ISO 27018 conseil : faut-il vraiment un consultant ?

Non. La norme ISO 27018:2019 décrit comment un fournisseur cloud, agissant comme sous-traitant, protège les données à caractère personnel dans le cloud public. Si vos processus de protection des données sont en place, vous pouvez les évaluer vous-même.

Le conseil devient utile quand ces processus n'existent pas encore. Un éditeur SaaS qui n'a jamais formalisé la suppression des données clients, la liste de ses sous-traitants ultérieurs ou la procédure en cas de violation de données a du travail avant toute évaluation. Un consultant y fait gagner du temps. Pour une entreprise dont la documentation est prête et qui doit surtout répondre à un questionnaire fournisseur, il est superflu.

Un mandat de conseil couvre rarement tout le périmètre. Voici les missions que l'on retrouve le plus souvent dans les offres.

Analyse des écarts

Le consultant compare vos pratiques actuelles aux exigences de la norme et dresse la liste de ce qui manque.

Documentation

Il rédige ou adapte la politique de traitement des données personnelles, la procédure de suppression et de restitution, le registre des sous-traitants ultérieurs.

Analyse d'impact

Il vous accompagne dans les analyses d'impact relatives à la protection des données pour vos services les plus sensibles.

Notification des violations

Il définit qui informe le client, avec quel contenu et selon quel circuit interne.

Préparation

Il conduit un audit interne à blanc et forme les équipes concernées, en général l'exploitation, le support et le développement.

Les tarifs journaliers des consultants en sécurité de l'information et en protection des données en Suisse se situent, à titre indicatif, entre 1 200 et 2 000 CHF. L'écart dépend du cabinet, du profil et de la région. La charge varie surtout avec la maturité de départ de l'entreprise.

Le tableau ci-dessous donne un ordre de grandeur pour une PME qui fournit un service cloud. Ce sont des fourchettes indicatives, pas des offres.

• Coût d'une certification ISO

Il ne fait pas tourner votre procédure de suppression des données et ne répond pas aux demandes de restitution de vos clients. Ces mesures doivent être appliquées par vos équipes, au quotidien. Un classeur de procédures que personne ne suit ne répond pas aux exigences de la norme.

Il ne remplace pas non plus un avis juridique. ISO 27018 aide à remplir les obligations du RGPD et de la LPD suisse, mais la conformité légale de votre traitement reste une question distincte.

Enfin, le consultant prépare la certification sans la délivrer. Dans la voie classique, un organisme de certification audite ensuite votre entreprise sur site.

• Comparer les voies de certification

Zertify repose sur une auto-évaluation en ligne, sans audit sur site. Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Il vous parvient dans les 4 heures après la réussite de l'évaluation et le paiement.

Le prix est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, réaudit annuel en ligne inclus. Le certificat est valable 3 ans. L'abonnement est annuel et résiliable à tout moment pour la fin de l'année en cours, dans votre espace client. En cas de résiliation, le certificat prend fin avec l'année payée. Les prix incluent la TVA suisse de 8,1 % pour la Suisse et le Liechtenstein. Un compte n'est pas nécessaire pour commander.

Si vous certifiez plusieurs normes, un rabais de 20 % s'applique pour deux normes et de 30 % dès trois, y compris sur la cotisation annuelle.

• La certification ISO 27018 chez Zertify
• Tarifs
• Démarrer l'auto-évaluation gratuite

L'évaluation reprend les exigences de la norme sous forme de questions fermées. Vous pouvez la remplir avec votre responsable informatique ou votre délégué à la protection des données, selon qui connaît les pratiques réelles.

1. 01

   32 questions oui ou non

   Elles portent sur la transparence du traitement, la limitation des finalités, la suppression et la restitution, les sous-traitants ultérieurs, les analyses d'impact et la notification des violations.

2. 02

   11 exigences obligatoires

   Parmi les 32 questions, 11 correspondent à des exigences impératives de la norme. Toutes doivent recevoir la réponse oui.

3. 03

   14 oui sur 21

   Pour les 21 autres questions, il faut au moins 14 réponses oui pour réussir.

4. 04

   Examen, paiement, certificat

   SICE examine l'évaluation. Après paiement, G6 Agency AG émet le certificat au format PDF.

5. 05

   Vérification publique

   Chaque certificat se vérifie par son numéro ou par le QR code du PDF sur la page de vérification. Votre client ou votre service achats peut le faire sans vous contacter.

• Le déroulement en détail
• Certification sans audit sur site