Nous préparons Qalion à la certification ISO/IEC 27001. Ce que couvre la norme, comment se déroule l’audit, la place du RGPD, et ce que vous pouvez nous demander dès maintenant.
Les données de test sont rarement de simples données de test. Un parcours de paiement transporte des numéros de carte de sandbox, une inscription transporte des noms et des adresses e-mail, et les captures qui prouvent qu’une exécution a réussi montrent tout ce qui était à l’écran. En les confiant à une plateforme de test, vous lui confiez une partie de votre produit, et parfois de vos clients. C’est pourquoi nous travaillons à la certification ISO/IEC 27001, et pourquoi nous tenons à être précis sur ce qu’elle signifiera, et ne signifiera pas.
Ce qu’est l’ISO 27001
L’ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l’information, ou SMSI : les politiques, les personnes et les processus qu’une organisation utilise pour identifier ses risques de sécurité et les maîtriser. L’édition actuelle date de 2022.
La norme n’impose ni un réglage produit ni une règle de pare-feu. Elle demande un système qui fonctionne en continu : savoir quelles informations on détient, évaluer les risques qui les menacent, choisir les mesures qui traitent ces risques, vérifier qu’elles fonctionnent et les améliorer.
Ce qu’elle contient
- Une appréciation et un plan de traitement des risques couvrant les informations que nous traitons, dont vos cas de test, vos résultats d’exécution et vos preuves.
- Une déclaration d’applicabilité qui indique lesquelles des 93 mesures de référence de l’annexe A s’appliquent à nous, et pourquoi. Elles sont réparties entre mesures organisationnelles, humaines, physiques et technologiques.
- Des responsables désignés, des audits internes et des revues de direction, pour que le système soit contrôlé par d’autres personnes que celles qui l’ont conçu.
- Un registre des incidents, des changements et des actions correctives, tenu dans la durée.
Comment se déroule la certification
La certification est délivrée par un organisme indépendant et accrédité, à l’issue d’un audit en deux étapes. La première examine la conception et la documentation du SMSI. La seconde vérifie, preuves à l’appui, qu’il fonctionne réellement comme décrit.
Un certificat est valable trois ans, avec un audit de surveillance chaque année et un renouvellement complet à l’échéance. Ce n’est pas un badge ponctuel : l’auditeur revient.
La place du RGPD
L’ISO 27001 et le RGPD ne répondent pas à la même question. Le RGPD est une loi : il fixe quand des données personnelles peuvent être traitées et quels droits les personnes ont sur elles. Son article 32 demande aux responsables de traitement et aux sous-traitants de mettre en œuvre des mesures techniques et organisationnelles appropriées pour sécuriser ces données. L’ISO 27001 est l’un des moyens les plus répandus de démontrer que ces mesures existent et sont entretenues.
La certification ne rend pas, à elle seule, une organisation conforme au RGPD, et nous ne la présenterons jamais ainsi. Elle ajoute un socle de sécurité vérifié de manière indépendante sous les engagements que nous prenons déjà : traitement dans la région de votre choix, aucun transfert hors de celle-ci, chiffrement en transit et identifiants chiffrés au repos, données isolées par organisation.
Où nous en sommes
Notre SMSI est en préparation pour l’audit d’un organisme de certification accrédité. Nous publierons le certificat, son périmètre et l’organisme qui l’a délivré dès son émission. D’ici là, nous ne présenterons pas Qalion comme certifié ISO 27001.
Si votre revue de sécurité ne peut pas attendre, demandez-nous. Nous pouvons présenter à votre équipe nos mesures actuelles, nos flux de données et nos régions d’hébergement, et signer un accord de sous-traitance au titre de l’article 28 du RGPD.
La suite
Une fois l’ISO 27001 obtenue, la prochaine étape de notre feuille de route est un examen SOC 2 Type II, qui vérifie la tenue de nos contrôles sur plusieurs mois plutôt qu’un seul jour.