ISO 27001 à Zoug : le certificat sans audit sur site

Le canton de Zoug abrite des sociétés de services, de finance, de négoce et de technologie, dont beaucoup travaillent avec des clients à l'étranger. Ces clients envoient des questionnaires fournisseurs et veulent savoir comment vos données et les leurs sont protégées. ISO 27001 est une réponse largement reconnue à cette question.

Les profils suivants sont les plus concernés. Il s'agit de types d'activité, pas d'une liste d'entreprises.

Prestataires informatiques et éditeurs de logiciels

Le service des achats d'un grand client réclame le certificat dans le questionnaire fournisseur ou l'appel d'offres.

Fournisseurs de services cloud

Vous hébergez des données de tiers. Vos clients veulent une preuve qu'un système de management encadre cet hébergement.

Prestataires financiers et banques

Vos clients et vos partenaires examinent la manière dont vous gérez les accès, les incidents et les prestataires.

Secteur de la santé

Les données de patients exigent des règles claires de confidentialité et de conservation.

E-commerce et services en ligne

Paiements, comptes clients et historiques de commandes sont des cibles directes pour les attaques.

Entreprises traitant des données clients sensibles

Fiduciaires, conseil, juridique : si un client vous confie des documents confidentiels, il peut demander une preuve de vos mesures.

• ISO pour les petites et moyennes entreprises

ISO 27001:2022 décrit comment construire un système de management de la sécurité de l'information (SMSI). Au centre se trouve l'appréciation des risques : elle détermine quelles mesures de l'Annexe A vous appliquez et pourquoi. L'édition 2022 a révisé ces mesures, notamment pour les services cloud, la protection des données et les cyberrisques.

1. 01

   Évaluer les risques

   Vous identifiez ce qui peut menacer vos informations et vous le documentez (chapitre 6, Planification).

2. 02

   Définir une politique et des objectifs

   La direction fixe le cadre et s'engage à le respecter (chapitre 5, Leadership).

3. 03

   Mettre en œuvre les mesures de l'Annexe A

   Vous retenez les mesures adaptées à vos risques et vous les appliquez.

4. 04

   Établir la déclaration d'applicabilité

   La DdA liste les mesures retenues, celles écartées et la raison de chaque choix.

5. 05

   Sensibiliser et former les collaborateurs

   Chacun sait ce qu'on attend de lui (chapitre 7, Support).

6. 06

   Gérer les incidents et en tirer les enseignements

   Vous traitez chaque incident et vous améliorez vos mesures (chapitre 10, Amélioration).

La voie classique passe par un organisme de certification dont les auditeurs viennent dans vos locaux. Elle convient à ceux qui veulent ce format. La voie en ligne remplace la visite par une auto-évaluation structurée, contrôlée avant l'émission du certificat.

• Comparer les voies de certification
• Certification sans audit sur site

Zertify est un service en ligne. Il n'a pas de bureau à Zoug et n'en a pas besoin : l'auto-évaluation, l'examen, le paiement et la remise du certificat se font à distance. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission.

Le prix est de 849 CHF la première année, puis de 569 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement est annuel et se résilie à tout moment dans votre compte client, pour la fin de l'année en cours ; le certificat prend alors fin avec l'année payée. La TVA suisse de 8,1 % est comprise. Vous pouvez acheter sans créer de compte.

Si vous visez plusieurs normes, une remise de 20 % s'applique pour deux normes et de 30 % pour trois ou plus, aussi sur la cotisation annuelle.

• Page de la norme ISO 27001
• Voir les prix
• Démarrer l'auto-évaluation gratuite

Pour réussir, les 13 questions qui reprennent des exigences obligatoires de la norme doivent toutes recevoir un oui. Parmi les 35 autres questions, il faut au moins 24 réponses positives.

1. 01

   Rassembler vos documents

   Gardez sous la main votre politique de sécurité, votre appréciation des risques et votre déclaration d'applicabilité.

2. 02

   Répondre aux 48 questions

   L'auto-évaluation est gratuite et ne demande pas d'inscription. Vous voyez immédiatement où il manque quelque chose.

3. 03

   Régler l'abonnement

   Une fois le seuil atteint, vous payez en ligne. SICE examine votre évaluation avant l'émission.

4. 04

   Recevoir le certificat

   Le PDF porte un numéro et un QR code. Joignez-le à votre prochaine offre ou à votre réponse au questionnaire fournisseur.

Chaque certificat Zertify peut être contrôlé sur une page de vérification publique, au moyen du numéro ou du QR code. Votre client ou son service des achats n'a donc pas besoin de vous écrire pour s'assurer qu'il est authentique.

Le certificat est valable 3 ans et confirmé chaque année par un court re-audit en ligne, compris dans la cotisation annuelle.

• Le déroulement en détail