ISO 27018 avantages : ce que le certificat change pour votre activité cloud

ISO 27018:2019 s'adresse aux fournisseurs cloud qui traitent des données personnelles pour le compte de leurs clients, donc aux sous-traitants au sens du RGPD. La norme complète ISO 27001 par des mesures dédiées à la protection des données. Le certificat prouve que vous les appliquez.

Confiance des clients

Votre client confie des données personnelles à votre service. Un certificat vérifiable répond à sa première question avant qu'il ne la pose.

Appels d'offres

Les services achats demandent de plus en plus une preuve de conformité pour les prestataires cloud. Le certificat s'ajoute au dossier comme pièce justificative.

Efficacité interne

Suppression, restitution, sous-traitants ultérieurs, notification des violations : ces points sont décrits une fois et réutilisés dans chaque réponse client.

Réduction des risques

Les lacunes apparaissent pendant l'évaluation, pas lors d'un incident ou d'un audit client.

Communication

Le PDF porte un QR code. Toute personne qui le scanne arrive sur la page de vérification publique.

• Norme ISO 27018 en détail

Un éditeur SaaS reçoit régulièrement des questionnaires de sécurité de plusieurs dizaines de questions. Chacun demande des jours de travail à la direction ou à l'équipe technique. Un certificat ne supprime pas toutes les questions, mais il permet de renvoyer vers une preuve publique pour les points couverts par la norme.

Dans un appel d'offres, la ligne « protection des données personnelles dans le cloud » se remplit avec un numéro de certificat et un lien, au lieu d'un paragraphe d'intentions.

L'évaluation vous force à répondre par oui ou par non à des exigences précises. Là où la réponse est non, vous savez ce qui manque. C'est utile avant qu'un client ne le découvre à votre place.

1. 01

   Suppression et restitution

   Vous définissez comment un client récupère ou fait effacer ses données à la fin du contrat. Le support n'improvise plus.

2. 02

   Limitation des finalités

   Les données ne servent qu'à la prestation convenue. Cette règle écrite évite les usages internes non prévus.

3. 03

   Sous-traitants ultérieurs

   Hébergeur, outil d'envoi d'e-mails, support externe : la liste existe, et chaque acteur est lié par des exigences de protection des données.

4. 04

   Notification des violations

   Vous savez qui prévient qui, et dans quel ordre, quand un incident touche des données personnelles.

Le certificat est un PDF avec un numéro et un QR code. Le numéro et le code mènent à une page de vérification publique : votre client y constate que le certificat existe, à quel nom il est émis et s'il est en vigueur.

Placez le lien dans la signature de vos e-mails commerciaux, dans le pied de page de votre site et dans la section sécurité de vos offres. Le certificat est confirmé chaque année par un court réaudit en ligne, donc le statut affiché reste à jour.

Formulez avec précision : « certifié ISO 27018:2019 », avec le lien de vérification. Ne laissez pas entendre que la norme couvre tout votre système d'information.

• Certification sans audit sur site

Vous répondez en ligne à 32 questions par oui ou par non. 11 d'entre elles correspondent à des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 21 autres, au moins 14 réponses positives sont nécessaires pour réussir.

SICE (Swiss Institute of Certification and Education) examine chaque évaluation. Le certificat est émis par G6 Agency AG sous licence de SICE, dans les 4 heures après la réussite de l'évaluation et le paiement. Aucun compte n'est nécessaire pour acheter.

Le prix est de 799 CHF la première année, puis 529 CHF par an, réaudit en ligne inclus. Le certificat est valable 3 ans. L'abonnement annuel est résiliable à tout moment dans votre espace client, jusqu'à la fin de l'année en cours. Si vous le résiliez, le certificat s'arrête avec l'année payée. Un rabais de 20 % s'applique pour 2 normes et de 30 % dès 3 normes, aussi sur la cotisation annuelle.

• Lancer l'autoévaluation gratuite
• Voir les prix
• ISO 27001 en complément

Certains clients exigent expressément un audit sur site par un organisme de certification. Dans ce cas, le contrat ou le cahier des charges le dit, et il vaut mieux le vérifier avant de choisir. La voie classique demande plus de temps et un budget plus élevé, mais elle correspond à ce type d'exigence.

Pour la plupart des PME qui cherchent une preuve claire et vérifiable à joindre à leurs offres, la voie en ligne suffit. Le guide de comparaison détaille les différences entre les deux routes.

• Comparer les voies de certification
• Coût d'une certification