Sécurité

Certification ISO 27001 d'un prestataire : que vérifier avant de lui confier vos données ?

Par Codevista InnovationsPublié le 12 octobre 20268 min de lecture

Un certificat ISO/IEC 27001 prouve qu'un prestataire a mis en place un système de management de la sécurité de l'information (SMSI), audité par un organisme de certification indépendant, sur un périmètre précis. Il ne prouve pas que toutes ses activités sont couvertes, ni que vos données seront traitées conformément à la loi 09-08. Avant de signer, vérifiez le périmètre, la validité, l'organisme émetteur et la déclaration d'applicabilité, puis interrogez-le sur le traitement de vos données.

Qu'est-ce que la norme ISO/IEC 27001:2022 ?

ISO/IEC 27001 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information (SMSI). Elle n'impose pas d'outil : elle impose une démarche. L'organisation évalue les risques qui pèsent sur la confidentialité, l'intégrité et la disponibilité de ses informations, choisit des mesures pour les traiter, puis audite et améliore le dispositif dans la durée.

La version en vigueur est celle de 2022. Ses chapitres 4 à 10 posent les exigences du système (contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration) et son annexe A liste 93 mesures de sécurité, regroupées en quatre thèmes :

• mesures organisationnelles : politiques, contrôle d'accès, relations avec les fournisseurs, gestion des incidents, continuité ;
• mesures liées aux personnes : sélection, sensibilisation, engagements de confidentialité, travail à distance ;
• mesures physiques : accès aux locaux, protection des équipements ;
• mesures technologiques : authentification, restriction des accès, chiffrement, journalisation, sauvegardes, développement sécurisé.

La période de transition depuis la version 2013 est close : un certificat accrédité encore valide vise la version 2022. Si l'on vous présente un certificat « ISO 27001:2013 », demandez où en est sa transition. Le résumé officiel de la norme est disponible sur le site de l'ISO.

Que prouve un certificat ISO 27001, et que ne prouve-t-il pas ?

Le certificat atteste qu'un auditeur indépendant a constaté, à une date donnée, que le SMSI répond aux exigences de la norme. Quatre éléments en déterminent la valeur.

Le périmètre fait tout

Chaque certificat mentionne un périmètre (scope) : les activités, les sites et parfois les systèmes couverts. Une entreprise peut être certifiée pour son hébergement mais pas pour son développement logiciel. Si l'activité que vous achetez n'apparaît pas dans le périmètre, le certificat ne vous apporte aucune garantie sur elle.

L'organisme de certification

Le certificat est délivré par un organisme de certification, qui devrait lui-même être accrédité pour ISO/IEC 27001 par un organisme d'accréditation membre des accords de reconnaissance de l'IAF (International Accreditation Forum). Au Maroc comme ailleurs, c'est cette accréditation qui compte, pas la nationalité de l'organisme. Un document émis par une structure non accréditée vaut beaucoup moins, même s'il en a l'apparence.

Validité et audits de surveillance

Un certificat a une date d'émission et une date d'expiration. Entre les deux, l'organisme conduit des audits de surveillance, au moins une fois par an, puis un audit de renouvellement avant l'échéance. Le certificat peut être suspendu ou retiré si les écarts ne sont pas corrigés : un logo sur un site web ne dit rien de son état actuel.

La déclaration d'applicabilité

La déclaration d'applicabilité (Statement of Applicability, SoA) reprend les 93 mesures de l'annexe A, indique lesquelles sont retenues et mises en œuvre, et justifie chaque exclusion. C'est le document qui montre ce que le prestataire fait réellement ; souvent confidentiel, il peut être communiqué sous accord de confidentialité.

Enfin, ISO 27001 ne certifie ni un produit, ni un logiciel livré, ni l'absence de vulnérabilités, ni la conformité à une loi. La norme oblige le prestataire à identifier ses obligations légales et contractuelles ; elle n'atteste pas qu'il les respecte, et encore moins que vous respectez les vôtres.

Comment vérifier le certificat ISO 27001 d'un prestataire ?

Cinq vérifications, qui ne demandent aucune expertise technique :

1. Demandez une copie du certificat et notez son numéro, la version de la norme (2022) et les dates d'émission et d'expiration.
2. Lisez le périmètre mot à mot et comparez-le à la prestation que vous achetez : développement, hébergement, support, formation.
3. Identifiez l'organisme de certification, vérifiez son accréditation, puis confirmez la validité du certificat auprès de lui, via son registre en ligne ou par écrit.
4. Demandez la date du dernier audit de surveillance et si des non-conformités majeures sont en cours de traitement.
5. Demandez à consulter la déclaration d'applicabilité, au moins pour les mesures qui touchent vos données : contrôle d'accès, chiffrement, fournisseurs, développement sécurisé.

Ces points complètent la grille de notre article sur le choix d'une agence de développement à Casablanca.

Quelles questions poser à un prestataire logiciel ou IA ?

Le certificat ouvre la discussion, il ne la clôt pas.

