Vérifier les preuves de sécurité des fournisseurs de logiciels : certificats, audits et références

Pourquoi les preuves de sécurité sont déterminantes avant le choix d'un logiciel

Le Safety Center qualifie la sécurité de l'information de vitale pour la survie des organisations de tout type sur sa page consacrée à la norme ISO/IEC 27001. La confidentialité, l'intégrité et la disponibilité des informations constituent un facteur stratégique de succès pour la confiance des clients, des partenaires commerciaux et du public. Une certification ISO/IEC 27001 démontre à ces parties prenantes que la sécurité de l'information est gérée activement et contrôlée régulièrement.

Lorsqu'on achète un logiciel, il est généralement impossible d'évaluer soi-même la sécurité d'un fournisseur. On a besoin de preuves établies ou vérifiées par des tiers indépendants.

Netsafe AG cite des études selon lesquelles plus de 30 % des entreprises suisses ont été touchées par des cyberattaques en 2024. Dès lors, la vérification des fournisseurs passe d'une simple formalité à une décision liée au risque. Un fournisseur de logiciels traitant des données personnelles ou critiques pour l'exploitation doit prouver comment il maîtrise la sécurité de l'information.

Lors de l'examen, il convient de distinguer trois domaines. Les certificats attestent de la norme, du champ d'application et de la durée de validité d'un fournisseur ou d'un produit. Les audits révèlent la méthode, la profondeur de l'analyse et les constatations ouvertes. Les références et la qualification des auditeurs indiquent qui a réalisé l'audit et si cette personne ou cet organisme possède l'expérience pertinente pour votre secteur et la taille de votre entreprise.

Cyberattaques en Suisse : données de 2024

Bien lire les certificats : certificats de système de management et techniques

Pour un certificat de système de management selon la norme ISO/IEC 27001:2022, la SQS indique les données clés. Le certificat est valable trois ans ; après la certification initiale, un audit de surveillance a lieu chacune des deux années suivantes. Ces audits vérifient le respect des exigences de la norme et le développement continu du système de management.

Le chiffre « 2022 » dans le titre de la norme désigne l'année de la dernière révision. Selon la SQS, la norme est régulièrement examinée et développée. Celui qui évalue un fournisseur ne doit donc pas se contenter de mentionner « ISO 27001 », mais doit clarifier les dates d'émission et d'expiration, et demander si les audits de surveillance ont effectivement eu lieu.

Les certificats techniques suivent une logique différente. L'Office fédéral de l'informatique et de la télécommunication (OFIT) publie, en conformité avec le CA Browser Forum, des certificats de test que les fournisseurs de logiciels et d'applications peuvent utiliser. Ils sont classés par catégories : classe A (Regulated CA 02 et Regulated CA 03), classe B (Enhanced CA 01) ainsi que signature QSCD. Ils comportent des indications d'état telles que « Valid (through) », « Expired » et « Revoked ».

Chaque entrée mentionne le numéro de série (SN), le nom commun (CN) et la date d'expiration. Dans les entrées de classe A de la Regulated CA 03, les longueurs de clé de 2048 bits et 3072 bits sont également indiquées.

Ces deux types de certificats appellent des questions de contrôle différentes. Un certificat de système de management nomme l'organisation, le champ d'application et une durée de validité de trois ans ; sans les deux audits de surveillance, il n'a guère de valeur probante. Un certificat PKI garantit les clés et le titulaire, porte un numéro de série et une date d'expiration, et peut passer à tout moment à l'état « Expired » ou « Revoked ». Lorsqu'on lit « certificat » chez un fournisseur, il faut d'abord clarifier de quel type il s'agit.

Certificat de système de management vs certificat technique

Vérifier l'organisme de certification et l'accréditation

La SQS souligne que tous les certificats ISO n'ont pas la même valeur. Pour la reconnaissance sur le marché, la compétence et la réputation de l'organisme de certification sont décisives. Comme preuve, elle cite son agrément en tant que premier organisme de certification par l'Organisme suisse d'accréditation (OSA).

