ISO 27017:2015 Sécurité du cloud
ISO 27017 obligatoire : ce qui est vrai, ce que vos clients attendent
La certification ISO 27017 est volontaire. Elle devient une exigence dans les faits dès qu'un client, un appel d'offres ou un contrat cadre la réclame. Dans ce cas, il vous faut un certificat vérifiable, que Zertify délivre dans les 4 heures après une auto-évaluation réussie et le paiement.
01: Principe
ISO 27017 est-elle obligatoire ?
ISO 27017:2015 est un code de bonnes pratiques avec des mesures de sécurité pour les services cloud. Elle complète ISO 27001 et ISO 27002 et s'adresse aux fournisseurs comme aux clients du cloud. Personne ne doit la détenir uniquement parce qu'il propose ou utilise un service cloud. La décision de se faire certifier appartient à l'entreprise.
L'exigence se trouve donc rarement dans la norme elle-même. Elle se trouve dans un questionnaire, un cahier des charges ou un contrat. Cette page ne cite aucune loi. Si un texte légal ou réglementaire s'applique à votre secteur, faites-le vérifier par votre conseil juridique.
02: Exigence de fait
Quand ISO 27017 s'impose dans les faits
Une norme volontaire devient incontournable lorsque votre client en fait une condition. Cinq situations reviennent chez les fournisseurs de services cloud et chez les entreprises qui s'appuient sur eux.
- Questionnaire fournisseur
- Le service achats d'un client envoie une liste de questions sur la sécurité du cloud. Un certificat avec numéro de vérification permet de répondre à plusieurs questions d'un coup.
- Appel d'offres
- Certains cahiers des charges demandent une preuve de sécurité cloud avec l'offre. Sans justificatif, votre dossier risque de ne pas être examiné.
- Contrat cadre et chaîne d'approvisionnement
- Un grand client répercute ses propres exigences sur ses sous-traitants. Vous les recevez par contrat, même si votre service est petit.
- Audit client
- Un client contrôle ses prestataires. Il demande comment vous traitez la responsabilité partagée, l'accès administrateur et la restitution des données.
- Attentes du secteur
- Quand vos concurrents présentent un certificat sur leur site, l'absence du vôtre se remarque lors de la comparaison des offres.
03: Profils
Qui reçoit la demande, et sous quelle forme
La demande ne prend pas la même forme selon votre rôle. Le tableau montre où elle apparaît le plus souvent et ce que l'acheteur cherche à voir.
| Profil | Où la demande apparaît | Ce que l'acheteur veut voir |
|---|---|---|
| Éditeur de logiciels SaaS | Questionnaire de sécurité du service achats | Un certificat cloud avec numéro vérifiable |
| Hébergeur ou centre de données | Appel d'offres d'un client | Des mesures sur la séparation des locataires et la suppression des données |
| Fournisseur de services managés | Audit client ou contrat cadre | Une preuve que la sécurité cloud est organisée et suivie |
| Entreprise utilisatrice du cloud | Demande de ses propres clients | Une répartition claire des responsabilités avec ses fournisseurs cloud |
Le contenu exact de la demande varie d'un client à l'autre. Lisez-la mot par mot avant de répondre.
04: Marche à suivre
Un client demande ISO 27017 : que faire ?
Le délai est souvent court. Cinq étapes suffisent pour répondre sans perdre de temps.
Relire la demande
Le client veut-il un certificat ISO 27017, ou seulement la preuve que vous appliquez des mesures de sécurité cloud ? Les deux demandes ne se traitent pas pareillement.
Confirmer la forme du certificat
Écrivez à votre interlocuteur et indiquez que le certificat repose sur une auto-évaluation en ligne, sans audit sur site. Attendez sa confirmation avant d'investir.
Contrôler vos pratiques
Passez en revue les 6 thèmes clés : analyse des risques cloud, responsabilités, séparation des locataires, suppression des données, virtualisation, réponse aux incidents.
Passer l'auto-évaluation
Elle compte 34 questions oui/non. Les 12 exigences obligatoires doivent toutes recevoir un oui, et au moins 15 des 22 autres questions aussi.
Transmettre le certificat
Envoyez le PDF. Le client scanne le code QR ou saisit le numéro sur la page de vérification publique.
05: Zertify
Obtenir le certificat ISO 27017 avec Zertify
Zertify délivre le certificat en ligne, sur la base de votre auto-évaluation. Il est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission. Après une évaluation réussie et le paiement, vous recevez le certificat dans les 4 heures. Aucun compte n'est nécessaire pour acheter.
Le prix est de 799 CHF (799 €) la première année, puis 529 CHF (529 €) par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans et chaque année une courte confirmation en ligne le maintient à jour. L'abonnement est annuel et résiliable à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Pour les clients en Suisse et au Liechtenstein, la TVA de 8,1 % est comprise. Dès deux normes, un rabais de 20 % s'applique, de 30 % dès trois, y compris sur la redevance annuelle.
06: Choix de la voie
Auto-évaluation en ligne ou audit sur site ?
La voie classique passe par un audit sur site réalisé par un organisme de certification. Elle demande de fixer des dates avec l'auditeur et de mobiliser vos équipes sur place. Le certificat Zertify repose sur une auto-évaluation en ligne, sans visite, avec examen de chaque dossier par SICE.
Si votre client n'a pas précisé la forme attendue, posez la question avant de choisir. C'est lui qui décide ce qu'il accepte, et sa réponse règle le choix.
07: FAQ
Questions fréquentes sur ISO 27017 obligatoire
08: Guide
Pages liées
Un client attend votre certificat ISO 27017 ?
Répondez aux 34 questions de l'auto-évaluation et voyez tout de suite où vous en êtes.
Gratuit et sans inscription.