Comment les fournisseurs de services gérés peuvent aligner la conservation des données ISO 27001 sur les SLA clients

Votre fournisseur de services gérés (MSP) a-t-il la fâcheuse habitude de « tout conserver » qui s'est discrètement transformée en risque stratégique ?

Considérer chaque journal, ticket et sauvegarde comme une assurance permanente pouvait autrefois sembler une solution économique, mais pour un fournisseur de services gérés (MSP), cela engendre aujourd'hui des risques, des coûts et des difficultés d'audit inutiles. Lorsqu'aucune donnée n'est jamais supprimée, les violations de données ont des conséquences plus graves, les procédures de découverte de preuves juridiques sont plus complexes et les contrôles de conformité à la norme ISO 27001 et aux exigences de protection de la vie privée portent sur des données qui ne vous sont plus utiles, ni à vous ni à vos clients. Une approche réfléchie et conforme aux normes ISO vous permet de réduire cet impact, d'expliquer vos choix et de prouver à vos clients que leurs informations sont gérées de manière responsable, et non accumulées.

La plupart des fournisseurs de services gérés n'ont jamais conçu de modèle de conservation des données de manière délibérée. Ce modèle est apparu suite aux paramètres par défaut des outils de sauvegarde, à la prudence des ingénieurs qui étendent les fenêtres de journalisation « au cas où », et à l'insistance des clients à ne jamais supprimer les données susceptibles de servir en cas de litige. Cette pratique était acceptable lorsque les clients ne posaient que des questions de sécurité générales ; elle est beaucoup moins défendable aujourd'hui, car les organismes de réglementation, les services d'approvisionnement et les auditeurs examinent la durée de conservation des différents ensembles de données et les procédures mises en place à la fin d'un contrat.

La majorité des organisations citées dans le rapport 2025 sur l'état de la sécurité de l'information déclarent avoir été touchées par au moins un incident de sécurité lié à un tiers ou à un fournisseur au cours de l'année écoulée.

Ces informations sont d'ordre général et ne constituent pas un avis juridique. Pour connaître vos obligations légales spécifiques, veuillez consulter un avocat qualifié dans les juridictions concernées.

Le véritable contrôle des données commence lorsque vous choisissez ce que vous ne souhaitez pas conserver.

Visualiser votre empreinte numérique réelle

Vous visualisez votre empreinte numérique réelle en cartographiant l'emplacement des informations client, leur durée de conservation et leur conformité avec vos engagements. En comparant cette réalité à vos contrats et politiques, vous pouvez considérer la sur-conservation comme un risque défini plutôt que comme un simple malaise lié à l'impression de « trop conserver ».

Pour de nombreux fournisseurs de services gérés (MSP), un rapide inventaire des équipements de support, de surveillance, d'accès à distance, de collaboration, de sauvegarde et d'ingénierie révèle des écarts importants entre les politiques, les contrats et la réalité. Les analyses sur la conservation et la minimisation des données font souvent le même constat : les organisations documentent les règles de cycle de vie, mais peinent à les appliquer systématiquement dans les systèmes en production. Une fois ces écarts identifiés, il est possible de les considérer comme des risques spécifiques liés au cycle de vie, et non comme une simple préoccupation relative à un « excès de données ».

Un point de départ pratique consiste en un simple exercice de cartographie :

Veuillez lister vos principaux systèmes : centre de services, surveillance et gestion à distance, accès à distance, plateformes de fichiers et de messagerie, sauvegardes, documentation, coffres-forts et appareils des ingénieurs.
Pour chacune d'elles, indiquez quelles données client elle stocke, à qui elle appartient, combien de temps elle est conservée aujourd'hui et comment cela se rapporte aux contrats, aux avis de confidentialité et aux politiques internes.
Intégrez cet inventaire à votre registre des risques afin que les risques liés au cycle de vie des données côtoient les problèmes courants tels que les correctifs, le contrôle d'accès et les défaillances des fournisseurs.

En quelques heures, vous découvrirez généralement des boîtes mail saturées de tickets accumulés pendant des années, des systèmes de journalisation à l'historique quasi infini, des chaînes de sauvegarde jamais nettoyées et des ingénieurs conservant d'anciennes données clients en cache sur leurs ordinateurs portables. C'est cette réalité, et non les procédures prévues, qui constituera le point de départ d'un attaquant, d'un organisme de réglementation ou de l'avocat d'une partie plaignante en cas de problème.

Une fois que l'empreinte réelle est visible, il devient plus facile de distinguer trois types de rétention :

Informations que vous êtes tenu de conserver pour respecter les lois, les règlements ou les contrats.
Les informations que vous choisissez de conserver parce qu'elles sont utiles aux opérations, au support ou aux enquêtes médico-légales.
Vous conservez des informations par accident, car personne n'a jamais demandé à un système de s'arrêter.

