ISO 27017 : sécurité du cloud
ISO 27017 durée : combien de temps faut-il compter ?
Avec un audit sur site par un organisme de certification, le chemin jusqu'au certificat ISO 27017 s'étend sur quelques mois, de 4 à 12 mois selon une fourchette indicative. Avec Zertify, l'auto-évaluation prend environ une heure et le certificat est émis dans les 4 heures après réussite et paiement. Les deux voies sont décrites ci-dessous, phase par phase.
01: Calendrier
Durée de la certification ISO 27017, voie par voie
La durée dépend avant tout de la voie choisie. La voie classique suit un enchaînement fixe : préparation interne, documentation, puis deux audits sur site. La voie Zertify repose sur une auto-évaluation en ligne et supprime les phases intermédiaires.
Le tableau compare les deux calendriers. Les durées de la voie classique sont des fourchettes indicatives : elles varient selon la taille de l'entreprise, le périmètre cloud et l'agenda de l'organisme.
| Phase | Voie classique (indicatif) | Voie Zertify |
|---|---|---|
| Préparation et analyse des écarts | 1 à 3 mois | Lecture des 34 questions, comprise dans l'évaluation |
| Documentation et mesures | 2 à 4 mois | Pas de manuel à rédiger |
| Audit stage 1 | 1 à 2 jours sur site, rapport sous quelques semaines | Non applicable |
| Audit stage 2 | 2 à 5 jours sur site, écarts à corriger ensuite | Non applicable |
| Décision et émission | 2 à 6 semaines | Dans les 4 heures après réussite et paiement |
| Total | 4 à 12 mois environ | Environ une heure d'évaluation, puis le certificat |
02: Voie classique
Les phases d'un audit ISO 27017 avec organisme de certification
Les chiffres suivants sont indicatifs. Un fournisseur SaaS avec un seul environnement cloud avance plus vite qu'un hébergeur qui exploite plusieurs centres de données.
Préparation (1 à 3 mois)
Vous délimitez le périmètre, réalisez l'analyse des risques propre au cloud et mesurez l'écart avec les mesures de la norme. Il faut aussi clarifier qui, du fournisseur ou du client, porte quelle tâche de sécurité.
Documentation (2 à 4 mois)
Vous écrivez les politiques et les procédures : séparation des locataires, accès administrateur, suppression des données clients, réponse aux incidents. Les mesures manquantes sont mises en place à ce stade.
Audit stage 1 (1 à 2 jours)
L'auditeur examine la documentation et vérifie que vous êtes prêt pour le stage 2. Il remet un rapport avec les points à corriger.
Audit stage 2 (2 à 5 jours)
L'auditeur contrôle sur site que les mesures sont réellement appliquées. Chaque écart constaté doit être corrigé avant la décision.
Décision et certificat (2 à 6 semaines)
L'organisme examine le dossier, puis émet le certificat. Des audits de surveillance suivent ensuite pendant la période de validité.
03: Facteurs
Ce qui rallonge ou raccourcit le délai
Deux entreprises du même secteur peuvent se retrouver à six mois d'écart. Les causes sont presque toujours les mêmes.
- Périmètre
- Un seul service SaaS se documente vite. Plusieurs plateformes, régions ou sous-traitants multiplient les procédures et les preuves à fournir.
- Maturité existante
- Si une politique de sécurité de l'information, un registre des risques et un processus d'incidents existent déjà, la préparation raccourcit nettement.
- Disponibilité des responsables
- L'analyse des risques et la répartition des responsabilités demandent des décisions de la direction et de l'informatique. Un agenda chargé retarde chaque phase.
- Agenda de l'organisme
- Les dates d'audit se réservent à l'avance. Un stage 2 manqué ou un écart majeur à corriger ajoute des semaines.
04: Avec Zertify
ISO 27017 avec Zertify : une heure d'évaluation, certificat sous 4 heures
Zertify remplace la chaîne préparation, documentation et audit sur site par une auto-évaluation en ligne. Le questionnaire ISO 27017 compte 34 questions à répondre par oui ou non. Douze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 22 autres, au moins 15 oui sont nécessaires pour réussir.
L'évaluation prend environ une heure. SICE examine chaque évaluation avant l'émission. Une fois l'évaluation réussie et le paiement effectué, le certificat est émis dans les 4 heures par G6 Agency AG, sous licence de SICE. Il porte un numéro et un QR code qui mènent à une page de vérification publique.
Le prix est de 799 CHF la première année, puis 529 CHF par an, réaudit en ligne annuel compris. Le certificat est valable 3 ans. Aucun compte n'est nécessaire pour l'achat.
05: Après l'émission
Combien de temps le certificat reste-t-il valable ?
Le certificat Zertify est valable 3 ans. Chaque année, un court réaudit en ligne confirme que votre situation correspond toujours aux réponses données. Il n'y a pas de nouvelle campagne d'audit sur site à planifier.
L'abonnement annuel se résilie à tout moment dans le compte client, avec effet à la fin de l'année en cours. Si vous résiliez, le certificat prend fin avec l'année payée.
06: Choix
Quelle voie choisir selon votre échéance ?
Un questionnaire fournisseur à renvoyer sous deux semaines, un appel d'offres avec une date de dépôt, une demande du service achats d'un client : dans ces cas, le calendrier décide. Un projet de 4 à 12 mois ne répond pas à une échéance de quelques jours.
Certains clients exigent un audit sur site par un organisme de certification. Dans ce cas, la voie classique s'impose, et il faut planifier plusieurs mois. Pour tous les autres cas, la voie en ligne livre un certificat vérifiable le jour même.
Le guide de comparaison des voies de certification détaille les différences, et celui sur la certification sans audit sur site explique ce que couvre l'auto-évaluation.
07: FAQ
Questions fréquentes sur la durée d'ISO 27017
08: Guide
Pages liées
Connaître votre situation en une heure
Répondez aux 34 questions ISO 27017 et voyez si votre entreprise remplit les conditions du certificat.
Gratuit et sans inscription.