Droit d'audit du client cloud (ISO 27018)

Définition

Le droit d'audit du client cloud, disposition prévue par la norme ISO 27018, encadre les modalités selon lesquelles un client d'un service cloud public peut exercer, directement ou via un tiers mandaté, un droit de vérification sur les pratiques de protection des données à caractère personnel mises en œuvre par le fournisseur, en cohérence avec l'obligation d'audit du sous-traitant prévue par l'article 28 du RGPD. La norme reconnaît toutefois la difficulté opérationnelle pour un fournisseur de services cloud mutualisés de faire droit à des demandes d'audit individuelles émanant de chacun de ses milliers de clients, et recommande en conséquence que le fournisseur mette à disposition des rapports d'audit indépendants, réalisés par un tiers qualifié selon un référentiel reconnu comme la certification ISO 27018 elle-même, la norme SOC 2 de type II, ou une combinaison de plusieurs certifications couvrant le périmètre pertinent pour le client. Cette approche mutualisée, comparable à celle observée pour d'autres certifications de sécurité dans le secteur cloud, permet de concilier l'exigence légitime de transparence des clients avec la réalité opérationnelle d'un fournisseur servant un très grand nombre d'organisations simultanément. Un client particulièrement exigeant peut néanmoins négocier contractuellement des modalités d'audit renforcées, notamment pour des traitements de données particulièrement sensibles justifiant un niveau de garantie supérieur à celui offert par les certifications standard du fournisseur.