ISO 27018 checklist : ce que votre entreprise doit pouvoir démontrer

ISO 27018 s'adresse aux fournisseurs cloud qui traitent des données à caractère personnel (DCP) pour le compte de leurs clients. Vous êtes donc sous-traitant au sens du RGPD et de la LPD. La norme complète ISO 27001 : la structure du système de management reste la même, des mesures de protection des données s'y ajoutent.

Parcourez les points dans l'ordre. Pour chacun, posez-vous une seule question : existe-t-il un document, un enregistrement ou une configuration que je peux montrer à un client qui me le demande ? Si la réponse repose sur une habitude orale, le point n'est pas encore prêt.

Les deux premières listes couvrent le socle de management. La troisième traite des mesures propres à ISO 27018. Un tableau récapitule ensuite les preuves à réunir dans un dossier unique.

• Présentation de la norme ISO 27018

Ces trois clauses fixent le cadre. Un auditeur ou un service achats commence ici, car sans périmètre clair, le reste n'a pas de base.

1. 01

   Clause 4 : le périmètre est écrit

   Vous avez décrit quels services cloud et quels sites entrent dans le périmètre. Preuve : un document de périmètre d'une page, daté et validé.

2. 02

   Clause 4 : les exigences des clients et de la loi sont recensées

   Vous savez quelles obligations découlent des contrats de sous-traitance, du RGPD et de la LPD. Preuve : un registre des exigences ou une annexe des contrats types.

3. 03

   Clause 5 : une politique de protection des données existe

   La direction l'a signée et les équipes la connaissent. Preuve : la politique avec date, version et approbation.

4. 04

   Clause 5 : les rôles sont attribués

   Une personne répond de la protection des données, une autre de la sécurité de l'information, même si c'est la même dans une petite structure. Preuve : organigramme ou fiches de rôle.

5. 05

   Clause 6 : les risques liés aux DCP sont évalués

   L'analyse de risques traite explicitement les données personnelles de vos clients. Preuve : une analyse de risques avec date de dernière révision.

6. 06

   Clause 6 : un plan de traitement des risques est suivi

   Chaque risque retenu a une mesure, un responsable et une échéance. Preuve : tableau de suivi mis à jour.

• ISO 27001 en comparaison

Ici, l'auditeur cherche des traces d'activité réelle : qui a été formé, quel contrôle a été fait, quelle erreur a été corrigée.

1. 01

   Clause 7 : les personnes sont formées

   Les collaborateurs qui accèdent aux données clients connaissent les règles de traitement et de confidentialité. Preuve : liste de présence ou attestation de formation, clauses de confidentialité dans les contrats de travail.

2. 02

   Clause 7 : l'information documentée est maîtrisée

   Les procédures ont une version, un propriétaire et un lieu de stockage unique. Preuve : un index des documents ou un espace documentaire avec historique.

3. 03

   Clause 8 : les processus de traitement sont appliqués

   Les instructions des clients sont suivies dans l'exploitation quotidienne. Preuve : procédures d'exploitation, journaux d'accès, tickets de demandes clients.

4. 04

   Clause 9 : un audit interne a eu lieu

   Quelqu'un hors de l'équipe contrôlée a vérifié les pratiques. Preuve : rapport d'audit interne avec constats.

5. 05

   Clause 9 : la direction a revu le système

   Les résultats, incidents et risques ont été discutés au niveau de la direction. Preuve : procès-verbal de revue de direction.

6. 06

   Clause 10 : les écarts mènent à des actions

   Un incident ou un constat d'audit débouche sur une correction suivie jusqu'à sa clôture. Preuve : registre des actions correctives.

Ces points distinguent ISO 27018 d'un simple système de sécurité de l'information. Ils correspondent aux exigences clés de la norme et reviennent dans les questionnaires fournisseurs de vos clients.

Transparence du traitement

Vos clients savent où leurs données sont traitées et par qui. Preuve : description du service, liste des lieux de traitement, contrat de sous-traitance.

Limitation des finalités

Les DCP ne servent qu'à fournir le service convenu, pas à votre propre publicité ni à d'autres fins. Preuve : clause contractuelle et règle interne interdisant tout autre usage.

Suppression et restitution

Vous pouvez rendre ou effacer les données d'un client à la fin du contrat. Preuve : procédure de sortie, journal d'une suppression réelle, format d'export documenté.

Sous-traitants ultérieurs

Chaque prestataire qui touche aux DCP est connu, lié par contrat et annoncé au client. Preuve : liste des sous-traitants ultérieurs et contrats avec exigences de protection des données.

Analyses d'impact

Les traitements à risque élevé sont analysés avant leur lancement. Preuve : une analyse d'impact relative à la protection des données, signée.

Notification des violations

Vous détectez une fuite de données et informez le client dans le délai convenu. Preuve : procédure de gestion des incidents, modèle de notification, registre des incidents.

Un dossier unique évite de chercher des documents pendant un audit client ou une réponse à appel d'offres. Le tableau indique l'emplacement habituel de chaque preuve.

L'auto-évaluation Zertify pour ISO 27018 comprend 32 questions auxquelles vous répondez par oui ou non. Onze d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 21 autres, il faut au moins 14 réponses positives. Votre checklist remplie sert de matériel de réponse.

Le certificat est émis par G6 Agency AG sous licence de SICE. SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur place. Le certificat parvient dans les 4 heures après la réussite et le paiement, et il se vérifie publiquement par son numéro ou par le code QR du PDF.

Le prix est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement est résiliable à tout moment dans votre compte, jusqu'à la fin de l'année en cours.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page ISO 27018