Seules les deux premières peuvent se justifier. La troisième relève de la pure exposition.

Une plateforme comme ISMS.online peut vous aider à ce stade en vous fournissant un espace structuré pour enregistrer votre inventaire de données, lier chaque magasin aux risques et aux contrôles, et montrer à la direction une vision claire des domaines où la conservation et la suppression ne sont actuellement pas contrôlées.

Transformer tout en une histoire de risque quantifiée

Vous transformez tout en une analyse de risques quantifiée en associant des chiffres et des scénarios simples à vos habitudes actuelles, permettant ainsi à la direction de les comparer à d'autres priorités. Au lieu de débattre de principes abstraits, vous montrez concrètement ce que votre historique actuel implique en cas de violation de données, de litige ou d'audit, et l'effort supplémentaire que représentent les incidents, car rien n'est jamais effacé.

Vous pouvez redéfinir la fidélisation comme un risque stratégique en posant des questions telles que :

Si un client subit une violation de données, combien d'années de données de ce client restent stockées dans vos systèmes et sauvegardes ?
En cas d'incident grave, combien de temps supplémentaire faut-il pour éplucher d'énormes historiques de journaux et de tickets par rapport à une fenêtre d'analyse bien délimitée ?
En cas de poursuites judiciaires, jusqu'à quelle période de la procédure de découverte pourrait-elle remonter compte tenu de vos pratiques actuelles en matière de conservation des données ?

Il n'est pas nécessaire de disposer de statistiques parfaites pour présenter un constat éloquent. De simples comparaisons, comme celle-ci : « Nous conservons actuellement sept ans de sauvegardes complètes des boîtes mail de ce client, bien qu'aucun contrat ni réglementation ne l'exige », suffisent à démontrer que nos pratiques actuelles n'ont jamais été le fruit d'une prise de risque consciente. Vous pouvez ensuite mettre en évidence les ensembles de données particulièrement sensibles, tels que les bases de données d'identité, les journaux d'accès privilégiés, les informations de paiement, les données de santé ou relatives aux enfants, ou encore les tickets contenant des captures d'écran et des extraits de bases de données. Lorsque ces données sont présentes sur plusieurs systèmes et de longues chaînes de sauvegarde, les conséquences néfastes d'une conservation incontrôlée deviennent évidentes.

Ce constat, pris dans son ensemble, révèle une réalité incontestable : votre organisation supporte des risques et des coûts invisibles liés à des données dont elle n’a pas réellement besoin. Il est donc opportun de proposer une approche conforme à la norme ISO 27001, qui protège l’entreprise, rassure les clients et positionne votre fournisseur de services gérés comme un partenaire fiable et expérimenté, plutôt que comme un simple accumulateur de données.

Demander demo

Qu’attend réellement la norme ISO 27001 des fournisseurs de services gérés (MSP) en matière de conservation et de suppression des données ?

La norme ISO 27001 exige de votre fournisseur de services gérés (MSP) qu'il conçoive et exploite un modèle de cycle de vie de l'information basé sur les risques, plutôt que d'attribuer des délais fixes à chaque journal ou ticket. Cette approche par les risques est celle que l'ISO 27001 et les recommandations associées appliquent généralement à la gestion du cycle de vie de l'information. Elle privilégie la compréhension du contexte et le traitement des risques plutôt que la prescription de délais universels. Les commentaires du secteur, notamment ceux de la Cloud Security Alliance, confortent cette interprétation. Vous devez comprendre les exigences légales et celles de vos clients, définir des règles claires de conservation et de suppression, les associer aux contrôles de l'Annexe A et démontrer aux auditeurs que vous les appliquez de manière cohérente pour tous les outils, clients et contrats. La norme accorde bien plus d'importance à la cohérence et au fonctionnement de ce modèle qu'à une période de temps unique. Il est donc impératif de toujours convenir de périodes spécifiques avec un conseiller juridique dans les juridictions où vous et vos clients exercez vos activités.

Environ deux tiers des organisations citées dans le rapport 2025 sur l'état de la sécurité de l'information affirment que la rapidité et l'ampleur des changements réglementaires rendent la conformité plus difficile à maintenir.

Les clauses du système de gestion définissent les attentes. Il est essentiel de comprendre les besoins des parties prenantes (clients et autorités de réglementation inclus), d'identifier les exigences légales et contractuelles, d'évaluer les risques liés à l'information et de sélectionner les contrôles appropriés. Il convient ensuite de définir les politiques et les objectifs, de mettre en œuvre les contrôles opérationnels, de suivre les performances, de réaliser des audits internes et de favoriser l'amélioration continue. La conservation et la suppression des données s'inscrivent dans ce processus, au même titre que tout autre ensemble de contrôles, et doivent être revues au même rythme que la gestion des accès ou le traitement des vulnérabilités.

