Certification ISO 27001.

L'ISO/IEC 27001 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information, ou SMSI. Elle ne se limite pas à des mesures techniques : elle encadre la gouvernance, l'analyse des risques, les procédures et l'amélioration continue. La certification est délivrée après audit par un organisme accrédité, puis maintenue par des audits de surveillance.

Parce que la sécurité annoncée devient vérifiable. La certification atteste qu'un tiers indépendant a audité l'organisation, les processus et les mesures de sécurité de votre hébergeur. Pour vos propres audits, vos appels d'offres et votre conformité RGPD, c'est un élément opposable plutôt qu'une déclaration commerciale.

Le périmètre certifié couvre l'exploitation des infrastructures cloud, l'hébergement de données, l'interconnexion réseau, les services de communication unifiée et les services associés de cybersécurité. Il s'étend à nos deux datacenters propriétaires de Rennes et de Nantes. Ce périmètre figure sur le certificat : c'est le premier élément à lire lorsque vous comparez deux prestataires.

La certification n'est pas acquise une fois pour toutes. Le SMSI fait l'objet d'audits de surveillance périodiques par l'organisme certificateur, complétés par des audits internes, une revue de direction et un processus d'amélioration continue. Les incidents et les écarts constatés alimentent le plan de traitement des risques.

L'ISO 27001 est la norme certifiable : elle fixe les exigences du système de management. L'ISO 27002 est un guide de bonnes pratiques qui détaille les mesures de sécurité et sert de référence pour les sélectionner. Une organisation se certifie sur l'ISO 27001, en s'appuyant sur les mesures décrites dans l'ISO 27002. Les deux normes ont été révisées en 2022.

L'ISO 27001 est une norme internationale et généraliste, qui structure la gouvernance de la sécurité de l'information. La certification HDS est française et sectorielle : elle ajoute des exigences propres à l'hébergement des données de santé à caractère personnel. Les deux sont liées, puisque l'obtention de la certification HDS suppose de disposer d'un SMSI certifié ISO 27001. Blue détient les deux.

Demandez le certificat et lisez-y trois éléments : l'organisme certificateur et son accréditation, la date de validité, et surtout le périmètre — les activités et les sites couverts. Un certificat qui ne couvre que le siège social d'une société n'engage rien sur le datacenter où vos données seront hébergées. Le certificat de Blue est téléchargeable sur cette page.

Oui. La continuité d'activité fait partie des thèmes couverts par la norme : identification des activités critiques, plans de continuité et de reprise, tests réguliers. Chez Blue, ces plans reposent sur deux datacenters propriétaires interconnectés, à Rennes et à Nantes, et sont documentés et testés.

Non. La certification de votre hébergeur sécurise la couche d'hébergement et vous fournit des éléments d'audit. Votre organisation reste responsable de son propre système de management, de la sécurité de ses applications, de la gestion de ses accès et de ses obligations RGPD en tant que responsable de traitement. La certification réduit votre surface de risque, elle ne la transfère pas.