ISO 27017:2015 Sécurité du cloud
ISO 27017 conseil : à quel moment un consultant est utile, et quand il ne l'est pas
Aucune règle n'impose un consultant pour obtenir un certificat ISO 27017. Il apporte une méthode, mais il se facture à la journée. Avec l'auto-évaluation Zertify, vous répondez en ligne aux exigences de la norme et recevez le certificat sans projet de conseil.
01: Décision
Faut-il un consultant pour ISO 27017 ?
ISO 27017:2015 est un code de bonnes pratiques pour la sécurité des services cloud. Elle complète ISO 27001 et ISO 27002 et s'adresse aux fournisseurs comme aux clients du cloud. Sa question centrale : qui assume quelle tâche de sécurité, de la séparation des locataires à l'accès administrateur et à la restitution des données.
Si votre équipe informatique connaît déjà ses contrats d'hébergement, ses droits d'accès et sa procédure de suppression des données, la plupart des réponses existent. Il s'agit alors de les confronter à la norme, pas de repartir de zéro. Un consultant devient pertinent quand personne en interne ne porte la sécurité du cloud ou quand l'architecture est complexe.
02: Missions
Ce que fait un consultant ISO 27017
Un mandat de conseil suit en général le même fil : état des lieux, correction des écarts, documentation, préparation de l'audit. Voici les missions que l'on retrouve le plus souvent dans une offre.
- Analyse des écarts
- Le consultant compare vos pratiques actuelles aux mesures de la norme et liste ce qui manque.
- Analyse des risques propres au cloud
- Il identifie les risques liés à l'hébergement chez un tiers, à la virtualisation et à la dépendance envers un fournisseur.
- Responsabilité partagée
- Il rédige la répartition des tâches entre fournisseur et client, et la reporte dans les contrats et les conditions de service.
- Isolation et suppression des données
- Il documente la séparation des locataires et la procédure de suppression sécurisée des données clients.
- Réponse aux incidents cloud
- Il adapte la gestion des incidents aux cas propres au cloud : accès administrateur compromis, panne chez l'hébergeur, fuite entre locataires.
- Préparation à l'audit
- Il forme les équipes et simule les questions d'un auditeur.
03: Tarifs
Périmètre et tarifs d'un conseil ISO 27017
Les chiffres ci-dessous sont des ordres de grandeur indicatifs. Ils varient selon la taille de l'entreprise, l'état de votre documentation et le fait que ISO 27001 soit déjà en place ou non. À titre indicatif, les tarifs journaliers de consultants en sécurité de l'information en Suisse se situent entre 1 200 et 2 000 CHF.
Demandez toujours un périmètre écrit et un nombre de jours plafonné. Un mandat ouvert dérive vite, surtout quand il s'ajoute à un projet ISO 27001.
| Mission | Contenu | Durée indicative |
|---|---|---|
| Analyse des écarts | Entretiens, revue des contrats cloud et des accès | 2 à 4 jours |
| Analyse des risques cloud | Inventaire des services, évaluation, plan de traitement | 3 à 6 jours |
| Politiques et responsabilités | Rédaction, adaptation des contrats et des procédures | 3 à 8 jours |
| Formation et préparation | Séance avec les équipes, questions types d'un auditeur | 1 à 3 jours |
Additionnez ces lignes à votre taux journalier : vous obtenez un budget de conseil avant même le premier franc payé à l'organisme de certification.
04: Cas d'usage
Dans quels cas un consultant se justifie
Le conseil a de la valeur dans des situations précises. Hors de celles-ci, il remplace souvent un travail que votre équipe peut faire elle-même.
Architecture multi-locataires complexe
Vous exploitez une plateforme IaaS ou PaaS où la séparation des données clients demande une revue technique approfondie.
Exigence d'audit sur site
Un client ou un appel d'offres impose la voie classique avec un audit sur site par un organisme de certification. Un accompagnement prépare alors cet audit.
Projet ISO 27001 en parallèle
Vous construisez un système de management complet. Le conseil porte alors sur l'ensemble, ISO 27017 n'en est qu'un chapitre.
Aucun responsable sécurité
Personne en interne ne peut répondre aux questions sur les accès administrateur ou la suppression des données.
Si votre client vous demande surtout une preuve écrite de vos mesures cloud dans un questionnaire fournisseur, un conseil lourd n'est pas nécessaire.
05: Zertify
Obtenir le certificat sans projet de conseil
Zertify délivre le certificat à partir d'une auto-évaluation en ligne. Il n'y a pas d'audit sur site. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission.
Le questionnaire compte 34 questions à répondre par oui ou non. Douze correspondent à des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 22 autres, au moins 15 réponses positives sont nécessaires. Le certificat arrive dans les 4 heures après la réussite et le paiement.
Chaque certificat se vérifie publiquement par son numéro et par le code QR du PDF. Un service achats peut donc contrôler le document sans vous écrire. Une courte réévaluation en ligne chaque année confirme que votre situation tient toujours.
Le prix est de 799 CHF la première année, puis 529 CHF par an, réévaluation en ligne incluse. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Une remise de 20 % s'applique pour deux normes, 30 % dès trois, y compris sur la redevance annuelle. Aucun compte n'est nécessaire pour acheter.
06: Préparation
Se préparer seul à l'auto-évaluation
Les exigences clés de la norme se traduisent en tâches concrètes. Rassemblez ces éléments avant de commencer, les questions iront plus vite.
Analyse des risques cloud
Un document, même court, qui nomme vos services cloud et les risques associés.
Répartition des responsabilités
Un tableau indiquant ce qui relève de vous et ce qui relève de l'hébergeur ou du client.
Séparation des locataires
La description technique de l'isolation des données de vos clients.
Suppression des données clients
La procédure écrite de suppression en fin de contrat, avec la personne responsable.
Virtualisation
Les mesures appliquées à vos hyperviseurs et à vos machines virtuelles.
Incidents cloud
Un processus d'alerte qui couvre les pannes et les accès non autorisés chez l'hébergeur.
Si une réponse reste négative, vous savez précisément quelle mesure compléter. Vous pouvez ensuite refaire l'évaluation.
07: FAQ
Questions sur le conseil ISO 27017
08: Guide
Pages associées
Vérifiez où vous en êtes sur ISO 27017
Répondez aux 34 questions en ligne et sachez en quelques minutes si votre sécurité cloud atteint le niveau requis.
Gratuit et sans inscription.