L'annexe A explicite la notion de cycle de vie. La révision de 2022 a introduit et renforcé plusieurs contrôles qui, pris ensemble, définissent la manière d'envisager la conservation des données. Les synthèses de la mise à jour 2022 de la norme ISO 27001 mettent en lumière les contrôles nouveaux et révisés de l'annexe A relatifs à la suppression, à la sauvegarde et à la journalisation des informations. Ces contrôles influencent la façon dont les organisations conçoivent la conservation et l'élimination des données dans le cadre de leur dispositif global de contrôle. Des analyses indépendantes des modifications de 2022, telles que celles publiées par des organismes spécialisés en cybersécurité, soulignent ce changement d'orientation.

Presque toutes les organisations interrogées dans le cadre de l'enquête 2025 d'ISMS.online indiquent que l'obtention ou le maintien de certifications de sécurité telles que l'ISO 27001 ou le SOC 2 constituent une priorité.

Protection des documents : veiller à ce que les documents importants soient conservés et protégés aussi longtemps que nécessaire.
Classification de l'information : veiller à ce que l'information soit classée, car sa conservation et son élimination différeront selon la classe.
Sauvegarde des informations : s'assurer que les sauvegardes respectent les règles documentées de conservation et de restauration.
Suppression des informations : s'assurer que les informations sont supprimées lorsqu'elles ne sont plus nécessaires et que cette suppression réduit la probabilité de récupération.
Élimination ou réutilisation sécurisée du matériel : s’assurer que les supports de stockage ne présentent aucune fuite de données lors de leur réutilisation ou de leur destruction.
Journalisation et surveillance : conservation des journaux aussi longtemps que nécessaire pour des raisons de sécurité et de conformité, puis suppression appropriée.

Pour les MSP, ces attentes se concrétisent selon trois dimensions pratiques.

Vous conciliez le respect de la vie privée, les règles de conservation des données et les attentes des clients en prenant des décisions éclairées et documentées concernant la conservation des données, plutôt que de laisser vos ingénieurs ou gestionnaires de comptes improviser. La norme ISO 27001 exige que vous vérifiiez comment vous équilibrez la minimisation des données, les obligations de conservation des données et la tentation de tout conserver dans vos évaluations des risques, vos politiques et vos contrats.

Vous êtes souvent pris entre trois forces :

Les lois sur la protection de la vie privée et les attentes des clients en matière de protection des données insistent sur la minimisation des données et des durées de conservation définies. Les autorités de contrôle, telles que le Bureau du commissaire à l'information du Royaume-Uni, soulignent explicitement la limitation du stockage, la minimisation des données et des calendriers de conservation clairs dans leurs recommandations relatives à la conservation et à la suppression des données.
Les règles de conservation des données sectorielles et d'entreprise, qui imposent la conservation de certaines données pendant des années.
Clients et ingénieurs qui optent par défaut pour « tout conserver » car cela leur semble plus sûr.

La norme ISO 27001 exige que vous résolviez explicitement cette tension plutôt que de la laisser se manifester de manière empirique. Cette résolution doit être visible dans :

Votre évaluation des risques, dans laquelle vous documentez le risque de sous-rétention et de sur-rétention ainsi que la justification des périodes choisies.
Politiques et procédures précisant la durée de conservation des différentes catégories d'informations et la manière dont elles sont supprimées ou archivées.
Les contrats, les SLA et les accords de traitement des données précisent qui décide des durées de conservation, comment les demandes de suppression sont traitées et ce qui se passe à la fin d'un contrat.

Il est également nécessaire d'adopter une position claire concernant les droits à la vie privée, tels que le droit à l'effacement. Certains référentiels autorisent la conservation des données en cas d'obligation légale ou pour se défendre en justice, même si une personne demande leur suppression. La norme ISO 27001 ne remet pas en cause cette possibilité, mais exige la documentation des fondements juridiques et la prise en compte de la surconservation des données comme un risque en soi.

Transformer le langage des normes en un modèle de cycle de vie opérationnel

Vous transformez le langage des normes en un modèle de cycle de vie opérationnel en traduisant les clauses et les listes de contrôle en une séquence simple qui indique où les données sont créées, utilisées, stockées, archivées et supprimées. Lorsque les ingénieurs et les équipes commerciales peuvent visualiser à quelle étape de ce cycle de vie les décisions concrètes sont prises, la conservation des données cesse d'être un débat abstrait sur la formulation et devient un sujet de discussion de conception concret.

Les équipes comprennent bien mieux les cycles de vie que les longues listes de références de contrôle. En traduisant les exigences de la norme ISO 27001 en un cycle de vie simple et reproductible, on peut visualiser concrètement où se prennent les décisions de conservation et de suppression.

