Un prestataire envoie son certificat ISO 27001 et l'équipe sécurité du client en lit une ligne : le périmètre. Si cette ligne dit « le système de management de la sécurité de l'information d'Exemple SARL à son siège social », le certificat vient de dire à un acheteur que le produit SaaS qui tourne dans une région de nuage, exploité par une équipe qui travaille de chez elle, en fait peut-être partie, ou peut-être pas. Depuis le 15 juillet 2024, cette lecture a une base réglementaire pour tout client financier : le point b) de l'article 8, paragraphe 3, du règlement délégué (UE) 2024/1773 ne permet à une banque de se fier à une certification plutôt que d'auditer son prestataire que lorsque le périmètre de la certification couvre les systèmes et les contrôles clés que la banque a identifiés, et les points c) et d) exigent que le certificat soit à jour et continue de couvrir ces systèmes dans ses versions futures. Cet article explique ce qu'est le périmètre, ce que le certificat doit montrer, comment un acheteur lit les deux, et ce que le périmètre d'une entreprise de logiciels devrait dire. Ce n'est pas un avis juridique et ce n'est pas la norme ; la norme est le texte à acheter et à lire.

Ce que la clause 4.3 exige

La clause 4.3 de l'ISO/IEC 27001:2022 exige que l'organisation détermine les limites et l'applicabilité de son système de management de la sécurité de l'information pour en établir le périmètre, en considérant les enjeux externes et internes de la clause 4.1, les exigences des parties intéressées de la clause 4.2, et les interfaces et dépendances entre les activités réalisées par l'organisation et celles réalisées par d'autres organisations, et qu'elle tienne le périmètre à disposition sous forme d'information documentée. Trois choses en découlent. Le périmètre est la décision de l'organisation, pas celle de l'auditeur : un organisme de certification audite ce que l'organisation a déclaré, et un périmètre étroit est un périmètre valable. Le périmètre doit être écrit et disponible, ce qui explique qu'un acheteur puisse demander le document de périmètre et pas seulement le certificat. Et la troisième considération, les interfaces et dépendances, est la phrase qui décide de la façon dont un produit hébergé dans le nuage est décrit : le fournisseur de nuage est une autre organisation, ses activités sont hors périmètre, et l'interface avec lui est dedans.

Ce que le certificat montre

L'ISO/IEC 17021-1, la norme à laquelle les organismes d'accréditation tiennent les organismes de certification, exige que le document de certification identifie le client et les sites couverts, la norme et son édition, le périmètre de la certification, l'organisme de certification, les dates d'octroi et d'expiration, et une identification unique. La plupart des certificats nomment aussi l'organisme d'accréditation dont ils portent la marque et la version de la déclaration d'applicabilité au regard de laquelle l'audit a été réalisé. Deux de ces champs sont ceux qu'un acheteur vérifie en premier. L'édition : les certificats selon l'ISO/IEC 27001:2013 ne sont plus valables, parce que la transition accréditée vers l'édition 2022 s'est achevée le 31 octobre 2025, et un certificat qui cite encore 2013 est un certificat qui a expiré. Et les sites : un certificat liste les lieux couverts, et un produit exploité depuis une région de nuage n'est exploité depuis aucun d'eux, sauf si le périmètre dit comment.

Comment un acheteur décide s'il est à jour

La certification accréditée fonctionne sur un cycle de trois ans. L'organisme de certification réalise un audit de surveillance au moins une fois par année civile, le premier dans les 12 mois suivant la décision de certification, et un audit de renouvellement avant l'expiration du certificat. Un acheteur qui applique l'article 8, paragraphe 3, point c), du règlement délégué, ou qui fait simplement son travail, demande la date du dernier audit de surveillance et si des non-conformités sont ouvertes, parce qu'un certificat n'est à jour que dans la mesure de son dernier audit. La page des organismes de certification liste le registre d'accréditation national de chaque État membre, où l'acheteur confirme que le certificateur est accrédité spécifiquement pour ISO 27001 ; l'accréditation pour ISO 9001 n'est pas une accréditation pour ISO 27001, et un certificateur qui n'apparaît dans aucun registre national n'est pas accrédité, quoi qu'en dise son site.

