Lisez la ligne de scope : comment vérifier les certifications ISO d'un hébergeur

Presque tous les hébergeurs affichent quelque part sur leur site web une rangée de logos de certification. Votre auditeur n'acceptera pas un logo, et vous ne devriez pas non plus. Un certificat est un document précis, et ce sont les détails qui décident s'il couvre le service que vous achetez réellement. Voici ce qu'il faut lire, dans quel ordre, et ce qu'il faut demander quand quelque chose manque.

Commencez par la déclaration de scope

Un certificat de système de management ISO certifie un scope défini, et ce scope est imprimé sur le certificat. Il peut couvrir toute l'entreprise, un site ou un seul service. Un prestataire certifié pour le « développement logiciel » à son siège ne vous a rien dit du datacenter où tournent vos serveurs.

Lisez d'abord la ligne de scope et comparez-la au contrat que vous signez. La question est simple : le service que j'achète, sur le site que j'utilise, entre-t-il dans ces mots ? Si la réponse n'est pas claire, demandez au prestataire de le confirmer par écrit.

Nos quatre certificats portent un seul scope : « Managed datacenter hosting service ». C'est le service que nos clients achètent.

Vérifiez qui l'a délivré, et qui l'a accrédité

Un certificat vaut ce que vaut l'organisme qui l'a délivré. Les organismes de certification sont eux-mêmes accrédités par un organisme national d'accréditation, et ceux-ci sont membres de l'International Accreditation Forum. Vérifiez les deux maillons de la chaîne :

• Le certificat nomme l'organisme de certification. Cet organisme est-il accrédité pour cette norme ?
• L'organisme d'accréditation est nommé, généralement par sa marque sur le certificat. Est-ce un organisme national d'accréditation reconnu ?

De nombreux certificats accrédités peuvent être vérifiés de façon indépendante dans IAF CertSearch, la base de données internationale des certifications accréditées. Un prestataire doit aussi être prêt à vous envoyer, sur demande, le certificat d'accréditation de l'organisme de certification lui-même. Les nôtres ont été délivrés par RIGCERT, accrédité par l'ESYD, le système hellénique d'accréditation, et nous joignons les certificats d'accréditation à chaque dossier d'assurance.

Regardez les dates

Les certificats sont délivrés pour un cycle, normalement trois ans, avec des audits de surveillance chaque année entre-temps. Vérifiez la date de délivrance, la date d'expiration et, si vous le pouvez, la date du dernier audit de surveillance.

Sachez ce que chaque norme couvre

Les numéros comptent, car ils certifient des choses différentes :

• ISO/IEC 27001 est le management de la sécurité de l'information, le cœur de ce que la plupart des auditeurs demandent.
• ISO/IEC 27017 ajoute des mesures de sécurité propres aux services cloud.
• ISO/IEC 27018 ajoute des mesures de protection des données personnelles dans les services cloud, directement utile dans les discussions sur le RGPD.
• ISO 9001 est le management de la qualité : des processus documentés et reproductibles.
• ISO 14001 est le management environnemental.
• ISO 37001 est le management anti-corruption.

Pour l'ISO/IEC 27001, un document supplémentaire mérite d'être demandé : la déclaration d'applicabilité. Elle liste les mesures de l'annexe de la norme et indique lesquelles sont appliquées et lesquelles sont exclues, avec les raisons. Les exclusions sont normales, mais une exclusion qui touche votre cas d'usage mérite une discussion.

Où nous en sommes

EuroVPS détient l'ISO/IEC 27001 avec l'ISO/IEC 27017 et 27018, l'ISO 9001, l'ISO 14001 et l'ISO 37001, délivrées en septembre 2026. Les opérateurs de nos datacenters détiennent leurs propres rapports d'audit et attestations indépendants, disponibles sous NDA.

Quand l'auditeur ou l'équipe d'appel d'offres d'un client a besoin de preuves, nous assemblons un dossier : un index, une déclaration signée des services, des sites, des certifications, du scope et des mesures clés, nos certificats avec les certificats d'accréditation qui les appuient, les documents d'assurance de l'opérateur du datacenter, et une note d'accompagnement. Notre objectif est de le livrer sous un jour.

Questions à poser à votre prestataire

• Que dit exactement le scope du certificat, et mon service entre-t-il dedans ?
• Quel organisme l'a délivré, et qui a accrédité cet organisme ?
• À quand remonte le dernier audit de surveillance ?
• Puis-je voir la déclaration d'applicabilité ?

Si votre auditeur a demandé des preuves et que vous les voulez en un seul dossier, nous vous aidons volontiers. Parler à un ingénieur

Related

• /what-we-do/operations/certifications/
• /what-we-do/operations/gdpr/
• /what-we-do/operations/hardening-baseline/