ISO 27018 pour informatique : prouver la protection des données dans le cloud

Dans l'informatique, vous êtes presque toujours sous-traitant. Vos clients restent responsables des données personnelles de leurs employés, patients ou acheteurs, et vous les traitez pour eux. Cette position apparaît dans le questionnaire fournisseur, dans l'annexe d'un contrat sur le traitement des données, dans le cahier des charges d'un appel d'offres. La question est toujours la même : comment démontrez-vous que ces données sont protégées chez vous ?

Un service achats ou un responsable de la protection des données n'a pas le temps de lire vos politiques internes. Un certificat avec un numéro et une page de vérification publique répond en une ligne. L'ISO 27018 vise en outre le cloud public et le rôle de sous-traitant, ce que les normes de sécurité générales ne détaillent pas.

La norme aide les fournisseurs cloud à remplir leurs obligations selon le RGPD et la LPD suisse. Elle ne remplace pas vos contrats, mais elle donne à vos clients une base de référence reconnue pour les discuter.

• Voir la norme ISO 27018 en détail

La norme complète l'ISO 27001 par des mesures propres à la protection des données personnelles. Six exigences structurent le travail, avec des exemples tirés du quotidien d'un fournisseur SaaS ou d'un infogéreur.

Transparence du traitement

Un éditeur SaaS indique à ses clients où les données sont hébergées et quels tiers y ont accès.

Limitation des finalités

Les données d'un client ne servent ni à entraîner un autre produit ni à des statistiques commerciales sans son instruction.

Suppression et restitution

À la fin du contrat, l'infogéreur exporte les données dans un format lisible, puis les supprime, sauvegardes comprises, dans un délai défini.

Sous-traitants ultérieurs

L'hébergeur tiers, l'outil d'envoi d'e-mails et la plateforme de support figurent dans une liste tenue à jour, avec des obligations contractuelles équivalentes.

Analyses d'impact

Avant de lancer un module qui traite des données RH ou de santé, vous évaluez les risques pour les personnes concernées.

Notification des violations

Une procédure écrite indique qui prévient le client en cas d'accès non autorisé, et avec quelles informations.

Les écarts apparaissent rarement dans l'architecture principale. Ils se cachent dans les processus annexes, là où personne ne regarde plus après la mise en production.

Pas besoin d'une équipe dédiée. Pour une entreprise de dix à cent personnes, le travail se résume à documenter ce que vous faites déjà et à combler les trous.

1. 01

   Recenser les données traitées pour les clients

   Notez par produit ou service quelles données personnelles transitent, où elles sont stockées et qui y accède.

2. 02

   Tenir la liste des sous-traitants ultérieurs

   Hébergement, sauvegarde, messagerie, support : chaque tiers est nommé, avec son contrat et son rôle.

3. 03

   Fixer la règle de suppression

   Définissez le délai d'export et d'effacement à la fin d'un contrat, y compris dans les sauvegardes et les environnements de test.

4. 04

   Écrire la procédure d'incident

   Qui décide, qui informe le client, dans quel délai interne. Une page suffit si elle est appliquée.

5. 05

   Évaluer les nouveaux traitements

   Ajoutez à votre processus de développement une étape d'analyse d'impact pour chaque fonction touchant des données sensibles.

• ISO pour les petites et moyennes entreprises

Vous répondez en ligne à 32 questions par oui ou non. Onze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 21 autres, il faut au moins 14 oui. Une fois l'évaluation réussie et le paiement effectué, le certificat arrive dans les 4 heures. Il est émis par G6 Agency AG sous licence de SICE, et SICE examine chaque évaluation avant l'émission.

Le prix est de 799 CHF la première année, puis de 529 CHF par an, re-audit en ligne compris. Le certificat est valable 3 ans et confirmé chaque année par ce court re-audit. L'abonnement annuel est résiliable à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Les prix incluent la TVA suisse de 8,1 % pour la Suisse et le Liechtenstein, et aucun compte n'est nécessaire pour acheter.

Vos clients contrôlent le certificat sur la page de vérification publique, avec son numéro ou le QR code imprimé sur le PDF. Vous pouvez joindre ce PDF à une offre ou le glisser dans le questionnaire fournisseur.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page de la norme ISO 27018

Beaucoup de prestataires associent l'ISO 27018 à l'ISO 27001, car la première complète la seconde. Si un appel d'offres exige les deux, la remise multi-normes de 20 % pour deux normes et de 30 % dès trois s'applique aussi à la redevance annuelle.

L'autre voie passe par un organisme de certification qui audite votre entreprise sur place. Elle convient si un client l'impose expressément dans son contrat. Le guide dédié compare les deux démarches point par point, sans qu'il soit nécessaire de choisir avant d'avoir lu vos exigences contractuelles.

• Comparer les voies de certification
• ISO 27001 chez Zertify