ISO 27017:2015 Sécurité du cloud
ISO 27017 checklist : les points à vérifier avant la certification
Cette checklist classe les points de contrôle par chapitre de la norme, de 4 à 10. Pour chaque point, vous voyez la preuve que l'entreprise doit pouvoir montrer. Le test en ligne de Zertify vous donne ensuite un résultat clair.
01: Mode d'emploi
Comment utiliser cette checklist ISO 27017
ISO 27017 complète ISO 27001 et ISO 27002 avec des mesures propres aux services cloud. Elle règle une question centrale : qui assume quelle tâche de sécurité, du fournisseur ou du client. La norme s'adresse aux deux côtés.
Cochez un point seulement si vous pouvez le prouver avec un document, un réglage ou un extrait de journal. Une pratique connue de l'équipe mais écrite nulle part ne compte pas. Le tableau ci-dessous indique où se concentre l'effort selon votre profil.
| Profil | Points à traiter en premier | Preuve à préparer |
|---|---|---|
| Éditeur SaaS | Isolation des locataires, suppression des données, accès administrateur | Schéma d'architecture, procédure de suppression, liste des comptes privilégiés |
| Hébergeur ou centre de données | Sécurité de la virtualisation, séparation des clients, incidents | Procédure de correctifs, rapports de scan, registre d'incidents |
| Prestataire de services managés | Répartition des responsabilités, accès administrateur chez les clients | Matrice de responsabilités, journaux d'accès |
| Entreprise cliente du cloud | Analyse des risques, contrats, restitution des données | Registre des risques, contrats avec les fournisseurs, test d'export |
02: Chapitres 4 à 7
Contexte, direction, planification et ressources
Ces quatre chapitres posent le cadre. Ils sont souvent à moitié couverts dans les entreprises qui ont déjà répondu à un questionnaire fournisseur.
Le périmètre cloud est défini
Vous listez les services cloud que vous fournissez ou utilisez, avec les sites et les sous-traitants. Preuve : inventaire des services et schéma d'architecture.
Les exigences des parties intéressées sont connues
Clients, hébergeur et autorités imposent des exigences de sécurité. Preuve : contrats, accords de niveau de service, questionnaires reçus de vos clients.
La politique de sécurité couvre le cloud
La direction a validé une politique qui mentionne les services cloud. Preuve : document daté et signé, avec numéro de version.
Les rôles sont attribués
Une personne répond de la sécurité de chaque service cloud. Preuve : organigramme ou matrice des rôles.
L'analyse des risques est spécifique au cloud
Elle traite la fuite entre locataires, la dépendance au fournisseur et la perte d'accès aux données. Preuve : registre des risques avec date de dernière révision.
Les risques ont un plan de traitement
Chaque risque retenu a une mesure, un responsable et une échéance. Preuve : plan de traitement ou tickets suivis dans votre outil de projet.
Les administrateurs cloud sont formés
Les personnes qui configurent les environnements connaissent les règles. Preuve : attestations de formation ou procès-verbaux de sensibilisation.
Les documents sont maîtrisés
Les procédures ont un propriétaire et un historique de versions. Preuve : wiki ou dossier partagé avec historique des modifications.
03: Chapitre 8
Exploitation : les mesures de sécurité propres au cloud
C'est ici que ISO 27017 se distingue d'une simple politique de sécurité. Les six points suivants correspondent aux exigences clés de la norme.
La responsabilité partagée est écrite
Vous savez ce que le fournisseur de cloud assure et ce qui reste à votre charge. Preuve : matrice de répartition et clauses du contrat.
Les données des clients sont isolées
Un client ne peut pas voir les données d'un autre. Preuve : description de l'architecture, configuration réseau, résultat d'un test d'isolation.
L'accès administrateur est contrôlé
Les comptes sont nominatifs, protégés par une authentification à plusieurs facteurs et journalisés. Preuve : liste des comptes privilégiés et extraits de journaux.
La virtualisation est sécurisée
Hyperviseurs, images et conteneurs reçoivent leurs correctifs et un durcissement de base. Preuve : procédure de mise à jour et rapports de scan de vulnérabilités.
Les données sont supprimées et restituées en fin de contrat
La suppression est vérifiable et le client peut récupérer ses données. Preuve : procédure écrite, confirmation de suppression, export de test.
Les incidents cloud ont leur procédure
Elle précise qui prévient les clients, dans quel délai et par quel canal. Preuve : procédure, liste de contacts, registre d'incidents ou exercice documenté.
04: Chapitres 9 et 10
Évaluation et amélioration : ce qui prouve que le système vit
Une entreprise peut avoir de bonnes mesures et échouer ici, faute de traces. Les trois points suivants demandent surtout des dates et des comptes rendus.
Les mesures sont surveillées
Journaux, alertes et indicateurs sont relus à intervalle fixe. Preuve : rapports de surveillance ou comptes rendus de revue.
Un audit interne a eu lieu
Quelqu'un a contrôlé l'application des règles, de préférence une personne extérieure à l'équipe technique. Preuve : rapport d'audit interne.
Les écarts sont corrigés
Chaque constat a une action et une date de clôture. Preuve : liste des actions correctives et procès-verbal de revue de direction.
05: Avec Zertify
Transformer la checklist en certificat ISO 27017
L'auto-évaluation de Zertify compte 34 questions à répondre par oui ou non. Douze d'entre elles sont des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 22 autres, au moins 15 oui sont nécessaires. Les points ci-dessus vous préparent à ces questions.
Le certificat est émis par G6 Agency AG sous licence de SICE, qui contrôle chaque évaluation avant l'émission. Il arrive dans les 4 heures après la réussite du test et le paiement. Chaque certificat se vérifie publiquement par son numéro et par le code QR du PDF.
Le prix est de 799 CHF (799 €) la première année, puis 529 CHF (529 €) par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans.
06: FAQ
Questions fréquentes sur la checklist ISO 27017
07: Guide
Pages liées
Mesurez votre niveau ISO 27017
Répondez aux 34 questions en ligne et sachez où vous en êtes.
Gratuit et sans inscription.