ISO/IEC 27017.

Ce qu'ISO/IEC 27017 ajoute concrètement

ISO/IEC 27017 n'est pas un schéma de certification autonome. C'est un code de bonnes pratiques qui se superpose à ISO/IEC 27002, le guide de mise en œuvre des mesures d'ISO/IEC 27001. Là où 27002 décrit une mesure de sécurité de l'information générique, 27017 ajoute des recommandations de mise en œuvre propres au cloud pour cette même mesure, et introduit par endroits des mesures supplémentaires qui n'ont de sens qu'à partir du moment où vos données résident sur une infrastructure que vous ne possédez pas. Ainsi, lorsque vous l'adoptez, vous ne pilotez pas un SMSI parallèle. Vous étendez celui que vous certifiez déjà au regard d'ISO 27001 pour qu'il parle le langage du cloud.

L'intérêt pratique est qu'il oblige les deux parties de la relation cloud à formaliser les choses par écrit. La norme est délibérément structurée de sorte que chaque recommandation possède une version pour le fournisseur de services cloud et une version pour le client de services cloud. Ce double cadrage est tout l'enjeu. Une mesure comme la gestion des accès ou le traitement des clés cryptographiques signifie quelque chose de différent selon que vous êtes le hyperscaler qui exploite la plateforme ou le locataire qui y déploie des charges de travail, et 27017 rend cette répartition explicite au lieu de la laisser à la supposition.

Une responsabilité partagée, rendue auditable

Toute conversation sur la sécurité du cloud aboutit tôt ou tard à la responsabilité partagée : le fournisseur sécurise l'infrastructure, le client sécurise ce qu'il y dépose. Le problème, c'est que la frontière se déplace selon le modèle de service. Avec l'infrastructure as a service, le client est responsable du système d'exploitation, des correctifs et de la majeure partie de la configuration. Avec le software as a service, presque tout incombe au fournisseur, et il ne reste guère au client que l'identité, les accès et la gouvernance des données. ISO 27017 transforme ce schéma flou en quelque chose qu'un auditeur peut tester.

• Elle demande au fournisseur de documenter quelles responsabilités de sécurité il conserve et lesquelles il transfère au client, afin qu'il n'y ait pas de lacune silencieuse.
• Elle demande au client de confirmer qu'il comprend et qu'il a réellement mis en œuvre sa part, plutôt que de supposer que le fournisseur s'en charge.
• Elle ajoute des recommandations propres aux environnements multi-locataires, au durcissement des machines virtuelles, aux opérations d'administration et à la ségrégation des clients s'exécutant sur du matériel partagé.
• Elle traite du retrait et de la restitution des actifs à la fin d'un contrat, point sur lequel de nombreuses sorties du cloud échouent.

Où elle se situe par rapport à ses voisines

27017 est facile à confondre avec les normes qui l'entourent, il est donc utile de garder la famille au clair. ISO/IEC 27001 est le système de management certifiable. ISO/IEC 27002 est le guide général des mesures. ISO/IEC 27017 est l'extension de ce guide à la sécurité du cloud. ISO/IEC 27018 est la cousine qui se concentre spécifiquement sur la protection des informations personnelles identifiables dans le cloud public, ce qui compte lorsque vos charges de travail cloud transportent aussi des données à caractère personnel et que vous répondez à des obligations de protection de la vie privée en plus des obligations de sécurité.

Pour un praticien, le déroulé est cohérent. Vous exploitez un SMSI ISO 27001, vous intégrez les charges de travail cloud dans son périmètre, et vous utilisez 27017 pour décider quelles mesures cloud vous cartographiez et comment vous apportez la preuve des deux versants de la ligne de responsabilité. Si ces charges de travail traitent aussi des données à caractère personnel, vous l'associez à 27018. Aucune de ces normes ne remplace votre diligence contractuelle vis-à-vis du fournisseur ; elles vous offrent une manière structurée de prouver que vous l'avez exercée.