Responsabilité partagée
Qui fait quoi entre client et fournisseur doit être écrit, attribué et revu. Sans matrice claire, chaque partie suppose que l'autre s'en charge.
ISO/IEC 27017:2026 · Sécurité de l'information des services cloud
Sécurité du cloud : ce qui vous revient comme client et comme fournisseur.
Dans le cloud, une partie de la sécurité dépend de votre fournisseur et une autre de vous. Audexa vous demande d'abord votre rôle, puis vous guide contrôle par contrôle sur votre part : responsabilité partagée, isolement, accès aux consoles, journaux, chiffrement et sortie du service.
- 64 contrôles de l'édition 2026
- Repères pour client, fournisseur ou les deux
- Correspondances avec ISO 27001 et ISO 27018
Autoévaluation ISO 27017Fournisseur
61%
Niveau de mise en œuvreDonnées d'exemple
- Gouvernance et responsabilités partagées74%
- Identités et accès à la console cloud58%
- Virtualisation et isolement66%
- Journalisation et surveillance49%
- Chiffrement et gestion des clés55%
64 contrôles de l'ISO/IEC 27017:2026 avec repères et étapes pour y répondre
14 domaines, de la gouvernance cloud aux changements d'infrastructure
80 correspondances ISO 27017 ↔ ISO 27001 pour réutiliser vos réponses
43 correspondances ISO 27017 ↔ ISO 27018
Ce qu'apporte l'ISO 27017
L'ISO 27017 rend la sécurité de l'information concrète pour les services cloud.
C'est un code de bonnes pratiques qui complète les contrôles de l'ISO/IEC 27002 par des recommandations propres aux clients et aux fournisseurs de services cloud. L'édition 2026 suit la numérotation de l'ISO/IEC 27002:2022.
Accord avec le partenaire cloud
Obligations de sécurité, notification des incidents et des changements, localisation des données et sortie du service se négocient dans le contrat.
Isolement entre clients
Le fournisseur doit séparer les environnements virtuels de chaque client et effacer de façon sûre les ressources partagées avant de les réutiliser.
Accès d'administration
Consoles, API et plan de contrôle concentrent le risque : identités fédérées, identifiants racine protégés et accès à privilèges revus.
Journaux et surveillance
Journalisation de l'activité du plan de contrôle, surveillance de l'usage et référence horaire commune entre client et fournisseur.
Usage non autorisé du cloud
L'édition 2026 inclut la détection des services cloud utilisés sans approbation, ainsi que l'usage abusif du service et des comptes clients.
Comment Audexa vous aide
Une autoévaluation cloud qui tient compte de votre rôle.
Le questionnaire, le plan d'action et les preuves s'adaptent selon que vous consommez des services cloud, que vous les fournissez, ou les deux.
Évaluer
Uniquement les questions de votre rôle.
Question préalable
Vous indiquez si vous êtes client, fournisseur ou les deux, et voyez le nombre de questions de votre questionnaire.
Comment l'évaluer
Chaque contrôle explique quoi vérifier et quand répondre Oui, Partiel ou Non.
Applicabilité motivée
Marquez ce qui ne s'applique pas ou sort du périmètre, et notez pourquoi.
Remédier
Des étapes concrètes pour chaque écart.
Comment y répondre
Étapes, preuves attendues, responsable suggéré, critère de clôture et date de revue.
Plan de tâches
Les constats deviennent des tâches avec sous-tâches, responsable et dates.
Politique cloud et SaaS
Partez de la « Politique de sécurité Cloud et SaaS » et de la « Politique de sécurité des informations », les 2 modèles liés à ISO 27017 dans la bibliothèque de 67.
Démontrer
Des preuves pour votre organisme de certification et vos clients.
Coffre de preuves
Matrice de responsabilités, contrats, journaux et preuves reliés à chaque contrôle.
Rapport PDF et Excel
Score, constats et plan d'action prêts pour la direction ou l'audit.
Réaudit
Réévaluez au fil des écarts clos et mesurez l'évolution.
Certaines fonctionnalités dépendent de votre offre et des modules activés.
Client, fournisseur ou les deux
Chaque rôle voit les repères qui le concernent.
Un client cloud examine comment il achète, configure et surveille ses services. Un fournisseur examine ce qu'il offre à ses clients : matrice publiée, isolement, journaux disponibles et options de chiffrement. Un MSP qui utilise l'IaaS d'un tiers et fournit un SaaS coche les deux rôles.
- Questions communes toujours affichées
- Repères client : inventaire, approbation des services, plan de sortie
- Repères fournisseur : isolement, notification des changements et incidents
- Nombre de questions affiché avant de commencer
Question préalable ISO 27017Votre rôle
- Client de services cloud40 questions
- Fournisseur de services cloud35 questions
- Client et fournisseur (MSP)64 questions
Ce qui est couvert
Les sujets réellement examinés dans un environnement cloud.
Le questionnaire est organisé en 14 domaines, de la gouvernance cloud à l'infrastructure as code. Chaque contrôle indique comment l'évaluer et comment y répondre, avec des preuves concrètes.
- Matrice de responsabilité partagée et accord avec le fournisseur
- Isolement des tenants et accès d'administration aux consoles
- Chiffrement et gestion des clés (BYOK et HYOK), réseaux virtuels et journaux
- Notification des changements et incidents, et sortie du service
Constats ISO 27017Plan d'action
- Matrice de responsabilités non revueGouvernance
- Identifiants racine sans MFAAccès à la console
- Plan de sortie du serviceNon documenté
- Journaux du plan de contrôleCentralisés
ISO 27001 et ISO 27018
Reliez l'ISO 27017 à votre ISO 27001 et à votre ISO 27018.
