Sécurité du cloud
ISO 27017 en ligne : le certificat sans audit sur site
Vous répondez à 34 questions oui/non, vous réglez, et le certificat ISO 27017 vous parvient dans les 4 heures qui suivent la réussite et le paiement. Aucun auditeur ne se déplace dans vos locaux. Chaque certificat se vérifie publiquement avec son numéro et son QR code.
01: Parcours
Comment obtenir un certificat ISO 27017 en ligne, étape par étape
Tout se déroule dans le navigateur. Vous n'avez pas besoin de compte pour acheter, ni de rendez-vous à convenir avec quiconque.
Remplir l'auto-évaluation
34 questions auxquelles on répond par oui ou par non. Le test est gratuit et ne demande pas d'inscription. Vous pouvez l'interrompre et le reprendre.
Atteindre le seuil de réussite
Les 12 exigences obligatoires de la norme doivent toutes recevoir un oui. Parmi les 22 autres questions, il faut au moins 15 réponses positives.
Régler l'abonnement
Le paiement n'intervient qu'une fois l'évaluation réussie. Vous savez donc avant de payer que vous remplissez les conditions.
Recevoir le certificat
Le PDF arrive dans les 4 heures suivant la réussite et le paiement. Il porte un numéro de certificat et un QR code qui mène à la page de vérification.
02: Public concerné
Quelles entreprises ont intérêt à certifier ISO 27017 ?
ISO 27017:2015 est un code de bonnes pratiques qui complète ISO 27001 et ISO 27002 pour les services cloud. Elle s'adresse aussi bien aux fournisseurs qu'aux clients du cloud. La question centrale est toujours la même : qui assume quelle tâche de sécurité, de la séparation des locataires à l'accès administrateur et à la restitution des données.
Côté fournisseurs, la norme concerne les éditeurs de logiciels en mode SaaS, les offres IaaS et PaaS, les hébergeurs, les centres de données et les prestataires de services managés. Côté clients, elle convient aux entreprises qui confient leurs données à des services cloud et qui doivent montrer comment elles encadrent ce recours.
Dans la pratique, la demande vient souvent d'un questionnaire fournisseur ou d'un appel d'offres où le service achats réclame une preuve de sécurité cloud. Un certificat que le donneur d'ordre vérifie lui-même en quelques secondes répond à cette demande.
03: Préparation
Que faut-il préparer avant de commencer ?
L'auto-évaluation ne demande aucun document à téléverser. Elle demande des réponses exactes. Réservez le temps nécessaire à la personne qui connaît réellement votre exploitation cloud, en général la direction informatique ou le responsable de la sécurité, et répondez avec elle.
Les questions tournent autour des thèmes que la norme place au centre. Avant de démarrer, vérifiez que vous pouvez dire où vous en êtes sur chacun d'eux.
- Analyse des risques propre au cloud
- Avez-vous évalué les risques liés à vos services cloud, et non seulement ceux de votre réseau interne ?
- Responsabilité partagée
- Est-il écrit qui, du fournisseur ou du client, s'occupe de quelle mesure de sécurité ?
- Isolation et séparation des locataires
- Les données de chaque client sont-elles séparées de celles des autres dans votre environnement ?
- Suppression des données clients
- Savez-vous comment les données sont effacées de façon sûre lorsqu'un client met fin au contrat ?
- Sécurité de la virtualisation
- Les machines virtuelles et leur couche de gestion sont-elles protégées ?
- Réponse aux incidents dans le cloud
- Une procédure existe-t-elle pour signaler et traiter un incident qui touche un service cloud ?
Si une exigence obligatoire n'est pas remplie, l'évaluation ne passe pas. Vous voyez alors ce qu'il reste à régler et vous pouvez recommencer.
04: Zertify
Qui émet le certificat et sur quelle base ?
Le certificat Zertify repose sur une auto-évaluation en ligne. Il n'y a pas d'audit sur site. Il est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant la délivrance du certificat.
Chaque année, un court re-audit en ligne confirme que les réponses sont toujours valables. Le certificat est valable 3 ans et reste lié à cette confirmation annuelle.
La page de la norme détaille le contenu d'ISO 27017. La page des prix indique les montants. L'auto-évaluation, elle, vous dit en quelques minutes si vous passez.
05: Comparaison
Certificat en ligne ou audit sur site : où se situe la différence ?
Le gain tient à l'absence d'agenda partagé avec un auditeur. Vous répondez quand vous avez le temps, et le certificat suit dans la journée.
| Critère | Zertify en ligne | Voie classique avec audit sur site |
|---|---|---|
| Évaluation | Auto-évaluation de 34 questions, examinée par SICE | Audit sur site par un organisme de certification |
| Démarrage | Immédiat, sans compte ni rendez-vous | Offre, puis planification avec l'auditeur |
| Délai jusqu'au certificat | 4 heures après la réussite et le paiement | Après l'audit et la décision de certification, plusieurs semaines à plusieurs mois (ordre de grandeur indicatif) |
| Coût | Prix annuel publié à l'avance | Devis individuel, souvent plusieurs milliers de francs (ordre de grandeur indicatif) |
| Contrôle par un tiers | Page publique, numéro et QR code | Selon les pratiques de l'organisme |
| Charge interne | Quelques heures pour répondre aux questions | Jours d'audit, entretiens et préparation sur place |
06: Vérification et prix
Comment vérifier le certificat et combien coûte-t-il ?
Chaque certificat figure sur une page de vérification publique. Votre client ou son service achats saisit le numéro, ou scanne le QR code du PDF, et voit immédiatement si le certificat est valide.
Le prix est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, re-audit en ligne annuel inclus. Il s'agit d'un abonnement annuel qui se renouvelle automatiquement. Vous le résiliez à tout moment dans votre espace client, avec effet à la fin de l'année en cours. Dans ce cas, le certificat prend fin avec l'année payée.
Si vous certifiez plusieurs normes, la remise est de 20 % pour 2 normes et de 30 % pour 3 normes ou plus, également sur la redevance annuelle. Pour les clients en Suisse et au Liechtenstein, la TVA suisse de 8,1 % est comprise dans les prix.
07: FAQ
Questions fréquentes sur ISO 27017 en ligne
08: Guide
Pages associées
Savoir en quelques minutes si vous obtenez le certificat ISO 27017
L'auto-évaluation compte 34 questions et vous indique tout de suite si vous atteignez le seuil.
Gratuit et sans inscription.