Ce que sont les deux normes
ISO/IEC 27017 donne des recommandations propres au cloud pour les contrôles d’ISO 27001 et en ajoute quelques-uns : qui est responsable de quoi entre le fournisseur cloud et le client, comment les environnements des clients sont séparés, comment les administrateurs du fournisseur sont encadrés, comment les machines virtuelles sont durcies, et comment le client peut surveiller le service. ISO/IEC 27018, révisée pour la dernière fois en 2025, porte sur les données personnelles traitées par un fournisseur de cloud public agissant en tant que sous-traitant : les utiliser uniquement sur instruction du client, jamais à des fins de marketing, informer le client des demandes des autorités, les supprimer à la fin du contrat et nommer les sous-traitants ultérieurs.
Ce que demandent les clients
- Si votre certificat ISO 27001 inclut ISO 27017 et ISO 27018, et pour quel service.
- Le partage des responsabilités entre vous, votre hébergeur et le client.
- Comment les données d’un client sont tenues à l’écart de celles d’un autre dans une application partagée.
- Comment l’accès privilégié de votre personnel aux environnements des clients est restreint et journalisé.
- Si les données personnelles des clients sont utilisées à vos propres fins, comme le marketing, l’analyse ou l’entraînement de modèles.
- Comment vous répondez à une demande de données client émanant d’une autorité publique, et si vous en informez le client.
- Comment les données sont restituées et supprimées à la fin du contrat, sauvegardes comprises.
Répondre en tant que fournisseur
Si votre audit ISO 27001 inclut les deux codes, dites-le et citez le périmètre. Sinon, répondez directement aux lignes. La plupart portent sur des faits que vous avez déjà dans vos réponses sur la sécurité et la confidentialité, formulés pour un service cloud. Deux réponses méritent une déclaration à part entière : la séparation des locataires (comment l’application tient les données d’un client à l’écart de celles d’un autre) et la politique face aux demandes des autorités. Rédigez-les une fois et réutilisez-les.
Dans Responsemate
Ces réponses se trouvent dans la base de connaissances à côté des réponses ISO 27001 et GDPR qu’elles recoupent, avec les certificats joints comme preuves avec leurs dates d’expiration, et chaque questionnaire cloud est rédigé à partir d’elles avec la source affichée. Les connaissances dans Responsemate.
Questions fréquentes
Pouvons-nous être certifiés ISO 27017 ou ISO 27018 ?
Pas de manière autonome. Ce sont des codes de bonnes pratiques, évalués dans le cadre d’un audit ISO 27001, et le certificat ou la déclaration de l’auditeur les mentionne alors. Les clients y voient la preuve que le périmètre ISO 27001 couvre les contrôles cloud.
Les certificats ISO 27017 et 27018 de notre hébergeur nous couvrent-ils ?
Ils couvrent l’infrastructure, pas votre application. Citez-les pour les lignes portant sur le centre de données et la plateforme, et répondez au reste pour votre propre service.