ISO 27017 · Sécurité du cloud
ISO 27017 pour entreprises de services
Un client, un service achat ou un appel d'offres vous demande une preuve de sécurité cloud. Avec Zertify, vous répondez à 34 questions en ligne et recevez le certificat ISO 27017 dans les 4 heures suivant la réussite et le paiement. Chaque certificat se vérifie publiquement par numéro et par QR code.
01: Demande
Pourquoi vos clients demandent ISO 27017
Une fiduciaire, une agence, un cabinet de conseil ou un prestataire de services managés travaille avec des données clients hébergées dans le cloud : comptabilité en ligne, CRM, espaces de partage de documents, outils de ticketing. Ces données appartiennent à vos clients. Leur service achat veut donc savoir comment vous les protégez.
La question arrive sous la forme d'un questionnaire fournisseur, d'une ligne dans un appel d'offres ou d'un point soulevé lors d'un audit client. ISO 27017 répond à une interrogation précise : qui assume quelle tâche de sécurité entre vous, votre fournisseur cloud et votre client. Un certificat avec numéro de vérification vous évite de reprendre le même questionnaire à chaque nouveau mandat.
02: Contenu
Ce que couvre ISO 27017 dans une entreprise de services
ISO 27017:2015 est un code de bonnes pratiques qui complète ISO 27001 et ISO 27002. Elle s'adresse aussi bien aux fournisseurs qu'aux clients du cloud. Une entreprise de services est souvent les deux à la fois : elle utilise des services cloud et en propose à ses mandants.
- Responsabilité partagée
- Vous consignez ce que fait votre hébergeur, ce que vous faites vous-même et ce que votre client doit assurer. Exemple : l'éditeur du logiciel comptable sauvegarde l'infrastructure, vous gérez les droits de vos collaborateurs.
- Séparation des locataires
- Les données d'un client ne sont pas visibles pour un autre. Exemple : un dossier par mandat dans l'espace de partage, avec des droits distincts.
- Accès administrateur
- Les comptes à privilèges sont nominatifs, limités et contrôlés. Exemple : seuls la direction et un prestataire informatique désigné modifient les paramètres de votre suite bureautique en ligne.
- Restitution et suppression des données
- À la fin d'un mandat, vous savez rendre ou effacer les données du client, sauvegardes comprises. Exemple : une confirmation écrite d'effacement envoyée dans un délai fixé.
- Sécurité de la virtualisation
- Si vous exploitez un portail client sur des machines virtuelles, les environnements de test et de production restent séparés.
- Réponse aux incidents cloud
- Vous avez défini qui prévient qui lorsqu'un compte cloud est compromis, et dans quel ordre.
03: Mise en pratique
Comment une entreprise de services remplit les exigences clés
Les six exigences clés se traduisent par des mesures concrètes et par quelques documents courts. Le tableau montre à quoi cela ressemble dans un cabinet ou une agence.
| Exigence | Mesure concrète | Preuve à conserver |
|---|---|---|
| Analyse des risques spécifique au cloud | Lister les services cloud utilisés et évaluer pour chacun le risque de perte, de fuite et d'indisponibilité | Tableau des risques daté |
| Responsabilités partagées | Répartir les tâches de sécurité entre hébergeur, vous et client | Matrice de responsabilités annexée au contrat |
| Isolation des données | Attribuer les droits par mandat, sans dossier commun entre clients | Extrait de la configuration des droits |
| Suppression sécurisée | Appliquer une procédure de fin de mandat avec délai et confirmation écrite | Procès-verbal d'effacement |
| Sécurité de la virtualisation | Séparer les environnements de test et de production | Schéma de l'architecture |
| Réponse aux incidents cloud | Tenir une fiche de contacts et un déroulé en cas de compte compromis | Procédure et compte rendu d'un exercice |
04: Risques
Quels risques la norme réduit dans les métiers de service
Les incidents qui touchent les entreprises de services viennent rarement d'une attaque sophistiquée. Ils naissent d'un réglage laissé par défaut ou d'une tâche que personne ne s'est vraiment attribuée.
Droits d'accès trop larges
Un collaborateur récemment arrivé ouvre les dossiers de tous les clients, alors qu'il ne travaille que sur deux mandats.
Fin de mandat sans effacement
Les documents d'un ancien client restent dans l'espace de partage et dans les sauvegardes, sans personne pour les retirer.
Responsabilité floue lors d'un incident
L'hébergeur pense que vous sauvegardez, vous pensez que c'est lui. La perte de données révèle le malentendu.
Compte administrateur partagé
Trois personnes utilisent le même identifiant. Après une modification de configuration, il est impossible de dire qui l'a faite.
05: Zertify
Obtenir le certificat ISO 27017 avec Zertify
L'évaluation en ligne comprend 34 questions à répondre par oui ou non. Douze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 22 autres, il faut au moins 15 réponses oui. L'achat ne demande pas de compte client.
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Vous recevez le PDF dans les 4 heures suivant la réussite et le paiement, avec un numéro et un QR code qui renvoient à une page de vérification publique.
Le prix est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement annuel se renouvelle automatiquement et se résilie à tout moment, pour la fin de l'année en cours, depuis l'espace client. Le certificat s'arrête alors avec l'année payée. La TVA suisse de 8,1 % est comprise pour les clients en Suisse et au Liechtenstein. Si vous certifiez plusieurs normes, le rabais est de 20 % pour deux normes et de 30 % dès trois, cotisation annuelle comprise.
06: Comparaison
Certificat en ligne ou audit sur site ?
La voie classique passe par un audit sur site réalisé par un organisme de certification. Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site, et il est confirmé chaque année par un court re-audit en ligne.
Si un appel d'offres impose explicitement une forme de certification, lisez le cahier des charges avant de choisir. Les guides ci-dessous comparent les voies et détaillent les coûts.
07: FAQ
Questions fréquentes sur ISO 27017 pour entreprises de services
08: Guide
Pages liées
Prouvez la sécurité de vos services cloud
Répondez aux 34 questions et recevez votre certificat ISO 27017 dans les 4 heures après réussite et paiement.
Gratuit et sans inscription.