ISO 27017 renouvellement : garder son certificat valide

Le certificat est valable 3 ans à compter de son émission. Pendant cette période, il n'y a pas de nouvelle évaluation complète chaque année. Il y a un réaudit en ligne, court, qui confirme que votre organisation respecte toujours les exigences.

Le réaudit se fait depuis votre compte client, sans visite sur site et sans rendez-vous à caler avec un auditeur. Il est couvert par la redevance annuelle. Vous ne recevez donc pas de facture séparée pour la confirmation.

• Norme ISO 27017 en détail

Le réaudit porte sur l'état réel de votre sécurité cloud. Une année suffit pour que des contrats, des outils et des équipes changent. Passez en revue les six points ci-dessous avant d'ouvrir le réaudit.

Analyse des risques cloud

Prenez-vous en compte les nouveaux services, régions d'hébergement ou sous-traitants arrivés depuis la dernière confirmation ? L'analyse doit refléter votre environnement actuel.

Répartition des responsabilités

Vérifiez que les contrats et les descriptions de service indiquent toujours qui fait quoi entre vous et votre fournisseur cloud, ou entre vous et vos clients.

Séparation des locataires

Si vous exploitez une plateforme multi-clients, contrôlez que l'isolation des données n'a pas été affaiblie par une migration, une nouvelle fonction ou un changement de configuration.

Suppression des données clients

À la fin d'un contrat, les données sont-elles bien supprimées selon la procédure décrite ? Retrouvez une suppression récente et son justificatif.

Sécurité de la virtualisation

Hyperviseurs, images, conteneurs : les correctifs et les accès administrateur sont-ils à jour, et les droits d'anciens collaborateurs retirés ?

Réponse aux incidents cloud

La procédure d'incident prévoit-elle toujours les bons contacts chez le fournisseur et chez les clients concernés ? Un incident survenu dans l'année doit avoir laissé une trace et des mesures.

C'est la confirmation annuelle qui maintient le certificat en état. Sans réaudit, cette confirmation manque. Vous ne pouvez alors plus présenter le certificat à un client comme confirmé pour l'année en cours.

Vos clients peuvent contrôler à tout moment le certificat par son numéro ou le code QR du PDF, sur la page de vérification publique. Un retard n'est donc pas un détail interne : il se voit à l'extérieur, par exemple lors d'un questionnaire fournisseur ou d'un appel d'offres.

L'autre cause d'interruption est la résiliation. L'abonnement annuel se renouvelle automatiquement. Si vous le résiliez dans votre compte client, le certificat prend fin avec l'année payée. Inscrivez la date du réaudit et la date d'échéance de l'abonnement dans le même calendrier.

Sur la voie classique, avec un audit sur site par un organisme de certification, le cycle comprend en général des audits de surveillance entre deux audits de recertification. Un auditeur se déplace, examine les preuves et rédige un rapport. Le temps passé et le tarif dépendent de l'organisme, de la taille de l'entreprise et du périmètre.

Chez Zertify, le contrôle annuel est un réaudit en ligne. Le tableau compare les deux approches sur les points qui comptent pour une PME.

• Comparer les voies de certification
• Certification sans audit sur site

Un réaudit réussi se prépare par quelques gestes réguliers, pas par une semaine de rattrapage.

1. 01

   Fixer la date du réaudit

   Notez-la dans le calendrier de la direction, à côté de la date d'échéance de l'abonnement.

2. 02

   Désigner une personne responsable

   Une personne tient la liste des changements cloud : nouveau fournisseur, nouvelle région, nouveau produit hébergé.

3. 03

   Contrôler les six points un mois avant

   Reprenez l'analyse des risques, les contrats, l'isolation, la suppression, la virtualisation et les incidents. Corrigez ce qui a dérivé.

4. 04

   Conserver les justificatifs

   Un ticket de suppression, un compte rendu d'incident ou un contrat mis à jour suffisent. Rangez-les là où l'équipe les retrouve.

Le certificat repose sur une auto-évaluation en ligne de 34 questions oui/non. Douze d'entre elles sont des exigences obligatoires de la norme et doivent toutes recevoir un oui, et il faut au moins 15 oui parmi les 22 autres. Le certificat arrive dans les 4 heures après la réussite et le paiement. Il est émis par G6 Agency AG sous licence de SICE, et SICE examine chaque évaluation avant l'émission.

Le prix est de 799 CHF la première année, puis 529 CHF par an, réaudit en ligne inclus. L'abonnement est annuel, résiliable à tout moment pour la fin de l'année en cours depuis votre compte client. Un rabais de 20 % s'applique pour 2 normes et de 30 % pour 3 normes ou plus, aussi sur la redevance annuelle. Pour la Suisse et le Liechtenstein, la TVA de 8,1 % est comprise dans les prix. Aucun compte n'est nécessaire pour acheter.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page ISO 27017