Norme ISO 27018 (Protection des informations à caractère personnel dans le cloud)
La norme ISO 27018 est une variante plus ciblée et plus spécifique de la norme ISO 27001. Alors que la norme 27001 couvre de manière générale la gestion de la sécurité de l’information, la norme 27018 est un code de bonnes pratiques spécifiquement destiné à la protection des informations à caractère personnel (ICP) traitées dans des environnements de cloud public, conçu comme une extension de l’ensemble de contrôles de la norme 27002. Elle répond directement à la question suivante : lorsqu’un fournisseur de services cloud traite les données clients d’un tiers pour le compte de ce dernier, quels engagements doit-il prendre concernant la manière dont ces données sont traitées, les personnes autorisées à y accéder et le sort qui leur est réservé ?
Ce cadre est important. La norme 27018 concerne plus directement les organisations agissant en tant que fournisseurs de services cloud ou sous-traitants de données à caractère personnel (PII) — fournisseurs de SaaS, plateformes cloud, toute entité stockant ou traitant des données à caractère personnel pour le compte de clients qui sont eux-mêmes responsables de ces données en vertu du RGPD, du CCPA ou de lois similaires. Si vous êtes un client évaluant un fournisseur de services cloud, la norme 27018 est l’un des éléments sur lesquels il convient de vous renseigner pour savoir s’il s’y est conformé, car cela indique qu’il a sérieusement réfléchi aux questions de consentement, de minimisation des données, de notification des violations et au fait de ne pas utiliser les données des clients à des fins publicitaires ou marketing sans autorisation.
À qui s'adresse ce document ?
Fournisseurs de services cloud et SaaS qui traitent les données à caractère personnel de leurs clients et souhaitent disposer d’un moyen crédible et reconnu à l’échelle internationale pour le démontrer à leurs clients professionnels et à leurs équipes juridiques — en particulier lorsqu’ils commercialisent leurs services dans des secteurs réglementés ou sur des marchés soumis à une législation stricte en matière de protection des données. Cela s’avère également pertinent si vous mettez en place un programme plus large en matière de confidentialité ou de sécurité et que vous souhaitez intégrer les contrôles spécifiques à la norme 27018 relatifs aux informations personnelles identifiables (PII) dans le cloud à une base ISO 27001 existante, plutôt que de partir de zéro pour élaborer des pratiques de confidentialité dans le cloud.
Comment j’aborderais la question
Je commencerais par recenser précisément quelles données à caractère personnel transitent par vos systèmes, où elles sont stockées, qui y a accès et sur quelle base juridique — car la norme 27018 n’a de sens que si ces informations sont exactes. À partir de là, il s’agit de procéder à une analyse des écarts par rapport aux contrôles spécifiques de la norme 27018 (gestion du consentement, limitation de la finalité, transparence des sous-traitants, notification des violations, restitution et suppression des données à la fin du contrat), puis d’élaborer un plan de mise en conformité qui distingue clairement les corrections rapides à apporter aux politiques de celles qui nécessitent un véritable travail d’ingénierie au niveau de la manière dont vos systèmes traitent les données. Je préfère vous dire qu’une mesure de contrôle n’est véritablement pas encore respectée plutôt que de vous aider à contourner la règle.
Si vos clients ou prospects vous demandent comment vous protégez les données personnelles de leurs utilisateurs dans votre environnement cloud, discutons ensemble pour vous aider à leur apporter une réponse solide.