L'OSA est une autorité fédérale. Elle contrôle les organismes de certification et vérifie leur aptitude ainsi que la conformité des auditeurs. Selon ses propres indications, la SQS certifie des systèmes de management depuis 1983 et compte environ 7000 clients.

Pour la vérification des fournisseurs, une question concrète se pose : de quel organisme provient le certificat, et cet organisme est-il agréé par un organisme national d'accréditation comme l'OSA pour le domaine normatif concerné ? Si ce n'est pas le cas ou si l'accréditation ne peut être retracée, il reste incertain quelle norme de contrôle le certificat reflète.

Comprendre les audits : étendue, déroulement et valeur probante

Le cycle de certification selon l'ISO/IEC 27001 version 2022 est décrit par la SQS : certification initiale, puis un audit de surveillance chacune des première et deuxième années suivantes, avec vérification du respect de la norme et du développement du système de management.

Il faut distinguer cela des audits internes, par lesquels une organisation vérifie elle-même le respect de ses propres directives, et d'une analyse des écarts (gap analysis), qui mesure la distance par rapport à la norme avant un audit proprement dit. Netsafe AG présente l'analyse des écarts dans son configurateur d'audit comme un « contrôle préalable » et la recommande lors des premiers audits pour vérifier l'état des lieux avant le véritable audit.

Netsafe AG décrit ainsi ce qui distingue un audit d'un contrôle superficiel : les contrôles standards ne documentent que des problèmes superficiels, tandis qu'un audit analyse toute l'infrastructure IT de manière stratégique et intègre les résultats dans la directive de sécurité des systèmes. L'étendue et la profondeur du contrôle doivent donc être explicitement demandées – par exemple, s'il s'agit d'une certification initiale, d'une recertification ou d'une évaluation selon une norme sectorielle comme TISAX (niveau d'évaluation AL 2 « Élevé » ou AL 3 « Très élevé »).

Les certifications promises en peu de temps doivent être interrogées de manière critique. InfoGuard AG décrit ce schéma : les fournisseurs promettent une certification ISO 27001 en un temps record – « mise en œuvre rapide, immédiatement certifiable, sans effort supplémentaire ». Elle demande si cela rend justice à la complexité d'un ISMS efficace, basé sur la maturité organisationnelle, une culture de sécurité vécue et une gestion efficace des risques.

La même entreprise souligne qu'un ISMS ne s'achève pas avec l'obtention du certificat, mais entre dans un processus d'amélioration continue.

Cycle de certification selon l'ISO/IEC 27001:2022

Avantages et risques des certifications rapides

Évaluer les références et la compétence d'audit des fournisseurs

La qualification des auditeurs peut se mesurer à leurs certifications. Netsafe AG mentionne, pour ses audits de sécurité IT, une expertise certifiée CISA, c'est-à-dire Certified Information Systems Auditor. De telles preuves renseignent sur la formation de la personne qui audite, pas sur le résultat dans un cas précis ; elles doivent donc toujours être évaluées conjointement avec le mandat d'audit concret.

L'indépendance est un deuxième critère. Bureau Veritas décrit sa démarche ainsi : l'entreprise vérifie de manière indépendante si les clients et leurs fournisseurs respectent les réglementations et normes en matière de cybersécurité. Si le même organisme est mandaté simultanément pour le conseil et la certification, il faut clarifier comment l'indépendance de l'audit est assurée.

La connaissance du secteur et des thématiques se reflète dans le portefeuille de méthodes. Bureau Veritas cite notamment l'ISO 27017 pour la sécurité du cloud, l'ISO 27701 pour les systèmes de management de la protection des données, TISAX, eIDAS ainsi que les contrôles ISAE 3000/3402 et des services pour vérifier la maturité en matière de sécurité et la sécurité des fournisseurs.

Pour les références clients, la comparabilité selon le secteur et la taille de l'entreprise, le champ d'application contrôlé, la période d'audit et la volonté de discuter des constatations et des mesures qui en découlent doivent être au centre de l'attention – pas le nombre de logos.

