ISO 27017 pour la finance
ISO 27017 pour finance : prouver la sécurité de vos services cloud
Banques, gérants de fortune, assureurs et fintech confient des données clients à des services cloud. Le certificat ISO 27017 montre à vos clients et à vos partenaires que vous maîtrisez cette partie de la chaîne. Avec Zertify, vous l'obtenez par auto-évaluation en ligne, sans audit sur site.
01: Demande
Pourquoi la finance se voit demander ISO 27017
Un gérant de fortune utilise une plateforme de portefeuille en SaaS. Une fintech héberge ses applications chez un fournisseur IaaS. Un courtier stocke des dossiers clients dans un espace de documents partagé. Tous confient des données sensibles à un tiers, et leurs clients institutionnels le savent.
La conformité ou le département achats d'une banque ou d'un assureur joint donc une question cloud à son questionnaire fournisseurs. Dans un appel d'offres, une ligne ISO 27017 dans la liste des certificats évite de rédiger plusieurs pages de description technique.
ISO 27017 complète ISO 27001 et ISO 27002. Elle ne traite qu'une question, mais elle la traite à fond : qui assume quelle tâche de sécurité entre le fournisseur cloud et son client.
02: Risques
Quels risques du cloud la norme couvre dans la finance
Les risques du cloud prennent une forme précise dans un établissement financier. Voici ceux que la norme vous oblige à regarder en face.
- Séparation des locataires
- Votre base de clients tourne sur la même infrastructure que celle d'autres entreprises. La norme demande que les données de chaque locataire restent isolées.
- Accès administrateur
- Un prestataire informatique ou le fournisseur cloud dispose de droits étendus sur votre environnement. Qui peut lire les relevés de comptes, et avec quelle trace ?
- Restitution et suppression des données
- Vous changez d'éditeur de logiciel de gestion de portefeuille. Les données doivent revenir chez vous, puis être effacées chez l'ancien fournisseur.
- Virtualisation
- Les environnements de test et de production partagent des serveurs virtuels. Une image mal configurée peut exposer des données réelles.
- Incident chez le fournisseur
- Un fichier d'ordres de paiement est accessible par erreur depuis l'extérieur. Il faut savoir qui prévient qui, et à quelle vitesse.
03: Exigences
Comment une entreprise financière remplit les exigences clés
Le tableau relie chaque exigence à un cas concret et à la pièce que vous montrez en cas de question d'un client ou d'un auditeur.
| Exigence | Exemple en finance | Preuve à conserver |
|---|---|---|
| Analyse des risques spécifique au cloud | Une société de gestion évalue le risque d'héberger sa base clients chez un éditeur SaaS : panne, fuite, fin d'activité du fournisseur | Registre des risques daté, avec le service cloud nommé |
| Responsabilité partagée | Le fournisseur gère l'infrastructure, votre équipe gère les droits des utilisateurs et la configuration | Matrice de responsabilités annexée au contrat |
| Isolation des données | Vous demandez au fournisseur comment les données de votre établissement sont séparées de celles des autres clients | Réponse écrite ou description technique du fournisseur |
| Suppression sécurisée | À la fin du contrat, l'éditeur efface les données clients et le confirme par écrit | Confirmation de suppression signée |
| Sécurité de la virtualisation | Environnements de test et de production séparés, machines virtuelles mises à jour | Liste des environnements, journal des mises à jour |
| Réponse aux incidents cloud | Une procédure indique qui contacte le fournisseur, sous quel délai, et qui informe les clients concernés | Procédure écrite, compte rendu d'un exercice |
04: Préparation
Comment vous préparer avant l'auto-évaluation
Une demi-journée de travail interne suffit souvent pour rassembler ce qu'il faut. Procédez dans cet ordre.
Listez vos services cloud
Notez chaque outil qui touche des données clients : comptabilité, CRM, signature électronique, stockage de documents, plateforme de trading.
Répartissez les responsabilités
Pour chaque service, indiquez ce que le fournisseur assure et ce qui reste chez vous. Un simple tableau suffit.
Relisez les contrats de sortie
Vérifiez que chaque contrat prévoit la restitution puis la suppression des données, avec un délai.
Contrôlez les accès administrateur
Dressez la liste des personnes, chez vous et chez vos prestataires, qui disposent de droits étendus.
Écrivez la procédure d'incident
Une page suffit : contact du fournisseur, responsable interne, règle d'information des clients concernés.
Si vous êtes vous-même fournisseur de services cloud à des clients du secteur financier, ajoutez la description de la manière dont vous séparez leurs données.
05: Zertify
Obtenir le certificat ISO 27017 avec Zertify
Vous répondez en ligne à 34 questions par oui ou non. Douze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 22 autres, il faut au moins 15 réponses positives. Chaque évaluation est examinée par SICE avant l'émission du certificat.
Une fois l'évaluation réussie et le paiement effectué, le certificat arrive dans les 4 heures. G6 Agency AG l'émet sous licence de SICE. Le PDF porte un numéro et un code QR : votre client ou votre service achats ouvre la page de vérification publique et contrôle l'authenticité en quelques secondes.
Le prix est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement se renouvelle chaque année et se résilie à tout moment dans votre espace client, jusqu'à la fin de l'année en cours. Deux normes donnent 20 % de rabais, trois ou plus 30 %, y compris sur la redevance annuelle. Les prix incluent la TVA suisse de 8,1 % pour la Suisse et le Liechtenstein. Aucun compte n'est nécessaire pour acheter.
06: Comparaison
Auto-évaluation en ligne ou audit sur site : que choisir ?
La voie classique passe par un audit sur site mené par un organisme de certification. Elle convient si un client impose expressément cette forme de contrôle ou si votre établissement veut un audit physique de ses locaux.
Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site. Il est confirmé chaque année par un court re-audit en ligne et se vérifie publiquement. Pour un questionnaire fournisseurs ou un appel d'offres qui demande simplement un certificat ISO 27017 vérifiable, cette voie suffit à répondre dans la journée.
Le guide ci-dessous compare les deux routes point par point. Lisez-le avant de décider si un client précis exige l'une ou l'autre.
07: FAQ
Questions fréquentes sur ISO 27017 pour la finance
08: Guide
Pages associées
Testez votre niveau ISO 27017 en quelques minutes
Répondez aux 34 questions en ligne et sachez tout de suite si votre entreprise financière remplit les exigences.
Gratuit et sans inscription.