Un cycle de vie simple pourrait ressembler à ceci :

Étape 1 – Créer et capturer

Les données client sont initialement intégrées à vos systèmes via des tickets, la surveillance, les formulaires d'intégration, les sessions à distance ou les intégrations. Vous décidez des données collectées et de leur classification.

Étape 2 – Utiliser et partager

Les ingénieurs et les outils traitent ces données à des fins de support, de modification, de surveillance, de facturation ou de reporting. Le contrôle d'accès et la limitation des finalités sont essentiels dans ce contexte.

Étape 3 – Stocker et protéger

Les données sont stockées dans les systèmes en production, les journaux, les bases de données et les boîtes aux lettres, et sont répliquées dans les sauvegardes, les archives et les outils d'analyse. Des périodes de rétention et des contrôles de protection s'appliquent.

Étape 4 – Archiver et limiter

Les données en direct sont réduites, synthétisées ou déplacées vers des espaces de stockage à plus long terme pour des raisons légales ou commerciales. Vous réduisez délibérément la quantité de données restant en ligne.

Étape 5 – Supprimer ou anonymiser

Les informations qui ne sont plus nécessaires sont supprimées de manière sécurisée ou anonymisées de manière irréversible sur les copies primaires et secondaires, y compris les sauvegardes et les répliques.

Chaque étape correspond à des contrôles spécifiques de la norme ISO 27001, ainsi qu'à des systèmes et des équipes spécifiques. Lorsque ce lien est établi, les discussions sur la conservation des données deviennent moins abstraites et plus concrètes : quels contrôles s'appliquent à quelles données, à quelle étape du cycle de vie et avec quel type de preuves ?

Une fois ce modèle mental établi, l'étape suivante consiste à le transformer en une politique et un calendrier de rétention standard pour votre MSP, plutôt que de laisser chaque client ou propriétaire de produit inventer ses propres règles.

ISMS.online vous donne une longueur d'avance de 81 % dès votre connexion

La norme ISO 27001 simplifiée

Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.

Commencer

Comment concevoir une politique de conservation des données standard et un calendrier que votre fournisseur de services gérés (MSP) peut respecter ?

Pour votre fournisseur de services gérés (MSP), vous élaborez une politique de conservation des données robuste en créant un calendrier unique basé sur les risques, couvrant toutes les catégories de données clés. Ce calendrier s'appuie sur un nombre restreint de périodes standard clairement justifiées, et est ensuite intégré à une politique, une définition des responsabilités et un contrôle des changements. Vous obtenez ainsi un cadre cohérent et facile à expliquer aux auditeurs, aux clients et aux ingénieurs, contrairement aux accords ponctuels fragiles ou aux dizaines de règles sur mesure impossibles à appliquer de manière uniforme.

Une politique de rétention des données défendable ne cherche pas à anticiper tous les cas particuliers. Elle définit des règles par défaut claires, liées à la réglementation et aux risques, et offre une méthode structurée pour gérer les exceptions justifiées. Pour un fournisseur de services gérés (MSP), cela implique de concevoir un calendrier et une politique applicables à de nombreux services et clients, tout en restant suffisamment simples à mettre en œuvre et à expliquer.

Le point de départ est un plan directeur de conservation des données. Il s'agit d'une vue interne unique de :

Quelles catégories d'informations détenez-vous, telles que les journaux de sécurité, les tickets d'assistance, les données de configuration, les données de surveillance, les e-mails, les documents contractuels et les images de sauvegarde ?
L’objet de chaque catégorie et la présence éventuelle de données personnelles, d’informations sensibles ou de documents soumis à des obligations légales de conservation explicites.
Les durées minimales et maximales de conservation, ainsi que la raison (loi, contrat, besoin commercial, tolérance au risque).
Que devrait-il se passer à la fin de cette période : supprimer, archiver dans un autre espace de stockage, anonymiser ou résumer.

Plutôt que de créer des centaines de périodes sur mesure, la plupart des fournisseurs de services gérés (MSP) ont tout intérêt à utiliser un petit nombre de périodes standard, telles que trente jours, quatre-vingt-dix jours, un an, trois ans, sept ans et « fin de contrat plus X ». Chaque catégorie est automatiquement associée à l’une de ces périodes, avec une justification documentée.

Cet exemple montre comment un petit ensemble de bandes peut couvrir de nombreux besoins :

Catégorie	Groupe typique	Principale justification
Journaux de sécurité	Quatre-vingt-dix jours – un an	Fenêtres de détection et d'investigation
Billets de soutien	Trois à sept ans	Litiges et historique de service
Données de configuration	Fin du contrat plus un	Dépannage et récupération
Sauvegardes (images)	Quatre-vingt-dix jours – sept ans	Obligations de recouvrement et obligations légales
Contrats	Sept ans ou plus	conservation des documents juridiques et financiers

Ce ne sont que des exemples, pas des solutions toutes faites, mais ils illustrent comment limiter le nombre de groupes tout en répondant à des besoins variés. L'important est que chaque période ait un objectif clair et puisse être justifiée.

