La certification ISO 27001 ou HDS n'est pas une vérification de conformité documentaire. L'auditeur vérifie que le système de management fonctionne réellement.
L'auditeur vérifie que votre analyse de risques est cohérente avec vos contrôles, que vos contrôles sont cohérents avec votre PSSI, et que votre PSSI est cohérente avec vos pratiques réelles. Les incohérences sont plus rédhibitoires que les lacunes.
Avoir des procédures documentées ne suffit pas. L'auditeur demande des preuves d'application : logs d'accès, comptes-rendus de revues de direction, tickets d'incidents, rapports d'audits internes. La documentation sans preuve est un non-conformité majeure.
La certification HDS exige ISO 27001 sur le périmètre d'hébergement, plus des exigences spécifiques santé : traçabilité des accès aux données, plan de continuité avec des RTO/RPO définis, procédures d'habilitation du personnel soignant ou non soignant.
Deux référentiels, une même exigence : un système de management qui fonctionne réellement, pas seulement des politiques documentées. HDS repose d'ailleurs sur ISO 27001, augmentée d'exigences propres à la santé.
ISO 27001 certifie qu'une organisation a mis en place un SMSI fonctionnel, pas seulement documenté. La logique PDCA (Plan-Do-Check-Act) et les audits de surveillance annuels vérifient que le système reste vivant : audits internes conduits, revue de direction réalisée, non-conformités traitées, preuves d'application.
HDS est obligatoire pour tout hébergement de données de santé à caractère personnel. Elle inclut ISO 27001 et ajoute des exigences spécifiques : engagement de service, traçabilité des accès, plan de continuité documenté, sous-traitance encadrée. Les non-conformités les plus fréquentes portent sur la traçabilité des accès et les plans de continuité.
L'accompagnement est rythmé par des jalons clairs. À chacun, vous repartez avec des livrables concrets et réutilisables, qui construisent progressivement votre SMSI et votre dossier de certification.
Objectifs, contraintes et parties prenantes, périmètre du SMSI validé, planning de mission et organisation projet (RACI, comité de pilotage).
Cartographie des risques issue des ateliers (ex. EBIOS RM) et plan de traitement des risques (PTR) priorisé.
Politique de sécurité, déclaration d'applicabilité (SoA) et procédures thématiques : accès, incidents, changements, fournisseurs, continuité.
Preuves d'application des mesures, plan de sensibilisation et formations, de quoi démontrer un SMSI vivant, pas seulement documenté.
Rapport d'audit à blanc et plan d'actions correctives pré-certification, pour aborder l'audit de l'organisme accrédité en confiance.
Réunions de cadrage, note de cadrage (objectifs, contraintes, parties prenantes), définition et validation du périmètre du SMSI, organisation projet.
Note de cadrageAteliers d'analyse de risques (cadrage, sources de risques, scénarios stratégiques et opérationnels, traitement), cartographie des risques et PTR priorisé.
EBIOS RM / ISO 27005PSSI et déclaration d'applicabilité (SoA), procédures thématiques, mise en œuvre des mesures et preuves d'application, plan de sensibilisation.
Mise en œuvreAudit à blanc du SMSI avant l'audit de certification, rapport et plan d'actions correctives pour lever les écarts.
Avant certificationPrésence et appui à vos côtés pendant l'audit mené par l'organisme accrédité : préparation des interlocuteurs, réponses aux demandes de l'auditeur, suivi des non-conformités jusqu'à la décision.
Optionnel