ISO 27017:2015 Sécurité du cloud
ISO 27017 exigences : ce que la norme demande et ce que vous documentez
ISO 27017 reprend les mesures d'ISO 27002 et y ajoute sept mesures propres au cloud. La question centrale reste la même : qui assume quelle tâche de sécurité, du fournisseur ou du client. Cette page présente les exigences dans l'ordre de la norme, avec les documents qu'un auditeur attend.
01: Structure
Comment ISO 27017 est construite
ISO 27017:2015 est un code de bonnes pratiques. Elle ne décrit pas un système de management complet. Elle s'appuie sur ISO 27002, reprend ses chapitres et ajoute pour chacun des conseils adaptés au cloud. À cela s'ajoutent sept mesures supplémentaires, repérées dans l'annexe par le préfixe CLD.
La norme s'adresse aux deux côtés du contrat. Un éditeur SaaS la lit pour savoir ce qu'il doit garantir à ses clients. Une PME qui utilise un service cloud la lit pour savoir ce qu'elle doit exiger de son prestataire, et ce qui reste de son ressort, par exemple la gestion de ses propres comptes utilisateurs.
02: Mesures CLD
Les sept mesures propres au cloud, une par une
Ces sept mesures forment le cœur de ce qui distingue ISO 27017 d'ISO 27002. Chacune se traduit par un document ou une procédure que vous devez pouvoir présenter.
- CLD.6.3.1 Rôles et responsabilités partagés
- Fournisseur et client consignent par écrit qui fait quoi. On documente une matrice des responsabilités, annexée au contrat ou aux conditions de service.
- CLD.8.1.5 Retrait des actifs du client
- À la fin du contrat, les données du client sont restituées puis supprimées. On documente la procédure, le format de restitution et les délais.
- CLD.9.5.1 Séparation dans les environnements virtuels
- Les données d'un client ne sont jamais accessibles à un autre. On documente l'architecture multi-locataires et les contrôles qui garantissent l'isolation.
- CLD.9.5.2 Durcissement des machines virtuelles
- Les machines virtuelles sont configurées au strict nécessaire. On documente les standards de configuration et la désactivation des services inutiles.
- CLD.12.1.5 Sécurité opérationnelle de l'administrateur
- Les actions des administrateurs sont encadrées et tracées. On documente la liste des comptes à privilèges, les règles d'accès et la journalisation.
- CLD.12.4.5 Surveillance des services cloud
- Le client peut contrôler ce qui concerne son usage du service. On documente les journaux mis à disposition et les indicateurs de disponibilité.
- CLD.13.1.4 Alignement des réseaux virtuels et physiques
- La configuration du réseau virtuel suit celle du réseau physique. On documente le schéma réseau et les règles de segmentation.
03: Chapitres ISO 27002
Les chapitres d'ISO 27002 lus pour le cloud
Les chapitres d'ISO 27002 restent applicables. ISO 27017 y ajoute des précisions sur le cloud. Le tableau reprend ceux qui pèsent le plus lors d'une revue.
| Chapitre | Ce que la norme précise pour le cloud | Ce que l'on documente |
|---|---|---|
| 6 Organisation de la sécurité | Répartition des rôles entre fournisseur et client, contact en cas d'incident | Organigramme, matrice des responsabilités |
| 8 Gestion des actifs | Les données et services du client figurent dans l'inventaire | Inventaire, règles de classification |
| 9 Contrôle d'accès | Accès des utilisateurs du cloud, authentification, revue des droits | Politique d'accès, journal des revues |
| 10 Cryptographie | Chiffrement des données stockées et transmises, gestion des clés | Politique de chiffrement, règles de gestion des clés |
| 12 Sécurité d'exploitation | Sauvegardes, journalisation, gestion des changements | Procédure de sauvegarde, journaux, registre des changements |
| 15 Relations avec les fournisseurs | Sous-traitants du fournisseur cloud, chaîne de responsabilité | Contrats, évaluations des prestataires |
| 16 Gestion des incidents | Signalement réciproque entre fournisseur et client | Procédure d'incident, délais d'annonce |
| 18 Conformité | Lieu de stockage des données, preuves pour le client | Registre des exigences légales et contractuelles |
Les chapitres 7, 11, 13, 14achers et 17 s'appliquent aussi. Pour une PME, ils recouvrent des documents souvent déjà en place : charte du personnel, contrôle d'accès aux locaux, règles de développement, plan de continuité.
04: Priorités
Les six points à traiter en premier
Dans une organisation de petite taille, six sujets structurent le travail. Les traiter dans cet ordre évite de rédiger des documents sans lien entre eux.
Analyse des risques propre au cloud
Elle recense les menaces qui découlent de l'hébergement chez un tiers : fuite entre locataires, panne du fournisseur, accès administrateur.
Responsabilité partagée
Chaque tâche de sécurité est attribuée au fournisseur ou au client, par écrit.
Isolation des données
La séparation des locataires est décrite et vérifiable.
Suppression sécurisée
Les données des clients sont effacées à la sortie, selon une procédure connue.
Sécurité de la virtualisation
Hyperviseur, machines virtuelles et réseaux virtuels sont configurés et surveillés.
Réponse aux incidents
La procédure prévoit qui informe qui, et dans quel délai, quand un incident touche des données de clients.
05: Avec Zertify
Vérifier vos exigences ISO 27017 avec Zertify
L'auto-évaluation Zertify compte 34 questions à répondre par oui ou non. Douze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 22 autres, au moins 15 oui sont nécessaires. Le questionnaire sert donc aussi de liste de contrôle : un non signale un document ou une procédure à compléter.
L'évaluation est gratuite. Le certificat est délivré par G6 Agency AG sous licence de SICE, qui revoit chaque évaluation, dans les 4 heures après la réussite et le paiement. Il coûte 799 CHF la première année, puis 529 CHF par an, réaudit en ligne inclus. Un numéro et un code QR permettent à vos clients de le vérifier publiquement. Si votre fournisseur ou votre donneur d'ordre exige aussi ISO 27001, la page dédiée présente cette norme.
06: Questions
Questions fréquentes sur les exigences d'ISO 27017
07: Guide
Pages liées
Testez vos exigences ISO 27017
L'auto-évaluation de 34 questions montre en quelques minutes où vous en êtes.
Gratuit et sans inscription.