Du calendrier à la politique et à la propriété

Pour qu'un calendrier de conservation des données devienne gérable par votre fournisseur de services gérés (MSP), il est essentiel de l'encadrer par des politiques, une répartition claire des responsabilités et des processus simples pour convenir et modifier les règles. Sans cela, même un calendrier bien conçu finira par dérailler et les ingénieurs reviendront discrètement à la pratique consistant à « tout conserver ».

Votre politique de conservation et de suppression des données devrait :

Énoncez les principes que vous suivez : minimisation, limitation des finalités, sécurité, conformité légale et transparence envers le client.
Indiquez clairement que le calendrier fait foi des règles de conservation et décrivez comment il sera mis à jour.
Reliez ces règles aux exigences de la norme ISO 27001 et à tout autre cadre de référence que vous prétendez suivre.
S’engager à utiliser des méthodes de suppression sécurisées et à ne prolonger la conservation des données que par le biais d’un processus de décision formel.

Il est tout aussi important de déterminer qui est responsable du planning. Dans de nombreux fournisseurs de services gérés, cette responsabilité est partagée, mais il est essentiel qu'une personne soit clairement désignée comme responsable.

On peut expliquer la notion de propriété avec une représentation simple comme celle-ci :

Rôle	Responsabilité principale
Responsable sécurité/conformité	Conformité aux normes, à la législation et à l'appétit pour le risque
Responsable des opérations	Mise en œuvre technique à travers les outils et les plateformes
Équipes juridiques/comptables	Impact commercial et contractuel des choix de fidélisation
Direction/conseil d'administration	Approbation des changements majeurs et des compromis en matière de risques

Les modifications apportées aux durées de conservation des documents, ou les exceptions spécifiques à un client, doivent suivre un processus simple : proposition, analyse d’impact, examen des risques, approbation, mise en œuvre et justification. Une plateforme de gestion de la sécurité de l’information (GSSI) comme ISMS.online peut faciliter ce processus en stockant la politique et le calendrier, en assurant le suivi des approbations, en associant chaque règle aux risques et aux contrôles, et en fournissant une piste d’audit claire aux auditeurs internes et externes.

Couvrir la réalité complexe des données non structurées

Vous gérez la complexité des données non structurées en considérant les e-mails, les conversations instantanées, les lecteurs partagés et les espaces de travail personnels comme des sources prioritaires dans votre politique de conservation, et non comme des éléments secondaires. Cela implique de définir des règles simples que vos plateformes peuvent appliquer, d'aider les ingénieurs et les équipes commerciales à les comprendre et de tester des scénarios réalistes afin de pouvoir expliquer ce qu'il advient des données non structurées lorsque des clients quittent l'entreprise, font l'objet d'enquêtes réglementaires ou que des personnes exercent leur droit à l'effacement.

Les données non structurées perturbent souvent un planning pourtant bien organisé. Les courriels, les messageries instantanées, les lecteurs partagés et les espaces de travail personnels peuvent contenir d'importants volumes d'informations clients rarement couvertes par des règles de conservation formelles.

Pour que votre planning et votre politique soient véritablement défendables, vous devriez :

Traitez les entrepôts de données non structurés comme des sources de données de premier ordre dans la planification, et non comme une simple réflexion après coup.
Définissez des règles de conservation compatibles avec les fonctionnalités de vos plateformes, telles que la conservation des messages dans les outils de collaboration ou l'archivage puis la suppression des e-mails anciens.
Soyez réalistes quant à ce que les ingénieurs et les équipes commerciales peuvent suivre ; des règles trop complexes dans ce domaine risquent d'être ignorées.

Avant de déclarer la conception terminée, examinez quelques scénarios réalistes :

Un client de longue date part et vous demande de lui expliquer ce qui sera supprimé et quand, ce qui sera archivé et ce que vous êtes tenu de conserver pour des raisons légales.
Un organisme de réglementation enquête sur un incident ayant affecté un client spécifique et demande jusqu'à quand on peut remonter et pourquoi.
Lorsqu'une personne concernée exerce son droit à l'effacement, vous devez indiquer où se trouvaient ses données et ce que vous avez fait à ce sujet.

Si votre calendrier et votre politique permettent d'apporter des réponses claires et crédibles dans ces scénarios, vous êtes prêt à adapter le modèle aux différents SLA clients sans perdre le contrôle.

Des limites claires permettent de transformer des habitudes de gestion des données désordonnées en pratiques gérables et auditables.

