En quoi la certification ISO concerne-t-elle un système de caméras-piéton ?
Un système de caméras-piéton ne se limite pas à la caméra elle-même. Les enregistrements suivent un parcours qui peut inclure l’enregistrement de l’appareil, l’authentification, le transfert sans fil, le stockage dans le cloud ou sur site, l’accès par les utilisateurs autorisés, l’exportation et, le cas échéant, la suppression. La sécurité, la confidentialité et la qualité dépendent donc aussi bien des processus organisationnels que des caractéristiques du produit.
La certification ISO relative à un système de gestion s’applique à l’organisme certifié et aux activités mentionnées dans le champ d’application du certificat. Un organisme de certification indépendant vérifie si les processus requis sont mis en place et maintenus. Il ne s’agit pas d’une homologation de produit et cela ne signifie pas qu’une caméra corporelle donnée est sûre, durable ou conforme à toutes les lois.
Les cinq normes ISO en bref
| Standard | Thème principal | Connexion à un système de caméra corporelle |
| ISO 27001 | Gestion de la sécurité de l’information | Gouvernance de la sécurité couvrant les informations, les personnes, les processus et les technologies |
| ISO 27017 | Mesures de sécurité dans le cloud | Mesures de contrôle spécifiques au cloud et responsabilités partagées |
| ISO 27018 | Protection des données à caractère personnel dans le cloud public | Traitement des informations permettant l’identification des personnes dans les services de cloud public |
| ISO 9001 | Gestion de la qualité | Cohérence entre le développement, la mise en œuvre, le soutien et l’amélioration |
| ISO 14001 | Gestion environnementale | Gestion structurée des impacts environnementaux |
ISO 27001 : les fondements de la sécurité de l’information
La norme ISO 27001 définit les exigences relatives à un système de gestion de la sécurité de l’information, ou SGSI. Elle impose à une organisation d’identifier les risques liés à l’information, de sélectionner les mesures de contrôle appropriées, d’attribuer les responsabilités, d’évaluer les performances et d’améliorer le système au fil du temps.
Dans le cadre d’un système de caméras corporelles, le SMSI peut couvrir des activités telles que l’enregistrement des appareils, la gestion des identités et des accès, la transmission sécurisée, le stockage des preuves, la réponse aux incidents, la gestion des fournisseurs et la suppression des enregistrements. Les limites exactes sont définies par le champ d’application du certificat. Les choix détaillés en matière de contrôles sont consignés dans le SMSI de l’organisation plutôt que sur le certificat lui-même.
ISO 27017 : responsabilités en matière de sécurité dans le cloud
La norme ISO 27017 complète le cadre des normes ISO 27001 et 27002 en apportant des recommandations spécifiques au cloud. Elle aide les fournisseurs de services cloud et leurs clients à définir qui est responsable de quels contrôles et traite des risques propres aux services cloud, notamment les environnements virtuels, les opérations administratives et la restitution ou le retrait sécurisé des actifs cloud.
Lorsque des séquences vidéo sont mises en ligne sur une plateforme de gestion des preuves dans le cloud, la sécurité est répartie entre le fournisseur et le client. Le fournisseur peut assurer la sécurité de l’infrastructure, de l’environnement administratif et de l’exploitation des services, tandis que le client gère les rôles des utilisateurs, les paramètres d’authentification et les utilisations autorisées. La norme ISO 27017 fournit à cette répartition un cadre de contrôle reconnu et rend les responsabilités liées au cloud plus explicites.
Article ZEPCAM associé : ISO 27017 et ISO 27018 : renforcer la sécurité et la confidentialité dans le cloud
ISO 27018 : protection des données à caractère personnel dans le cloud public
La norme ISO 27018 porte sur les données à caractère personnel traitées dans un cloud public. Les enregistrements des caméras corporelles permettent d’identifier des employés, des citoyens, des témoins et des passants, parfois dans des situations médicales, policières ou autres situations sensibles.
Cette norme traite de la transparence, de la limitation de la finalité, de la communication, de la conservation, de la restitution et de la suppression des données à caractère personnel. Son rôle est particulièrement mis en évidence lorsqu’un fournisseur de caméras-piéton traite des enregistrements pour le compte d’un client via un service de cloud public. La norme ISO 27018 s’aligne sur plusieurs principes de protection de la vie privée, mais elle ne constitue pas un certificat de conformité au RGPD. La conformité juridique dépend également de la finalité et de la base légale du traitement, des contrats, des choix en matière de conservation, des droits des personnes concernées et des transferts internationaux.
ISO 9001 : une qualité constante pour le matériel, les logiciels et l’assistance
La norme ISO 9001 définit les exigences relatives à un système de management de la qualité. Elle traite de la manière dont une organisation maîtrise ses processus, traite les non-conformités, assure le suivi des exigences des clients et améliore ses produits et services.
Un service de caméras corporelles combine matériel, micrologiciel, logiciel de gestion des preuves, déploiement et assistance. Une défaillance à n’importe quel maillon de cette chaîne peut interrompre l’enregistrement ou l’accès aux preuves. La norme ISO 9001 intègre ces activités dans des processus documentés portant sur les exigences, le contrôle des versions, les actions correctives, la performance des services et l’amélioration continue. Cela garantit la continuité tant au niveau du parc d’appareils que des services qui l’entourent.
ISO 14001 : gestion environnementale tout au long du cycle de vie
La norme ISO 14001 définit les exigences relatives à un système de management environnemental. Elle impose à une organisation d’identifier les aspects environnementaux pertinents, de respecter les obligations applicables, de fixer des objectifs et d’améliorer ses performances environnementales.
Pour un fournisseur de caméras corporelles, les aspects environnementaux peuvent concerner l’utilisation des matériaux, les batteries, l’assemblage, l’emballage, le transport, la réparation, la reprise et les déchets électroniques. La norme ISO 14001 relie ces activités à travers des objectifs, des responsabilités, un suivi et une démarche d’amélioration. Cela ne signifie pas que chaque appareil est recyclable ou présente une empreinte carbone particulière ; cette norme décrit la manière dont l’organisation gère les impacts environnementaux dans le cadre de son champ d’application certifié.
Article ZEPCAM associé : ZEPCAM obtient les certifications ISO 9001 et ISO 14001
Modèle commun : Ce que couvre le champ d’application d’un certificat ISO
Un certificat ISO mentionne la personne morale certifiée, la norme et son édition, l’organisme de certification, la durée de validité et le champ d’application. Le champ d’application identifie les activités, les services ou les sites couverts par le système de management. Un fournisseur peut donc détenir un certificat valide dont le champ d’application ne couvre qu’une partie de l’ensemble de ses activités.
Cette distinction est importante dans le domaine des caméras corporelles, car une solution peut impliquer plusieurs activités : développement de produit, assemblage des appareils, hébergement dans le cloud, exploitation logicielle, assistance et maintenance. Le certificat précise lesquelles de ces activités relèvent du système de gestion audité. Il ne remplace ni les essais techniques des produits ni l’évaluation juridique.
Comment ces cinq normes se complètent-elles ?
La norme ISO/IEC 27001 fournit le cadre général de gestion de la sécurité de l’information. La norme ISO/IEC 27017 ajoute des mesures de contrôle spécifiques aux services cloud et clarifie la répartition des responsabilités. La norme ISO/IEC 27018 se concentre plus particulièrement sur les informations à caractère personnel dans un cloud public. La norme ISO 9001 traite de la cohérence des processus utilisés pour créer et assurer le soutien de la solution, tandis que la norme ISO 14001 couvre la gestion des impacts environnementaux.