ISO 27017:2015 Sécurité du cloud
ISO 27017 pour informatique : montrer qui protège quoi dans le cloud
Dès que les données d'un client passent par votre service cloud, il veut savoir qui assume quelle tâche de sécurité. ISO 27017 donne un cadre reconnu pour y répondre. Avec Zertify, vous obtenez le certificat par une auto-évaluation en ligne, sans audit sur site.
01: Demande client
Pourquoi vos clients demandent ISO 27017
Dans un questionnaire fournisseur, la ligne sur la sécurité du cloud suit de près celle sur ISO 27001. Le service achats attend une réponse vérifiable, pas un texte libre. Un certificat avec numéro et code QR se joint au questionnaire et clôt la question.
Les appels d'offres informatiques suivent la même logique. Un éditeur SaaS, un hébergeur ou un prestataire de services managés traite des données qui appartiennent à ses clients. Ces clients doivent pouvoir montrer, lors de leur propre audit client, que leur fournisseur cloud a des règles écrites et appliquées. Sans pièce justificative, la discussion se déplace dans des réunions et des annexes de contrat.
Les revendeurs et les intégrateurs posent la même question avant de reprendre votre solution dans leur offre.
02: Contenu de la norme
Ce que la norme règle dans une entreprise informatique
ISO 27017:2015 complète ISO 27001 et ISO 27002 avec des mesures propres aux services cloud. Elle s'adresse au fournisseur comme au client du cloud. Six notions reviennent dans presque toutes les discussions avec un client.
- Responsabilité partagée
- Votre contrat SaaS indique que vous gérez l'application et les sauvegardes, et que le client gère ses comptes utilisateurs et leurs droits.
- Séparation des locataires
- Deux clients sur la même plateforme ne voient jamais les données de l'autre, ni dans la base, ni dans les journaux, ni dans les exports.
- Accès administrateur
- Vos ingénieurs d'exploitation entrent en production avec des comptes nominatifs et une authentification forte. Chaque action est journalisée.
- Virtualisation
- Les images de machines virtuelles et les conteneurs sont durcis et mis à jour. La console de gestion reste séparée du réseau des clients.
- Restitution et suppression des données
- À la fin d'un contrat, le client récupère ses données dans un format exploitable. Vous les supprimez ensuite, sauvegardes comprises, et vous le confirmez par écrit.
- Incident cloud
- Une fuite qui touche un seul locataire déclenche une procédure : qui prévient le client, avec quelles informations et par quel canal.
03: Exigences
Les exigences clés, appliquées à un service cloud
Le tableau relie chaque exigence à ce qu'une entreprise informatique a déjà, ou doit mettre en place.
| Exigence | Exemple en informatique |
|---|---|
| Analyse des risques spécifique au cloud | Le registre des risques contient des lignes sur la panne du fournisseur d'infrastructure, un stockage mal configuré et la perte de clés de chiffrement. |
| Responsabilités clairement définies | Une matrice indique, pour chaque mesure, si elle incombe à vous, au client ou à votre fournisseur d'infrastructure. Elle figure dans le contrat. |
| Isolation des données et séparation des locataires | L'identifiant du locataire est contrôlé à chaque requête. Des tests vérifient qu'un compte ne lit pas les données d'un autre. |
| Suppression sécurisée des données clients | Une procédure de sortie de contrat supprime données, copies et sauvegardes, puis produit un justificatif. |
| Sécurité de la virtualisation | Des modèles d'images validés, des correctifs appliqués régulièrement et un accès restreint à la console de gestion. |
| Réponse aux incidents propre au cloud | Un plan décrit comment avertir un client touché et quels journaux lui remettre. |
04: Préparation
Comment vous préparer avant l'auto-évaluation
Réunissez d'abord les documents qui existent déjà. La plupart des réponses s'y trouvent.
Listez vos services cloud
Notez ce que vous proposez à vos clients et ce que vous utilisez chez des tiers : SaaS, hébergement, infrastructure managée.
Rassemblez les contrats types
Conditions générales, accords de niveau de service et annexes sur le traitement des données montrent qui est responsable de quoi.
Contrôlez les accès administrateur
Dressez la liste des comptes à privilèges, vérifiez l'authentification et l'existence des journaux.
Décrivez la sortie de contrat
Précisez comment le client récupère ses données et comment vous les supprimez.
Rédigez la procédure d'incident cloud
Une page suffit : qui décide, qui informe le client, quelles preuves vous conservez.
05: Avec Zertify
Obtenir le certificat ISO 27017 avec Zertify
L'auto-évaluation compte 34 questions auxquelles vous répondez par oui ou non. Douze reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 22 autres, il faut au moins 15 oui. Aucun audit sur site n'a lieu.
Le certificat arrive sous 4 heures après la réussite et le paiement. Il est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission. Le PDF porte un numéro et un code QR. Votre client les saisit sur la page de vérification publique, sans vous demander de justificatif supplémentaire.
Le prix est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, re-audit en ligne annuel compris. Le certificat est valable 3 ans et confirmé chaque année par ce court re-audit en ligne. L'abonnement annuel se renouvelle automatiquement. Vous le résiliez à tout moment dans votre espace client, pour la fin de l'année en cours. Le certificat s'arrête alors avec l'année payée.
Un rabais de 20 % s'applique pour 2 normes et de 30 % dès 3 normes, redevance annuelle comprise. Pour les clients en Suisse et au Liechtenstein, la TVA de 8,1 % est incluse. Un compte n'est pas nécessaire pour acheter.
06: Choix de norme
ISO 27017, ISO 27001 ou ISO 27018 : laquelle choisir ?
ISO 27001 décrit le système de management de la sécurité de l'information de toute l'entreprise. ISO 27017 y ajoute le volet cloud. Si un client vous demande précisément qui fait quoi sur votre plateforme, c'est cette dernière qu'il cite.
ISO 27018 est la norme voisine quand votre service traite des données personnelles dans un cloud public. Vous pouvez combiner plusieurs normes et profiter du rabais multi-normes.
Si votre client exige un audit sur place par un organisme de certification, comparez les deux voies avant de décider.
07: Questions
Questions fréquentes sur ISO 27017 pour informatique
08: Guide
Pages liées
Répondez à la question cloud de votre prochain client
Répondez aux 34 questions sur ISO 27017 et voyez immédiatement si votre entreprise informatique remplit les critères.
Gratuit et sans inscription.