Comment adapter votre modèle standard aux différents SLA clients sans perdre le contrôle ?

Vous adaptez votre modèle de fidélisation standard aux différents SLA de vos clients en proposant un catalogue restreint d'options prédéfinies, toutes alignées sur votre calendrier principal, au lieu de négocier des chiffres uniques pour chaque contrat. Ainsi, les équipes commerciales et de gestion de comptes peuvent s'adapter aux besoins sectoriels, tandis que les opérations et la sécurité conservent un modèle de cycle de vie cohérent. Vous évitez ainsi de promettre une fidélisation que vous ne pouvez pas réellement tenir.

Le rapport 2025 sur l'état de la sécurité de l'information indique que les clients attendent de plus en plus des fournisseurs qu'ils s'alignent sur des cadres formels tels que l'ISO 27001, l'ISO 27701, le RGPD ou le SOC 2 plutôt que de se fier à des bonnes pratiques génériques.

Les SLA et les contrats clients sont le point de rencontre entre votre organisation interne et les attentes externes. Si chaque nouveau contrat implique des engagements de fidélisation sur mesure, votre planning devient rapidement ingérable. La solution consiste à présenter votre modèle standard sous forme d'un nombre restreint d'options claires et à expliciter les responsabilités partagées.

Au lieu de laisser les équipes commerciales ou les clients choisir des chiffres arbitraires, créez un catalogue d'options de fidélisation pour les éléments clés du service :

Pour les journaux : trente, quatre-vingt-dix ou trois cent soixante-cinq jours de journaux de sécurité en ligne, avec des options d’archivage convenues.
Pour les sauvegardes : sauvegardes quotidiennes pendant 90 jours, plus images mensuelles pendant 12 mois, plus images annuelles pendant 7 ans pour les clients réglementés.
Pour les données relatives aux billets : trois ans par défaut et des périodes plus longues pour les secteurs ayant des délais de règlement des litiges plus longs.
Pour les données d'applications hébergées : durée du contrat plus une courte période de grâce.

Chaque option correspond parfaitement à une plage horaire de votre planning. Les équipes commerciales peuvent expliquer les compromis, et les équipes opérationnelles savent exactement comment les mettre en œuvre.

Rendre visibles les responsabilités partagées

Vous rendez les responsabilités partagées visibles en précisant qui définit la conservation des données, qui déclenche les suppressions et qui peut imposer des blocages légaux, au lieu de supposer que tout le monde partage la même vision. Des rôles clairement définis pour vous, vos clients et les prestataires tiers permettent d'éviter les mauvaises surprises lors des départs, des enquêtes ou des audits.

Les responsabilités en matière de conservation et de suppression des données sont souvent présumées plutôt que formalisées par écrit. Cela engendre des tensions lorsqu'un client s'attend à ce que les données soient effacées alors que vous les conservez dans vos sauvegardes, ou lorsqu'il suppose que vous conserverez les journaux plus longtemps que vos outils ne le font.

L’utilisation d’un modèle RACI (Responsable, Autorité, Consulté, Informé) simple permet d’éviter ce problème. Pour chaque activité importante, comme la définition d’une période de conservation, l’acceptation ou le refus d’une demande de suppression, l’effacement des données en fin de contrat ou la mise sous séquestre légal des données, vous pouvez indiquer :

Vos responsabilités incluent notamment la configuration des outils, la maintenance des sauvegardes, l'exécution des tâches de suppression et la fourniture de preuves.
Ce qui incombe au client, c'est notamment de décider de la durée de conservation de certains documents et de vous donner des instructions écrites concernant leur suppression ou leur conservation.
Lorsque la responsabilité est partagée, par exemple lorsque vous fournissez des fonctionnalités mais que le client décide de la manière de les appliquer.
Ce que font les prestataires tiers, et où commencent et où s'arrêtent vos obligations de supervision à leur égard.

Ces modèles ne doivent pas se limiter aux documents internes. Ils doivent figurer dans les contrats-cadres de services, les SLA et les accords de traitement des données. Une formulation claire et standardisée concernant la gestion des données en fin de service, les délais de suppression, l'assistance à la migration et les exigences en matière de justificatifs rend la transition plus prévisible et bien moins conflictuelle.

Vous devez également être honnête quant aux capacités et aux limites de vos plateformes. Promettre une restauration à un point précis dans le temps pour dix ans de sauvegardes alors que vos outils et votre budget ne permettent d'en restaurer que trois représente non seulement un risque commercial, mais aussi, selon la norme ISO 27001, un problème de conception et d'efficacité des contrôles.

Aider les clients à choisir et documenter les compromis

Vous aidez vos clients à choisir leurs options de conservation et à documenter les compromis en expliquant clairement les implications de chaque option sur les enquêtes, la confidentialité, les coûts et les risques contractuels. Ainsi, la discussion passe du choix d'un montant à celui d'un résultat, et vous disposez de décisions écrites auxquelles vous pouvez vous référer en cas d'incidents, d'audits et de renouvellements.