Pièges typiques et comment les identifier

La page de l'OFIT sur les certificats de test montre le problème fondamental des preuves techniques en comparaison directe. Dans la même liste figurent des entrées avec le statut « Valid (through) » à côté de celles avec « Expired » et « Revoked », toutes dans le même format avec numéro de série et nom commun. Un extrait de certificat avec numéro de série et date d'expiration ne prouve donc rien en soi ; ce qui compte, c'est le statut actuel et, en cas de validité, la date d'expiration concrète.

Un deuxième piège concerne les certificats sans accréditation solide. La SQS le formule clairement : tous les certificats ISO n'ont pas la même valeur, car la compétence et la réputation de l'organisme de certification déterminent la reconnaissance sur le marché. Celui qui ne vérifie pas l'organisme émetteur et son agrément par un organisme national d'accréditation ne peut pas distinguer deux certificats portant la même mention.

Troisièmement, des affirmations d'audit vagues. Netsafe AG distingue expressément l'audit des contrôles standards, qui ne documentent que des problèmes superficiels. Des affirmations comme « audits réguliers » sans indication de la norme, du champ d'application, de la période de contrôle, de la méthode et des écarts constatés ne fournissent aucune base pour une décision concernant un fournisseur.

Quatrièmement, le certificat sans contexte : un certificat selon la version ISO/IEC 27001:2022 est valable trois ans et n'a de valeur probante que si un audit de surveillance a eu lieu chacune des deux années suivantes. Si le champ d'application ou les audits de surveillance font défaut, le document dit peu de choses sur l'état actuel de la sécurité du fournisseur.

Liste de contrôle pratique pour les entreprises suisses

Demander le certificat et le rapport d'audit : Exigez le certificat complet avec le champ d'application, le titre de la norme mentionné et la date d'émission, ainsi que le rapport de certification initiale. Demandez en outre les deux audits de surveillance qui ont lieu pendant la validité de trois ans selon l'ISO/IEC 27001 version 2022.

Vérifier la validité et le champ d'application : Pour les certificats de système de management, clarifiez si la date d'expiration et le champ d'application couvrent l'étendue des logiciels utilisés. Pour les certificats techniques, vérifiez le statut actuel (valid, expired, revoked), la date d'expiration et le numéro de série, tels que l'OFIT les indique pour ses certificats de test.

Contrôler l'accréditation : Identifiez l'organisme de certification émetteur et son accréditation. La SQS cite comme référence l'agrément par l'Organisme suisse d'accréditation (OSA), une autorité fédérale qui contrôle les organismes de certification et la conformité des auditeurs.

Obtenir des références et évaluer la compétence d'audit : Demandez des projets comparables dans votre secteur et la qualification des auditeurs, par exemple des auditeurs certifiés CISA. Veillez à ce que l'organisme d'audit réalise ses contrôles de manière indépendante, comme Bureau Veritas le décrit pour la vérification des clients et de leurs fournisseurs.

Utiliser une liste de contrôle de sécurité ou une analyse des écarts : Swisscom recommande comme première étape une liste de contrôle de sécurité, car elle montre l'état effectif et peut être réalisée sans connaissances IT approfondies ni intervention dans l'infrastructure. Pour les entreprises disposant de leur propre département IT, l'étape suivante est une analyse des écarts par rapport à l'ISO 27001 ; comme outil en ligne, Swisscom cite la 27001Academy. Netsafe AG utilise l'analyse des écarts comme contrôle préalable avant un premier audit.

Intégrer les prescriptions suisses en matière de protection des données : Netsafe AG aligne expressément ses audits sur l'ISO/IEC 27001, le BSI Grundschutz et les prescriptions suisses en matière de protection des données. Si le fournisseur traite des données pour des clients dans l'UE, s'ajoutent les exigences mentionnées par Bureau Veritas : le Règlement général sur la protection des données (RGPD) ainsi que la directive UE sur la sécurité des réseaux et de l'information (NIS) pour les opérateurs de services essentiels et les fournisseurs de services numériques.

Liste de contrôle pratique pour les entreprises suisses