ISO 27017
La norme ISO 27017 n’est pas une certification à part entière : il s’agit d’un code de bonnes pratiques qui complète les contrôles de la norme ISO 27001 par des recommandations spécifiques aux services cloud, et qui s’applique aux deux parties prenantes : les fournisseurs de services cloud et les clients qui utilisent ces services. Si vous disposez déjà d’un système de gestion de la sécurité de l’information conforme à la norme ISO 27001 et que vous exercez vos activités dans le cloud ou que vous en dépendez fortement, la norme 27017 comble les lacunes que la norme de base ne traite pas directement.
Les contrôles qu’il ajoute portent spécifiquement sur des aspects qui deviennent flous dans les environnements cloud : qui est responsable de quoi lorsqu’un fournisseur et un client partagent une infrastructure, comment les données sont-elles réellement séparées entre les locataires, qu’advient-il de vos données et de vos droits d’accès lorsque vous résiliez un service cloud, et comment les environnements virtualisés sont-ils sécurisés et surveillés.
Pourquoi cela est-il important au-delà de la simple formalité administrative ?
De nombreux incidents de sécurité dans le cloud trouvent leur origine précisément dans le type d’ambiguïté que la norme 27017 vise à lever : une supposition quant à savoir qui applique les correctifs ou qui est chargé de configurer correctement un compartiment de stockage. Une mise en œuvre rigoureuse de la norme implique que ces responsabilités soient clairement définies par écrit et testées, et non pas simplement supposées.
Comment j’aborderais la question
Si vous êtes déjà certifié ISO 27001, il s’agit ici d’une analyse ciblée des écarts par rapport aux contrôles spécifiques au cloud, et non d’une refonte complète. Si vous n’êtes pas encore certifié du tout, il est généralement plus judicieux de mettre en place simultanément les contrôles de la norme ISO 27001 et ceux de la norme 27017 relatifs au cloud, plutôt que d’ajouter l’un à l’autre ultérieurement. Dans tous les cas, l’objectif est de disposer de contrôles qui reflètent le fonctionnement réel de votre environnement cloud — votre fournisseur spécifique, votre architecture spécifique — et non d’une liste de contrôle générique qui permet simplement de passer un audit sur le plan technique.
Si, au sein de votre organisation, les responsabilités en matière de sécurité dans le cloud sont davantage assumées que documentées, cela mérite d’être corrigé. Discutons ensemble de votre situation actuelle.