Hébergeurs et cloud : quelles certifications, HDS, ISO 27001, SecNumCloud

Un hébergeur ou un fournisseur cloud ne choisit pas ses certifications au hasard : elles lui sont réclamées par ses clients, et de plus en plus par leurs donneurs d’ordre.

Trois demandes reviennent. Les acteurs de la santé exigent la certification HDS, imposée par le code de la santé publique dès lors que vous hébergez des données de santé pour un tiers. Le secteur public et les opérateurs sensibles s’orientent vers SecNumCloud. Les clients soumis à NIS2, banque, énergie, transports, infrastructures numériques, doivent répondre de la sécurité de leur chaîne d’approvisionnement, et attendent donc une preuve de la vôtre.

À cela s’ajoute une logique commerciale : un certificat délivré par un organisme accrédité évite à votre client de conduire son propre audit fournisseur.

La certification HDS s’impose à toute organisation qui héberge des données de santé à caractère personnel pour le compte d’un tiers. Elle ne se négocie pas : c’est une obligation réglementaire, pas un argument commercial.

Le référentiel distingue six activités d’hébergement, réparties en deux certificats : hébergeur d’infrastructure physique et hébergeur infogéreur. Le périmètre couvert figure sur le certificat et doit correspondre au service réellement rendu.

HDS s’appuie sur ISO/IEC 27001, complétée d’exigences propres au secteur.

ISO/IEC 27001 certifie le système de management de la sécurité de l’information. C’est le socle : reconnu à l’international, il constitue le prérequis des autres schémas.

ISO/IEC 27017 ajoute des mesures propres aux services cloud, et traite le partage des responsabilités entre fournisseur et client, un point que les contrats laissent souvent dans le flou.

ISO/IEC 27018 porte sur la protection des données à caractère personnel traitées dans le cloud, du point de vue du sous-traitant.

Ces deux extensions ne s’obtiennent pas seules : elles complètent une certification ISO 27001.

SecNumCloud n’est pas une certification mais une qualification, délivrée par l’ANSSI à l’issue d’une évaluation conduite par un centre d’évaluation agréé.

Son niveau d’exigence est nettement supérieur, et elle comporte des critères de protection contre les législations extraterritoriales qui n’existent dans aucun autre schéma. C’est ce qui en fait la référence du cloud de confiance pour le secteur public et les opérateurs sensibles.

Le parcours est plus long et plus exigeant que celui d’une certification ISO. ISO 27001 en constitue une base de travail naturelle.

Ces référentiels partagent une base commune : le système de management de la sécurité de l’information. Une organisation certifiée ISO 27001 a déjà construit l’essentiel de ce que HDS et les extensions cloud exigent.

Un audit combiné évalue plusieurs schémas au cours d’une même intervention. Le gain porte sur le nombre de jours, sur la mobilisation des équipes et sur l’alignement des dates d’échéance, ce qui simplifie le suivi sur le cycle de trois ans.

L’ordre compte : construire d’abord le socle ISO 27001, puis ajouter les schémas sectoriels, coûte moins cher que de mener plusieurs projets en parallèle sans base commune.

Certi-Trust certifie ISO 27001 et HDS sous accréditation COFRAC n° 4-0612. Nous certifions également les extensions cloud ISO 27017 et ISO 27018. Nous intervenons comme organisme d’évaluation : nous n’intervenons ni dans la conception ni dans la mise en œuvre de votre système de management, conformément à ISO/IEC 17021-1.

Pour aller plus loin : la certification HDS, ISO 27017, ISO 27018, le secteur santé et le règlement DORA pour le secteur financier.