Google Workspace et ISO 27001 : checklist des prérequis et contrôles pour réussir votre audit

Lorsqu'une entreprise prépare une certification ISO 27001, une question revient souvent : puisque Google Workspace est déjà certifié, que reste-t-il à faire ? La réponse est simple : beaucoup. La certification de Google couvre sa plateforme, pas la manière dont votre entreprise la configure et l'utilise. Cet article présente les contrôles Google Workspace que nous vérifions pour préparer un audit, sans prétendre remplacer l'accompagnement d'un spécialiste de la norme.

Google Workspace est-il certifié ISO 27001 ?

Oui. Google publie ses certifications ISO/IEC 27001, ainsi que d'autres référentiels comme ISO/IEC 27017 et 27018, sur son centre de conformité. Ces documents sont utiles pour l'évaluation de vos fournisseurs, une exigence de la norme. Mais ils prouvent seulement que Google maîtrise la sécurité de son service.

Le modèle de responsabilité partagée

Concrètement, la répartition est la suivante :

• Google : centres de données, infrastructure, disponibilité, chiffrement de la plateforme.
• Votre entreprise : qui a un compte, avec quels droits, quels partages sont autorisés, comment les départs sont gérés, quelles données sont sauvegardées.

Un auditeur ISO 27001 s'intéressera à la seconde partie, avec des preuves à l'appui. C'est là que la configuration de la console Google Admin devient déterminante.

Les contrôles Google Workspace à préparer

1. Gestion des comptes administrateurs

Limitez le nombre de super-administrateurs, utilisez des rôles délégués pour les tâches courantes et documentez la procédure de récupération. Notre guide sur la perte d'accès super-administrateur détaille les précautions à prendre.

2. Authentification

La validation en deux étapes doit être imposée à tous les comptes, avec des clés de sécurité de préférence pour les administrateurs. Les bases sont décrites dans notre article sur la sécurité Google Workspace.

3. Contrôle du partage et des données

L'auditeur voudra savoir comment vous empêchez la fuite d'informations. Les règles de partage externe, les Drive partagés et l'audit régulier des partages sont des preuves concrètes. Voir notre méthode pour auditer les partages externes Google Drive.

4. Arrivées et départs

La norme exige de retirer les accès lors d'un départ. Une procédure écrite et appliquée à chaque fois, comme décrite dans notre article sur l'offboarding Google Workspace, fournit la traçabilité attendue.

5. Journaux et traçabilité

Les journaux d'audit de la console (connexions, administrateurs, Drive, Gmail) permettent de démontrer la surveillance. Leur durée de conservation et leur niveau de détail dépendent de l'édition ; un export vers un outil externe peut être nécessaire pour conserver des preuves plus longtemps.

6. Sauvegarde et continuité

Google Workspace n'est pas un outil de sauvegarde. Une solution indépendante comme celle présentée sur notre page sauvegarde Google Workspace avec Keepit répond à l'exigence de restauration des données.

7. Politiques et sensibilisation

La configuration ne suffit pas : il faut une charte informatique connue des équipes et des actions de sensibilisation, par exemple des simulations de phishing.

Produire des preuves avec MOZAYK Workspace

Les revues d'accès périodiques sont souvent le point le plus pénible à documenter. Nous utilisons MOZAYK Workspace comme accélérateur pour contrôler les comptes, les administrateurs et les partages, puis nous complétons dans la console Google Admin. L'outil aide à préparer l'audit ; il ne remplace ni l'analyse de risques ni le système de management exigé par la norme.

Préparer votre audit avec Expert Google Workspace

Nous intervenons sur la partie Google Workspace de votre démarche : état des lieux, corrections de configuration et documentation des contrôles. Découvrez notre audit de sécurité Google Workspace ou réservez un échange de 30 minutes offert.