des risques. Vous ne copiez pas une liste de mesures : vous identifiez ce qui menace vos informations, puis vous choisissez les mesures de l'Annexe A qui y répondent. Voici les points qui reviennent le plus dans les sociétés de services.
- Données clients dans la messagerie et les espaces de partage
- Un devis, un décompte ou un contrat circule par e-mail et reste stocké chez plusieurs collaborateurs. Le risque : un envoi au mauvais destinataire ou un accès resté ouvert après la fin du mandat.
- Postes nomades et télétravail
- Les consultants travaillent chez le client, dans le train ou à domicile. Un ordinateur portable perdu ou non chiffré expose tous les dossiers qu'il contient.
- Freelances et sous-traitants
- Des indépendants reçoivent un accès temporaire au système de gestion de projets ou au CRM. Sans règle de retrait, l'accès dure souvent plus longtemps que la mission.
- Outils en ligne multiples
- Comptabilité, gestion du temps, visioconférence, stockage : chaque outil SaaS détient une part des données clients. L'entreprise doit savoir lesquels elle utilise et qui les administre.
- Arrivées et départs de collaborateurs
- Un compte non désactivé après un départ, ou un nouvel arrivant avec trop de droits, constitue une faille que les clients critiquent régulièrement lors d'audits.
03: Exigences
Les exigences clés, appliquées à un cabinet ou une agence
La norme suit la structure commune des normes de management : contexte (clause 4), leadership (5), planification (6), support (7), réalisation (8), évaluation des performances (9) et amélioration (10). Le tableau montre comment une petite société de services traduit les exigences principales en actes.
| Exigence | Exemple concret |
|---|---|
| Évaluer les risques | Un cabinet de conseil recense où se trouvent les dossiers clients (messagerie, espace de partage, portables) et estime la probabilité et l'impact d'une fuite ou d'une perte. |
| Politique et objectifs de sécurité | Une politique de deux pages signée par la direction, avec un objectif mesurable, par exemple retirer les accès d'un collaborateur sortant le jour de son départ. |
| Mesures de l'Annexe A | Authentification à deux facteurs sur la messagerie et les outils métier, chiffrement des disques des portables, sauvegardes dont la restauration a été testée. |
| Déclaration d'applicabilité | Une liste des mesures retenues ou écartées, avec la raison. Une agence sans serveur propre justifie ainsi pourquoi certaines mesures liées aux locaux techniques ne s'appliquent pas. |
| Sensibilisation et formation | Une séance pour chaque nouvel arrivant et un rappel annuel sur l'hameçonnage, avec liste de présence. |
| Gestion des incidents | Un registre où l'on note un document envoyé au mauvais destinataire, la décision prise et la correction apportée. |
04: Préparation
Préparer la certification en cinq étapes
Une société de services de dix à cent personnes n'a pas besoin d'un projet de plusieurs mois. Elle a besoin d'un état des lieux honnête et de quelques décisions de la direction.
Dresser l'inventaire des informations
Notez où sont stockées les données clients, qui y accède et avec quels outils.
Évaluer les risques
Pour chaque ensemble de données, estimez ce qui pourrait mal tourner et ce que cela coûterait à vos clients et à vous.
Fixer la politique et les responsabilités
Désignez une personne responsable de la sécurité de l'information et faites valider la politique par la direction.
Mettre en place les mesures manquantes
Activez la double authentification, chiffrez les portables, formalisez le retrait des accès, rédigez la déclaration d'applicabilité.
Répondre à l'auto-évaluation
Répondez aux questions selon l'état réel de votre entreprise. Les réponses doivent correspondre à ce que vous pratiquez.
05: Avec Zertify
Obtenir le certificat ISO 27001 avec Zertify
Le parcours commence par une auto-évaluation en ligne de 48 questions auxquelles on répond par oui ou non. Treize d'entre elles sont des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 35 autres questions, au moins 24 oui sont nécessaires. Il n'y a pas d'audit sur place.
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Une fois l'évaluation réussie et le paiement effectué, vous recevez le certificat dans les 4 heures, sous forme de PDF avec numéro et QR code. Chaque certificat est vérifiable publiquement.
Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF (569 €) par an, ré-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment dans votre espace client, avec effet à la fin de l'année en cours. Dans ce cas, le certificat prend fin avec l'année payée. Vous pouvez acheter sans créer de compte.
Si vous visez aussi une autre norme, une remise de 20 % s'applique pour deux normes et de 30 % pour trois ou plus, y compris sur la redevance annuelle. Pour la Suisse et le Liechtenstein, la TVA de 8,1 % est comprise dans les prix.
06: Comparaison
Certificat en ligne ou audit sur place par un organisme de certification ?
La voie classique passe par un audit sur place réalisé par un organisme de certification. Elle convient si un client ou un appel d'offres l'exige expressément dans ses conditions. Elle demande en général plus de temps de préparation et plus de coordination interne.
Le certificat Zertify repose sur une auto-évaluation en ligne, examinée par SICE, et il est confirmé chaque année par un court ré-audit en ligne. Il répond aux besoins des entreprises qui doivent prouver rapidement leur démarche de sécurité à un client. Lisez les exigences de votre client avant de choisir : c'est lui qui décide de ce qu'il accepte.
07: FAQ
Questions fréquentes sur l'ISO 27001 pour entreprises de services
08: Guide
Pages liées
Vérifiez où en est votre entreprise de services
L'auto-évaluation ISO 27001 compte 48 questions et vous montre tout de suite quelles exigences sont remplies.
Gratuit et sans inscription.