Les clients arrivent rarement avec une vision complète de leurs besoins en matière de rétention. Votre valeur ajoutée réside dans votre capacité à les aider à comprendre les implications des différentes options et à consigner clairement ces décisions, afin qu'elles ne soient pas remises en question lors de chaque incident ou audit.

Vous pouvez soutenir les bonnes décisions en :

Expliquer en termes simples ce que les différentes options impliquent en matière d'enquêtes, de confidentialité et de coûts.
Aider les clients à formuler leurs exigences sectorielles dès le début du processus de vente, afin de pouvoir les adapter à des modèles réalistes.
Documenter les options choisies et leur justification, et pas seulement les chiffres.

Par exemple, un client du secteur financier pourrait opter pour une durée de conservation plus longue des journaux et des tickets afin de faciliter les enquêtes antifraude, tandis qu'un client du secteur des technologies de la santé pourrait choisir une suppression plus systématique de certaines données pour réduire les risques d'atteinte à la vie privée. Ces deux choix sont compatibles avec votre cadre de gestion s'ils sont mûrement réfléchis, documentés et techniquement réalisables.

Une fois ces modèles identifiés, vous pouvez adapter vos outils et processus en conséquence. L'étape suivante consiste à s'assurer que les plateformes de sauvegarde, de journalisation et de collaboration respectent bien vos contrats et politiques en vigueur.

Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.

Réservez votre démo

Comment aligner les sauvegardes, les journaux et les applications hébergées avec votre modèle de rétention ?

Vous alignez vos sauvegardes, journaux et applications hébergées sur votre modèle de conservation en traduisant chaque entrée de votre planification en paramètres, scripts et flux de travail concrets sur les systèmes hébergeant les données clients, puis en surveillant ces configurations dans le temps. L'objectif est que vos outils reflètent vos plages de conservation choisies, et non leurs valeurs par défaut, et que vous puissiez prouver cet alignement lors des audits ou des demandes de vos clients en démontrant comment les politiques, les contrats et les contrôles de la norme ISO 27001 se traduisent en configurations réelles.

Un calendrier et un ensemble de modèles de SLA n'ont que peu d'importance si les systèmes qui hébergent vos données fonctionnent différemment. Pour les fournisseurs de services gérés (MSP), le plus difficile est souvent de traduire le modèle en paramètres, scripts et flux de travail pour une architecture d'outils hétérogène.

Les sauvegardes sont généralement la priorité absolue. Historiquement, de nombreux fournisseurs de services gérés (MSP) considéraient leurs systèmes de sauvegarde comme des espaces de stockage « écriture unique, extension illimitée ». Or, avec la norme ISO 27001 et les exigences actuelles en matière de protection de la vie privée, cette approche n'est plus viable. Les commentaires des normes ISO 27001/27002, ainsi que les discussions sur les normes de confidentialité relatives à la minimisation des données et à la limitation du stockage, soulignent qu'il est difficile de justifier une conservation indéfinie des sauvegardes, sauf obligation légale ou contractuelle claire.

Vous devez décider, pour chaque ensemble de données de sauvegarde :

À quelle fréquence effectuez-vous des copies et avec quelle granularité ?
Combien de versions conservez-vous et pendant combien de temps ?
Lorsque des données expirent ou sont supprimées des supports de sauvegarde principaux et secondaires.
La possibilité de détruire les clés de chiffrement pour rendre les anciennes données inaccessibles.

Ces décisions doivent être intégrées aux politiques de sauvegarde et ne pas être laissées aux paramètres par défaut. Elles doivent être conformes aux objectifs de reprise après sinistre et aux exigences légales, et vous devez être en mesure de montrer aux auditeurs et aux clients où se trouvent ces paramètres et comment vous les surveillez.

Maîtriser les journaux et les archives

Vous maîtrisez vos journaux et archives en les classant, en définissant des durées de conservation réalistes et en utilisant vos outils de gestion des journaux et des archives pour mettre en œuvre et suivre ces décisions. Des journaux qui semblaient autrefois inoffensifs peuvent devenir des problèmes majeurs de confidentialité et de stockage s'ils sont conservés indéfiniment ; ils doivent donc être soumis aux mêmes règles que les autres données et non gérés indépendamment.

Les journaux d'événements constituent un piège courant. Les équipes de sécurité souhaitent souvent disposer de longues périodes de conservation pour faciliter la recherche de menaces et la réponse aux incidents. Les équipes chargées de la protection des données et de la gestion des risques veillent à ne pas conserver les données identifiables plus longtemps que nécessaire. Les équipes en charge du stockage et des performances se préoccupent quant à elles du volume et du coût.

