Image
Les étapes de la procédure de certification
Etape 1 : Choix de l’organisme certificateur
L’hébergeur choisit un organisme certificateur qui devra être accrédité par le COFRAC (ou équivalent au niveau européen).
Le référentiel d’accréditation s’appuie sur les bonnes pratiques en vigueur pour l’audit et la certification de systèmes de management de la sécurité de l’information et la norme ISO 17021 « Certification de systèmes de management ».
Etape 2 : Réalisation de l’audit
L’organisme procède à un audit en deux étapes pour évaluer la conformité de l’hébergeur aux exigences du référentiel de certification. Il vérifie notamment l’équivalence de la certifications ISO 27001 déjà obtenue par l’hébergeur.
- Audit documentaire : L’organisme certificateur réalise une revue documentaire du système d’information du candidat afin de déterminer la conformité documentaire du système par rapport aux exigences du référentiel de certification.
- Audit sur site : Les preuves d’audit sont recueillies dans les conditions définies dans le référentiel d’accréditation.
L’audit inclus également quelques exigences spécifiques à l’hébergement de données de santé.
Etape 3 : Mise en conformité
L’hébergeur dispose de trois mois après la fin de l’audit sur site pour corriger les éventuelles non-conformités et faire auditer ses corrections. Passé ce délai et sans action de l’hébergeur, toute la procédure d’audit sur site sera de nouveau réalisée.
Le certificat est délivré pour une durée de trois ans, par l’organisme certificateur et chaque année, un audit de surveillance est effectué.