Un périmètre qui échoue, et trois qui passent

Celui qui échoue : « Le système de management de la sécurité de l'information d'Exemple SARL, 1 rue de l'Exemple. » Il ne nomme aucun produit, aucun service, aucun système et aucun lieu autre qu'un bureau. La politique d'un client financier ne peut pas le rapporter aux systèmes dont elle dépend, donc l'article 8, paragraphe 3, point b), n'est pas satisfait, et la clause d'audit est utilisée à la place.

Les trois qui passent sont écrits pour une entreprise de logiciels et sont des illustrations, pas des modèles ; c'est l'organisme de certification qui décide si un périmètre est auditable.

Premièrement, un produit unique exploité chez un fournisseur de nuage : « Le développement, l'exploitation et le support de la plateforme de paie Exemple, fournie en SaaS multi-locataire depuis les régions Exemple Cloud dans l'Union, y compris les fonctions de support client et de réponse aux incidents, assurées par du personnel travaillant depuis les bureaux d'Exemple SARL et à distance, conformément à la déclaration d'applicabilité version 4. » Il nomme le produit, le modèle de fourniture, les régions, les fonctions de soutien, les personnes et la version de la déclaration d'applicabilité.

Deuxièmement, une entreprise à plusieurs produits dont un seul est vendu à des clients régulés : « La conception, le développement, l'hébergement et l'exploitation du service Exemple Ledger pour les clients du secteur financier, y compris l'infrastructure sur laquelle il tourne chez Exemple Cloud et les processus de gestion des changements, des incidents, des sauvegardes et des fournisseurs qui le soutiennent. » Les autres produits sont hors périmètre à dessein, et la déclaration le dit en n'en nommant qu'un.

Troisièmement, une entreprise dont le produit est installé par les clients : « Le développement, la publication et la maintenance du produit logiciel Exemple, y compris la chaîne de build et de publication, le processus de traitement des vulnérabilités et le service de support technique, dans les bureaux d'Exemple SARL à Dublin et Lisbonne et à distance. » Ici, les systèmes propres du client sont hors périmètre, donc le périmètre nomme la chaîne et le service de support dont le client dépend.

Où va le fournisseur de nuage

Un prestataire ne peut pas faire entrer son fournisseur de nuage dans son propre périmètre, et n'en a pas besoin. La troisième considération de la clause 4.3 met l'interface dedans : les mesures relatives aux relations avec les fournisseurs de l'annexe A, A.5.19 à A.5.21 (sécurité de l'information dans les relations avec les fournisseurs, accords avec les fournisseurs, chaîne d'approvisionnement TIC), et la surveillance des services des fournisseurs, A.5.22, sont les mesures que le périmètre désigne quand il dit « fourni depuis les régions Exemple Cloud ». Le propre certificat du fournisseur, sa documentation sur la responsabilité partagée et les conditions contractuelles sont la preuve que ces mesures produisent. C'est aussi pourquoi le registre d'informations qu'un client financier dépose demande les pays de stockage et de traitement et la chaîne de sous-traitance par rang : le client rapporte les lignes du registre aux interfaces du périmètre, et un périmètre qui nomme les régions rend ce rapprochement possible.

Que faire avant le prochain audit de surveillance

Réécrivez le périmètre de façon qu'il nomme le produit, le modèle de fourniture, les fonctions de soutien, les lieux y compris les régions de nuage, et la version de la déclaration d'applicabilité, et soumettez le périmètre réécrit à l'organisme de certification avant le prochain audit de surveillance, parce qu'un changement de périmètre est un changement qu'il évalue. Publiez le périmètre à côté du certificat plutôt que le certificat seul. Gardez le dernier rapport d'audit de surveillance prêt à être partagé sous accord de confidentialité, parce que l'article sur la diligence raisonnable DORA montre que le certificat seul ne satisfait jamais les huit conditions. Et traitez le périmètre comme le premier document du système de management plutôt que comme la dernière ligne du certificat : StandardOS le tient à côté de la déclaration d'applicabilité et des mesures qu'ils nomment, versionné, de sorte que la phrase sur le certificat et le système derrière disent la même chose. La page gratuite rédige le périmètre à partir de douze réponses, la phrase du certificat d'abord. Le hub ISO 27001 tient le reste.