Pour un projet de développement logiciel

• Qui aura accès à vos données de production, y compris chez les sous-traitants, et comment ces accès sont-ils retirés ?
• Les environnements de développement et de test utilisent-ils des données réelles, anonymisées ou fictives ?
• Où le code et les données sont-ils hébergés, et dans quels pays ?
• Comment et sous quel délai serez-vous informé d'un incident de sécurité ?
• Que deviennent vos données et vos accès à la fin du contrat ?

Pour un projet d'intelligence artificielle

• Quels fournisseurs de modèles ou d'API sont utilisés, et vos données leur sont-elles transmises ?
• Vos données servent-elles à entraîner ou à améliorer un modèle, chez le prestataire ou chez un tiers ?
• Les requêtes et les réponses sont-elles journalisées, et combien de temps sont-elles conservées ?
• Les données ou les requêtes quittent-elles le Maroc ? Un transfert vers l'étranger est soumis aux conditions de la loi 09-08, sous le contrôle de la CNDP.

Voir aussi les points de vigilance de notre article sur l'IA générative en entreprise au Maroc. Pour un SaaS, ajoutez l'isolation des données entre clients (voir notre guide du développement SaaS sur mesure).

ISO 27001, loi 09-08 et CNDP : quelle articulation ?

Au Maroc, le traitement des données à caractère personnel est encadré par la loi 09-08, sous le contrôle de la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel). La loi impose notamment des formalités préalables auprès de la CNDP, des mesures de sécurité appropriées et un encadrement des transferts de données vers l'étranger.

ISO 27001 et la loi 09-08 sont complémentaires, pas interchangeables :

• la loi dit ce que vous devez respecter en tant que responsable du traitement, et ce que votre sous-traitant doit garantir ;
• ISO 27001 fournit une méthode pour piloter les mesures de sécurité qui permettent de tenir ces engagements ;
• un certificat ne remplace ni les formalités auprès de la CNDP, ni le contrat de sous-traitance.

Un prestataire certifié facilite votre démonstration de conformité, mais la responsabilité du traitement reste la vôtre. Formalités et textes à jour : site de la CNDP.

ISO 9001 ou ISO 27001 : quelle différence pour un client ?

ISO 9001 certifie un système de management de la qualité : des processus maîtrisés, orientés client et amélioration continue. ISO 27001 certifie un système de management de la sécurité de l'information : une gestion structurée des risques sur l'information. Pour un projet logiciel ou IA qui manipule vos données, ISO 9001 vous renseigne sur la manière dont le travail est conduit, ISO 27001 sur la manière dont vos informations sont protégées. Un certificat ISO 9001 seul ne dit donc rien de la confidentialité de vos données ; les deux ensemble couvrent la façon de livrer et la façon de protéger.

Comment intégrer la sécurité des données dans votre cahier des charges ?

Le bon moment pour poser ces exigences est avant la consultation, pas au moment de signer. Inscrivez dans votre cahier des charges les attentes de sécurité : certification attendue et périmètre, localisation de l'hébergement, gestion des accès, notification des incidents, réversibilité. Demandez ensuite des réponses point par point, pièces à l'appui, plutôt qu'une case « certifié ISO 27001 » cochée.

Codevista Innovations est certifiée ISO 27001:2022 (certificat CTX-2026-540336, valide jusqu'au 31 décembre 2029) et DIN EN ISO 9001:2015 (certificat CTX-2026-488547, valide jusqu'au 19 juin 2028). Pour examiner ces certificats et leur périmètre avant un projet logiciel ou IA, contactez notre équipe à Casablanca.

Questions fréquentes

Un prestataire certifié ISO 27001 est-il automatiquement conforme à la loi 09-08 ?

Non. ISO 27001 impose d'identifier les obligations légales applicables et de gérer les risques de sécurité, mais elle ne réalise pas à votre place les formalités auprès de la CNDP ni ne remplace un contrat de sous-traitance. La conformité à la loi 09-08 se vérifie séparément, sous la responsabilité du responsable du traitement.

Combien de mesures de sécurité contient l'annexe A d'ISO 27001:2022 ?

L'annexe A de la version 2022 contient 93 mesures, réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. Une entreprise certifiée n'est pas tenue de toutes les appliquer : elle sélectionne celles qui traitent ses risques et justifie chaque exclusion dans sa déclaration d'applicabilité, examinée par l'auditeur.

Comment savoir si le certificat ISO 27001 d'un prestataire est toujours valide ?

Relevez le numéro du certificat, ses dates d'émission et d'expiration et le nom de l'organisme de certification, puis vérifiez-le directement auprès de cet organisme. Demandez aussi la date du dernier audit de surveillance : un certificat peut être suspendu ou retiré avant son échéance si les écarts constatés ne sont pas corrigés.

Faut-il exiger ISO 27001 pour un projet d'intelligence artificielle ?

C'est un critère pertinent dès que le projet manipule des données sensibles ou personnelles, car il montre que le prestataire gère ses risques de sécurité de façon structurée. Demandez aussi quels fournisseurs de modèles sont utilisés, si vos données servent à l'entraînement, où elles sont hébergées et combien de temps les échanges sont conservés.