ISO

L’ISO (Organisation internationale de normalisation) est un organisme mondial non gouvernemental composé d’experts qui fournissent des lignes directrices permettant d’atteindre de manière cohérente des normes universellement reconnues pour aborder la gestion des processus. Esri assure la conformité avec deux certifications ISO afin de garantir la sécurité et la confidentialité :

• ISO/IEC 27001:2022 – Promeut une approche holistique de la sécurité de l’information en ce qui concerne le contrôle des personnes, des politiques et de la technologie.
• ISO/IEC 20243:2023 – Traite des menaces liées aux produits et aux services malicieusement contaminés et contrefaits.

Services Esri concernés

• ArcGIS ISO Cloud
• Fournisseurs de services Cloud

ArcGIS ISO Cloud

Le système de management de la sécurité de l’information (SMSI) d’Esri est conforme aux contrôles de sécurité ISO 27001:2022. Il s’agit notamment d’ArcGIS Online et d’ArcGIS Location Platform dans l’emplacement d’hébergement régional de l’Union européenne (UE). ArcGIS ISO Cloud est le sous-ensemble des services certifiés Esri qui figurent explicitement dans le cadre de la certification d’Esri. D’autres régions et services seront couverts par les améliorations ultérieures en matière de certification ISO 27001.

• Certificat ArcGIS ISO Cloud (public)
• Correspondance entre les contrôles ISO 27001 et FedRAMP (public)

Esri a réalisé une auto-évaluation de conformité à la norme ISO/IEC 20243-1:2018 (O-TTPS) en avril 2023. Il s’agit d’un ensemble de lignes directrices, d’exigences et de recommandations qui traitent des menaces spécifiques pesant sur l’intégrité du matériel et des produits commerciaux prêts à l’emploi (COTS) tout au long du cycle de vie des produits. La norme ISO 20243 a été ensuite mise à jour en 2023 et au lieu d’effectuer une recertification sur la nouvelle version, en 2024, Esri a incorporé les nouvelles exigences de la chaîne d’approvisionnement NIST 800-53 Rev 5 qui répondent aux préoccupations cyber de la chaîne d’approvisionnement de façon plus holistique. La certification ISO 27001 d’Esri atteste qu’Esri exploite un système de management de la sécurité de l’information (SMSI) conformément aux contrôles ISO 27001:2022 pour assurer la confidentialité, l’intégrité et la disponibilité des plateformes/services/applications concernés, qui sont utilisés pour traiter, transmettre et stocker des ressources client et/ou des informations d’identification personnelles pour les offres basées dans l’UE.

• ArcGIS Online ISO 20243:2018 (auto-attestation)

Remarque :

Alors que l’hébergement régional inclut la région APAC, la certification ISO 27001 d’Esri pour ArcGIS ISO Cloud s’applique actuellement aux services concernés dans l’emplacement d’hébergement régional européen et ne s’étend pas à la région APAC. Esri s’efforce activement d’étendre la couverture de la certification ISO 27001 pour qu’elle englobe la région APAC. AWS et Microsoft Azure gèrent les certifications ISO 27001 pour les services Cloud concernés, qui prennent en charge la garantie d’infrastructure sous-jacente, mais n’étendent pas le domaine d’applicabilité ISO d’Esri.

Prise en charge de la directive NIS2

La directive de l’UE NIS2 (2022/2555) requiert une gouvernance et des mesures de gestion des risques en matière de cybersécurité, et encourage l’utilisation de normes reconnues. La certification ISO 27001 d’Esri pour ArcGIS ISO Cloud peut contribuer au respect par les clients du devoir de vigilance conformément à la directive NIS2 à travers la mise à disposition de la preuve indépendante de l’existence d’un système de management de la sécurité de l’information (SMSI) certifié, de contrôles documentés et permanents, et de l’alignement sur de nombreux domaines d’action prévus à l’Article 21.

Il reste de la responsabilité des clients de confirmer l’adéquation avec le champ d’application et d’assurer le respect des exigences aux niveaux national et sectoriel.

Fournisseurs de services Cloud

ArcGIS ISO Cloud utilise à la fois des fournisseurs de services Cloud Amazon Web Services et Microsoft Azure certifiés ISO.

• Certificats ISO de Microsoft Azure (gratuit/protégé)
• Certificat ISO 27001 d’Amazon Web Services (public)