Procédure de certification
ISO 27017 procédure : de l'auto-évaluation au certificat vérifiable
Vous répondez à 34 questions oui/non en ligne, sans rendez-vous ni audit dans vos locaux. Si vous atteignez le seuil, vous recevez votre certificat ISO 27017 dans les 4 heures suivant la réussite et le paiement. Cette page décrit chaque étape, dans l'ordre.
01: Les étapes
Les six étapes de la procédure ISO 27017
Toute la procédure se déroule en ligne. Aucun auditeur ne se déplace chez vous et aucune date n'est à convenir avec un organisme.
Préparer les réponses
Réunissez la personne qui connaît votre hébergement, vos contrats avec les fournisseurs cloud et la gestion des accès administrateur. Une heure de coordination évite les réponses approximatives.
Lancer l'auto-évaluation
Elle comprend 34 questions oui/non propres à ISO 27017. Elle est gratuite et ne demande aucune inscription.
Atteindre le seuil de réussite
Les 12 exigences obligatoires doivent toutes recevoir un oui. Parmi les 22 autres questions, au moins 15 oui sont nécessaires.
Faire examiner l'évaluation
SICE examine chaque évaluation avant l'émission du certificat.
Régler le premier paiement
Le prix est de 799 CHF (799 €) la première année, puis 529 CHF (529 €) par an, re-audit en ligne annuel inclus. Aucun compte client n'est nécessaire pour acheter.
Recevoir le certificat
Le PDF arrive dans les 4 heures après la réussite et le paiement. Il porte un numéro et un QR code qui mènent à la page de vérification publique.
02: Préparation
Que préparer avant de répondre aux questions ?
ISO 27017 complète ISO 27001 et ISO 27002 pour les services cloud. La question centrale est de savoir qui assume quelle tâche de sécurité, côté fournisseur et côté client. Rassemblez les réponses à six sujets avant d'ouvrir le questionnaire.
- Analyse des risques cloud
- Un document qui traite les risques propres à l'hébergement externe, pas seulement ceux de votre réseau interne.
- Responsabilité partagée
- Qui, de vous ou du fournisseur, gère les correctifs, les sauvegardes, les journaux et les droits d'accès. Cela doit être écrit, dans un contrat ou une annexe.
- Séparation des locataires
- Comment les données de chaque client restent isolées les unes des autres sur une même infrastructure.
- Suppression des données
- Ce qui se passe avec les données d'un client à la fin du contrat, et comment vous le démontrez.
- Sécurité de la virtualisation
- Qui administre les hyperviseurs et les machines virtuelles, et avec quels contrôles d'accès.
- Réponse aux incidents
- Une procédure qui précise comment un client est informé d'un incident touchant son service cloud.
03: Évaluation
Comment fonctionne le seuil de réussite des 34 questions ?
Les questions portent sur les exigences de la norme et sur les mesures de sécurité cloud qu'elle recommande. Chaque réponse est un oui ou un non. Vous n'avez pas de texte libre à rédiger.
Un non sur une exigence obligatoire signifie que la norme n'est pas encore remplie. Corrigez le point dans votre organisation, puis refaites l'évaluation, qui reste gratuite.
| Bloc de questions | Nombre | Condition |
|---|---|---|
| Exigences obligatoires | 12 | Toutes en oui |
| Autres questions | 22 | Au moins 15 en oui |
| Total | 34 | Les deux conditions réunies |
04: Émission
Ce qui se passe après l'évaluation
SICE examine votre évaluation. Le certificat est ensuite émis par G6 Agency AG, sous licence de SICE. Une fois le paiement reçu, vous obtenez le PDF dans les 4 heures.
Le document contient son numéro et un QR code. Un client, le service des achats ou un auditeur le scanne et arrive sur une page de vérification publique, qui confirme que le certificat existe et qu'il est valable. Vous pouvez aussi joindre le PDF à un questionnaire fournisseur ou à une offre.
Le certificat est valable 3 ans. Chaque année, un court re-audit en ligne confirme que votre situation n'a pas changé.
05: Zertify
Où Zertify s'inscrit dans la procédure
Zertify couvre toute la chaîne, du questionnaire à la page de vérification. Le contenu de la norme est présenté sur la page ISO 27017, et les tarifs sont détaillés sur la page des prix.
L'abonnement est annuel et se renouvelle automatiquement. Vous le résiliez à tout moment dans votre espace client, avec effet à la fin de l'année en cours. Le certificat prend alors fin avec l'année payée. Les prix incluent la TVA suisse de 8,1 % pour la Suisse et le Liechtenstein.
Si vous visez plusieurs normes, par exemple ISO 27001 en plus d'ISO 27017, une remise de 20 % s'applique pour deux normes et de 30 % à partir de trois, aussi sur la cotisation annuelle.
06: Comparaison
Zertify ou voie classique avec audit sur site ?
La voie classique consiste en un audit sur site par un organisme de certification. Elle convient si un client ou un appel d'offres l'exige expressément. Le tableau reprend les différences de déroulement. Les indications sur la voie classique sont des ordres de grandeur.
| Critère | Zertify | Voie classique |
|---|---|---|
| Méthode | Auto-évaluation en ligne, 34 questions | Audit sur site par un auditeur |
| Délai | Certificat dans les 4 heures après réussite et paiement | Plusieurs semaines à plusieurs mois (fourchette indicative) |
| Coût | 799 CHF la première année, puis 529 CHF par an | Devis individuel, selon la taille et le périmètre |
| Contrôle annuel | Court re-audit en ligne, inclus | Audit de surveillance, selon l'organisme |
| Vérification | Page publique par numéro et QR code | Variable selon l'organisme |
Les guides ci-dessous comparent les voies de certification et expliquent les coûts.
07: FAQ
Questions fréquentes sur la procédure ISO 27017
08: Guide
Pages liées
Démarrez la procédure ISO 27017
Répondez aux 34 questions et découvrez en quelques minutes si votre organisation atteint le seuil.
Gratuit et sans inscription.