ISO 27001 à Zurich : certificat en ligne, sans audit sur place

ISO 27001:2022 définit comment construire un système de management de la sécurité de l'information (SMSI). Au centre se trouve l'appréciation des risques : elle détermine quelles mesures de l'Annexe A vous mettez en oeuvre, et pourquoi. L'édition 2022 a révisé ces mesures, notamment pour les services cloud, la protection des données et les cyberrisques.

Concrètement, six exigences structurent le travail.

Évaluer les risques

Vous recensez les risques liés à la sécurité de l'information et vous décidez comment les traiter.

Fixer une politique et des objectifs

La direction signe une politique de sécurité et définit des objectifs mesurables.

Appliquer les mesures de l'Annexe A

Vous retenez les mesures adaptées à vos risques : accès, sauvegardes, chiffrement, fournisseurs.

Établir la déclaration d'applicabilité

Ce document liste les mesures retenues, celles écartées et la justification de chaque choix.

Sensibiliser les collaborateurs

Chacun doit connaître les règles qui le concernent et savoir à qui signaler un problème.

Gérer les incidents

Vous consignez les incidents de sécurité et en tirez des corrections concrètes.

• Page de la norme ISO 27001

Zurich est connue comme place financière et comme site de nombreuses entreprises informatiques. Ce sont des branches où la sécurité de l'information se demande par écrit : dans un questionnaire fournisseur, une offre ou un appel d'offres.

Les prestataires informatiques et les éditeurs de logiciels reçoivent ces demandes le plus souvent, car ils administrent les systèmes de leurs clients ou hébergent leurs données. Les fournisseurs de services cloud se retrouvent dans la même situation. Les prestataires financiers et les banques exigent de leurs sous-traitants des garanties documentées. Le secteur de la santé, le e-commerce et les services en ligne manipulent des données clients sensibles et doivent pouvoir le démontrer.

Une petite agence ou une PME de services peut aussi être concernée dès qu'un grand donneur d'ordre l'inscrit dans ses conditions d'achat. Le certificat répond alors à une ligne précise du questionnaire.

• ISO pour les PME

La voie classique passe par un organisme de certification : l'auditeur se déplace dans vos locaux, interroge vos équipes et rend un rapport. La voie Zertify repose sur une auto-évaluation remplie en ligne. Voici les différences pratiques.

• Comparer les voies de certification
• Certification sans audit sur place

Zertify est un service entièrement en ligne et n'a pas de bureau à Zurich. Cela ne change rien pour vous : il n'y a ni rendez-vous ni visite. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission.

Pour réussir, vous devez répondre oui aux 13 questions qui correspondent à des exigences obligatoires de la norme. Parmi les 35 autres questions, au moins 24 réponses oui sont nécessaires. Le seuil protège la valeur du certificat : il se mérite.

Le prix est de 849 CHF la première année, puis 569 CHF par an, audit annuel en ligne inclus. Le certificat est valable 3 ans. Il s'agit d'un abonnement annuel, résiliable à tout moment dans votre compte jusqu'à la fin de l'année en cours ; en cas de résiliation, le certificat prend fin avec l'année payée. La TVA suisse de 8,1 % est comprise pour les clients en Suisse et au Liechtenstein. Aucun compte n'est nécessaire pour acheter.

• ISO 27001 chez Zertify
• Voir les prix
• Lancer l'auto-évaluation gratuite

Le processus tient en cinq étapes. Prévoyez surtout du temps pour la première.

1. 01

   Rassembler vos documents

   Politique de sécurité, résultats de l'appréciation des risques, déclaration d'applicabilité, liste des incidents. Ce que vous n'avez pas encore, il faut le rédiger avant de répondre honnêtement oui.

2. 02

   Répondre aux 48 questions

   L'auto-évaluation est gratuite et sans inscription. Les réponses sont de simples oui ou non.

3. 03

   Réussir le seuil

   Les 13 exigences obligatoires doivent toutes recevoir un oui, avec au moins 24 oui parmi les 35 autres questions.

4. 04

   Payer et laisser SICE examiner

   Après le paiement, SICE contrôle votre évaluation. Le certificat est ensuite émis par G6 Agency AG.

5. 05

   Confirmer chaque année

   Un audit annuel court, en ligne, maintient le certificat valable sur ses 3 ans.

• Le processus en détail

Le certificat se livre en PDF. Il porte un numéro et un QR code qui renvoient à une page de vérification publique. Votre acheteur ou le service achats de votre client contrôle ainsi en quelques secondes que le document est authentique et en cours de validité.

Joignez le PDF à votre offre, citez le numéro dans le questionnaire fournisseur ou transmettez-le avant un audit client. Vous évitez les échanges de courriels pour justifier votre démarche.

Si vous visez aussi d'autres normes, une remise multi-normes s'applique : 20 % pour deux normes, 30 % dès trois, y compris sur la cotisation annuelle.

• Toutes les normes
• Coût d'une certification