Chaque paire de contrôles a une relation, un niveau de couverture (élevé, partiel ou faible), une justification et une source. À la création de l'audit, Audexa estime ce que couvrent vos autres audits, et les réponses à couverture élevée arrivent proposées avec la mention « Vérifiez-le » pour qu'une personne les confirme.
- 80 correspondances avec ISO/IEC 27001:2022
- 43 correspondances avec ISO/IEC 27018 pour les données personnelles dans le cloud
- « Ce que vous avez déjà couvre ~X % » avant de commencer
- Seule la couverture élevée propose un « Oui »
Correspondances ISO 27017123 paires
- ISO/IEC 27001:202280 paires
- ISO/IEC 27018:202543 paires
- Couverture élevéePropose un Oui · « Vérifiez-le »
- Couverture partielle ou faibleAucune réponse proposée
Comment ça marche
Trois étapes pour mettre en ordre la sécurité de vos services cloud.
Indiquez votre rôle
Client, fournisseur ou les deux. Voyez ce que couvre déjà votre travail et indiquez l'applicabilité de chaque contrôle.
Évaluez avec des repères
Répondez contrôle par contrôle par Oui, Partiel, Non ou Non applicable et obtenez votre score et vos constats.
Fermez les écarts et démontrez-le
Attribuez les tâches, approuvez la politique cloud, réunissez les preuves et refaites l'évaluation.
Plans
L'ISO 27017 est incluse à partir du plan Premium.
Les plans Free et Core n'incluent pas l'ISO 27017. Le prix dépend de la taille de votre équipe : nous vous remettons une proposition ferme lors de la démo.
Premium
RecommandéPour les équipes qui gèrent un ou plusieurs services cloud.
- ISO 27017 et les autres nouveaux référentiels de la 1.6.1
- 10 audits par mois et 3 utilisateurs
- Politiques, preuves, tâches et réaudits
- Rapports PDF et Excel et assistant Aude
- 200 actifs par section
Diamond
Pour les fournisseurs et MSP avec plusieurs équipes.
- Audits et utilisateurs illimités
- Tout ce que contient Premium
- Actifs illimités
- vRadar : exposition CVE de l'inventaire
Avant et après
La sécurité cloud sur tableur ou dans Audexa.
DomaineSans plateformeAvec Audexa
Responsabilités
Chaque partie suppose que l'autre s'en occupe
Repères par rôle : client, fournisseur ou les deux
Écarts
Notes éparses après une revue
Tâches avec sous-tâches, responsable et critère de clôture
Preuves
Contrats et captures dans des dossiers
Coffre de preuves relié à chaque contrôle
ISO 27001
Tout refaire pour le cloud
80 correspondances justifiées
Suivi
Une revue par an
Réaudits et évolution mesurable
Questions fréquentes
Ce que l'on nous demande souvent sur ISO 27017.
Audexa nous certifie-t-il ISO 27017 ?
Non. La certification est délivrée par un organisme de certification accrédité, généralement dans le cadre d'une certification ISO 27001. Audexa vous aide à vous préparer avec une autoévaluation guidée, un plan d'action et vos preuves.
L'ISO 27017 concerne-t-elle les fournisseurs cloud ou aussi les clients ?
Les deux. La norme donne des recommandations à ceux qui fournissent des services cloud et à ceux qui les utilisent. Dans Audexa, vous choisissez votre rôle avant le questionnaire et voyez les repères qui vous concernent ; si vous êtes les deux, comme un MSP, vous cochez les deux.
Qu'est-ce qui change dans l'édition 2026 ?
Audexa utilise l'édition 2026, qui suit la numérotation de l'ISO/IEC 27002:2022 et conserve des contrôles propres au cloud comme les rôles partagés, l'accord avec le partenaire cloud, la séparation des environnements virtuels et la détection de l'usage non autorisé de services cloud.
Nous sommes déjà ISO 27001. Faut-il repartir de zéro ?
Non. Beaucoup de contrôles de l'ISO 27017 complètent des contrôles de l'ISO 27002 que vous travaillez déjà pour l'ISO 27001. Audexa compte 80 correspondances avec l'ISO 27001 et 43 avec l'ISO 27018, estime ce que couvre votre travail existant et, si la couverture est élevée, propose la réponse pour qu'une personne la vérifie.
Le questionnaire reproduit-il la norme ?
Non. Le texte de l'ISO/IEC 27017 appartient à l'ISO. Les questions, les repères d'évaluation et les étapes pour chaque contrôle sont rédigés par Audexa.
Quel plan faut-il pour l'ISO 27017 ?
L'ISO 27017 est disponible dans les plans Premium et Diamond. Free et Core ne l'incluent pas. Pendant la démo, nous voyons quel plan convient à votre équipe.
Demander une démo
Découvrez votre autoévaluation ISO 27017.
En 30 minutes de démo, nous parcourons le choix client ou fournisseur, les repères par contrôle et le plan d'action.
- Nous voyons quel rôle vous jouez dans vos services cloud.
- Nous vous montrons ce que couvre déjà votre travail ISO 27001.
- Nous vous expliquons quel plan convient à votre équipe.