02 / Conformité et certification
ISO/IEC 27017 et 27018, pour la part de la sécurité qui vit dans le cloud
Nous aidons les fournisseurs de cloud et leurs clients à étendre un SMSI ISO/IEC 27001 aux mesures cloud et données personnelles décrites par ces codes de bonnes pratiques, et à le montrer à un auditeur.
Présentation
Ce que couvrent les deux normes
L'ISO/IEC 27017 est un code de bonnes pratiques pour les mesures de sécurité de l'information des services en nuage. Elle complète les mesures de l'ISO/IEC 27002 par des recommandations propres au cloud, pour les fournisseurs comme pour les clients de services en nuage, et précise qui est responsable de quoi.
L'ISO/IEC 27018 est un code de bonnes pratiques pour la protection des données à caractère personnel dans le cloud public, écrit pour les fournisseurs agissant en tant que sous-traitants. Elle traite entre autres du respect des instructions du client, de l'usage des données à des fins de marketing, de la divulgation, de la restitution et de l'effacement, et de la transparence sur les sous-traitants ultérieurs.
Aucune des deux n'est en général certifiée seule. Les organismes de certification les évaluent comme une extension d'une certification ISO/IEC 27001. Black Fox vous prépare à cet audit, le coordonne avec nos partenaires de certification de longue date ou votre organisme de certification actuel, et vous accompagne pendant celui-ci ; le certificat vient de l'organisme de certification.
À qui s'adresse ce service
Les fournisseurs SaaS, de plateformes et d'infrastructures dont les clients demandent comment leurs données sont protégées dans le cloud, les fournisseurs qui traitent des données personnelles pour le compte de leurs clients, et les organisations qui ont déjà ou visent l'ISO/IEC 27001 et veulent y inclure visiblement le cloud.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Responsabilité partagée
Nous établissons quelles mesures relèvent de vous, de votre fournisseur de cloud et de vos clients, pour que rien ne tombe entre deux contrats.
Analyse d'écarts
Une revue de votre SMSI et de votre exploitation cloud au regard des recommandations des deux normes, avec des constats classés par risque et par effort.
Mesures cloud
Mesures de séparation des clients, de durcissement des environnements virtuels, d'opérations d'administration, de surveillance et de restitution des actifs des clients.
Mesures de sous-traitant
Procédures pour les instructions des clients, les demandes de divulgation, les sous-traitants ultérieurs, la localisation, la restitution et l'effacement des données.
Déclaration d'applicabilité et preuves
Les mesures étendues ajoutées à votre déclaration d'applicabilité, chacune avec un renvoi vers sa preuve.
Vérifications techniques
Si utile, une évaluation de votre configuration cloud réelle, pour que les documents et l'environnement racontent la même histoire.
Déroulement de la mission
Lancement
Nous convenons des services concernés, de votre rôle de fournisseur, de client ou des deux, et de l'échéance. Un accord de confidentialité d'abord si vous le souhaitez.
Analyse d'écarts
Entretiens, revue documentaire et examen de l'environnement cloud, avec à la clé un rapport priorisé.
Accompagnement à la mise en œuvre
Nous travaillons avec vos responsables sur les mesures, les contrats, la documentation client et les preuves.
Audit interne
Un audit interne couvrant le périmètre ISO/IEC 27001 et les mesures étendues.
Audit de certification
Nous coordonnons l'évaluation de l'extension avec l'un de nos partenaires de certification de longue date ou l'organisme qui vous certifie déjà, vous aidons à vous préparer et à traiter les éventuels constats.
Ce que vous recevez
- Matrice de responsabilité partagée pour les services concernés
- Rapport d'analyse d'écarts et plan d'action priorisé
- Déclaration d'applicabilité étendue avec renvois vers les preuves
- Procédures d'exploitation cloud et de sous-traitance
- Informations de sécurité et de confidentialité pour vos clients
- Rapport d'audit interne
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Peut-on se certifier selon l'ISO/IEC 27017 ou 27018 seules ?
En général, non. Ce sont des codes de bonnes pratiques qui étendent l'ISO/IEC 27001 et 27002. Les organismes de certification les évaluent dans le cadre ou à côté d'une certification ISO/IEC 27001, et le résultat figure généralement sur ce certificat ou l'accompagne.
Nous sommes client du cloud, pas fournisseur. La 27017 nous concerne-t-elle ?
Elle peut vous concerner. L'ISO/IEC 27017 s'adresse aux clients comme aux fournisseurs de services en nuage, par exemple pour comprendre les mesures du fournisseur et gérer votre part de la responsabilité partagée.
Quel lien entre l'ISO/IEC 27018 et l'ISO/IEC 27701 ?
L'ISO/IEC 27018 vise les fournisseurs de cloud public agissant comme sous-traitants. L'ISO/IEC 27701 décrit un système de management de la vie privée pour les responsables de traitement et les sous-traitants en général. Beaucoup de fournisseurs de cloud regardent les deux, et le travail se recoupe.
Délivrez-vous le certificat ?
Non. L'organisme qui audite votre périmètre ISO/IEC 27001 évalue aussi l'extension. Nous vous préparons, coordonnons l'audit avec l'un de nos partenaires de certification de longue date ou votre organisme actuel, et vous soutenons pendant celui-ci.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conformité et certificationISO/IEC 27701ISO/IEC 27701 avec Black Fox Security : périmètre du PIMS, rôles de responsable de traitement et de sous-traitant, risques vie privée et préparation à la certification.
- Conformité et certificationRGPDRGPD avec Black Fox Security : registre des traitements, AIPD, sécurité du traitement, contrats de sous-traitance, violations et droits des personnes.
Montrez à vos clients comment le côté cloud est géré
Dites-nous quels services vous exploitez et qui détient quelles clés. Nous vous montrerons où sont les écarts.