ISO 27001, HDS, SecNumCloud : quelles différences ?

Que recouvrent ISO 27001, HDS et SecNumCloud ?

ISO 27001 définit les exigences applicables à un système de management de la sécurité de l’information, souvent désigné par le sigle SMSI. L’organisation identifie ses risques, choisit les mesures de sécurité adaptées et veille à leur mise en œuvre ainsi qu’à leur amélioration continue.
HDS, pour « Hébergeur de données de santé », est une certification encadrée par la réglementation française. Elle concerne les activités d’hébergement de données de santé à caractère personnel pour le compte de tiers.
SecNumCloud est une qualification délivrée par l’ANSSI à des offres de services cloud répondant à un référentiel de sécurité exigeant. Celui-ci définit des exigences renforcées, notamment en matière de sécurité technique, d’exploitation, de gouvernance et de maîtrise de l’environnement juridique.

ISO 27001 : une norme de management de la sécurité

ISO 27001 définit les exigences permettant à une organisation de structurer sa gestion de la sécurité de l’information. Elle ne prescrit un ensemble uniforme de mesures à appliquer dans tous les contextes : l’organisation évalue ses risques et détermine les mesures adaptées à ses enjeux et à ses activités.
La certification est délivrée à la suite d’un audit réalisé par un organisme accrédité. Elle porte sur un périmètre défini, qui peut couvrir l’ensemble d’une organisation ou certaines activités seulement. Il est donc important de vérifier précisément ce qui est inclus dans le périmètre certifié.

HDS : un cadre spécifique aux données de santé

La certification HDS répond à un enjeu sectoriel : garantir un niveau de sécurité adapté à l’hébergement de données de santé à caractère personnel. Elle s’inscrit dans le cadre défini par le Code de la santé publique et concerne les activités visées par la réglementation.
Le périmètre de certification dépend des services proposés par le prestataire. La certification HDS ne signifie pas automatiquement que toutes les activités d’un fournisseur sont couvertes. Il convient de vérifier les activités certifiées, le périmètre concerné et les éventuels sous-traitants impliqués.

SecNumCloud : une qualification exigeante pour les services cloud

SecNumCloud est une qualification délivrée par l’ANSSI à des services cloud qui répondent à des exigences renforcées de sécurité. Elle porte sur un périmètre défini et prend notamment en compte les conditions d’exploitation du service, l’organisation du prestataire sa gouvernance et les mesures de protection mises en œuvre.
SecNumCloud ne constitue pas une qualification générale de toutes les activités d’une entreprise. Elle porte sur un service cloud et un périmètre précis, qu’il faut vérifier au moment de choisir un prestataire.
En savoir plus avec notre article Comment choisir un prestataire qualifié SecNumCloud pour héberger ses données sensibles ?

Quelles sont les principales différences ?

La différence tient d’abord à l’objet évalué. ISO 27001 porte sur le système de management de la sécurité de l’information (SMSI) d’une organisation, dans un périmètre défini. HDS encadre les activités liées à l’hébergement de données de santé à caractère personnel. SecNumCloud qualifie un service cloud selon un référentiel de sécurité renforcé.

Ces dispositifs diffèrent également par leur finalité. ISO 27001 vise à structurer une démarche de sécurité et d’amélioration continue. HDS répond à des exigences propres au secteur de la santé. SecNumCloud vise un haut niveau de confiance pour des services cloud.

Ces dispositifs sont-ils complémentaires ?

Oui, ces dispositifs peuvent être complémentaires et répondre à des besoins différents. Un prestataire peut s’appuyer sur plusieurs d’entre eux selon ses activités et les services proposés. Par exemple, un service cloud hébergeant des données de santé peut nécessiter une certification HDS, tandis que SecNumCloud peut apporter un niveau de confiance renforcé pour l’environnement cloud.
Le choix doit toutefois tenir compte des besoins et des obligations de l’organisation. Il est important de vérifier le périmètre couvert, les activités concernées, les responsabilités de chaque partie et les conditions d’utilisation du service. Une certification ou une qualification ne garantit pas, à elle seule, que le service répond à toutes les exigences : les garanties contractuelles, les pratiques d’exploitation et les mesures de sécurité restant à la charge du client doivent également être examinées.

ISO 27001 : le socle de sécurité pour HDS et SecNumCloud

ISO 27001 constitue un socle essentiel de la gestion de la sécurité de l’information sur lequel s’appuient les référentiels HDS et SecNumCloud, qui intègrent des exigences complémentaires adaptées à leurs périmètres respectifs. Cette complémentarité permet de combiner une démarche structurée de gestion des risques avec des exigences spécifiques à l’hébergement de données de santé et aux services cloud de confiance. La Fabrique Orange Business propose des services d’hébergement HDS reposant sur un service cloud qualifié SecNumCloud, afin de répondre aux besoins des organisations qui souhaitent bénéficier de garanties de sécurité renforcées pour leurs données sensibles.

Envie de faire le point sur vos infrastructures et vos besoins cloud ? Contactez nos experts !

Contactez-nous

Et si vous vous demandez pourquoi choisir un prestataire qualifié SecNumCloud pour héberger ses données sensibles ? Consultez notre article.

Sources :

ANSII : Référentiel SecNumCloud
Agence du Numérique en Santé
ISO : Norme ISO/IEC 27001 : https://www.iso.org/fr/standard/27001