La solution consiste à :

Classez les journaux selon leur finalité et leur niveau de sensibilité. Un journal d'authentification diffère d'une trace de débogage détaillée.
Définissez des durées de conservation adaptées aux besoins réels de détection, d'investigation et de conformité, puis justifiez ces décisions par des évaluations des risques. Pour certains fournisseurs de services gérés, cela peut impliquer plusieurs mois pour les incidents de sécurité et des périodes plus courtes pour les données de débogage volumineuses.
Utilisez des outils de gestion des journaux ou de gestion des informations et des événements de sécurité pour mettre en œuvre ces périodes et pour résumer ou anonymiser les données lorsque l'historique détaillé n'est plus nécessaire.

Les archives, qu'il s'agisse de courrier, de billets ou d'images, nécessitent elles aussi une attention particulière. Il est facile pour les systèmes d'archivage de devenir un lieu de stockage permanent pour des données que personne n'ose supprimer. Les intégrer à la planification implique de définir :

Quels documents peuvent être archivés plutôt que supprimés purement et simplement ?
Pendant combien de temps les archives sont-elles conservées et sous quel format ?
Comment les archives sont protégées et qui peut y accéder.
À quoi ressemble la suppression ou l'anonymisation en fin de vie ?

Le fait de documenter ces réponses dans votre système de gestion de l'information (SGSI) et de les relier aux contrôles et aux risques facilite grandement les discussions avec les auditeurs et les clients.

Gérer les réalités du multi-tenant et du cloud

Vous gérez les réalités du multitenant et du cloud en concevant des modèles de séparation et de suppression logiques qui respectent les contraintes techniques, puis en expliquant clairement ces modèles dans vos contrats et vos politiques de confidentialité. Il est peut-être impossible d'isoler physiquement les données d'un client à la demande, mais vous pouvez néanmoins répondre à des attentes raisonnables en utilisant des identifiants de locataire, le chiffrement et l'agrégation temporaire.

De nombreux fournisseurs de services gérés (MSP) proposent des services sur des plateformes mutualisées : agrégateurs de journaux qui regroupent les événements de nombreux clients, systèmes de sauvegarde qui stockent les images côte à côte, services cloud qui hébergent les données des différents locataires. Cela soulève des questions complexes lorsqu’un client quitte la plateforme ou exerce des droits sur ses données.

Vous pouvez gérer ces réalités en :

Concevoir une séparation logique, comme des identifiants de locataire pour les journaux et les données, afin de pouvoir filtrer et isoler les informations d'un client.
Choisir des méthodes de suppression adaptées aux contraintes multi-locataires, par exemple la destruction des clés pour les ensembles de données chiffrés ou la suppression des identifiants de locataire des journaux agrégés après une certaine période.
Il est essentiel de préciser clairement dans les contrats et les avis de confidentialité ce que vous pouvez et ne pouvez pas supprimer des environnements partagés.

Il est également important d'intégrer les paramètres de conservation des données à votre processus de gestion des changements. Lors de la mise à jour d'outils ou de la modification de configurations, il convient de vérifier que la durée de conservation des journaux, des sauvegardes et des archives reste conforme à votre calendrier. Sans cela, l'alignement, fruit d'efforts considérables, risque de se dégrader insidieusement au fil du temps.

Une fois que vos systèmes reflètent vos règles de conservation, vous êtes en mesure de parler de manière crédible de suppression sécurisée : non pas simplement en appuyant sur le bouton Supprimer d’un enregistrement, mais en vous assurant qu’il est irrécupérable lorsqu’il doit l’être, sans compromettre les promesses de récupération.

Comment supprimer des données en toute sécurité sans enfreindre les promesses de récupération ?

Vous garantissez une suppression sécurisée sans compromettre la récupération en définissant des méthodes approuvées pour les systèmes en production, les supports et les sauvegardes, puis en les alignant sur votre calendrier de conservation et vos objectifs de récupération. Concrètement, cela implique généralement de combiner la suppression au niveau applicatif, l'effacement sécurisé des supports et, pour les sauvegardes chiffrées, la destruction des clés, avec des règles claires sur l'utilisation de chaque méthode, son autorisation et la manière de prouver que la suppression est bien irréversible.

La suppression sécurisée pour un fournisseur de services gérés (MSP) ne se résume pas à un outil ou une technique unique ; il s'agit d'un ensemble de pratiques qui, ensemble, rendent les informations irrécupérables une fois leur délai écoulé, tout en préservant la possibilité de restaurer ce que les clients sont légitimement en droit d'attendre.

L'approche appropriée varie selon le support et le contexte :

Dans les systèmes en production, suppression ou anonymisation des enregistrements dans les applications et les bases de données selon votre planification, avec des pistes d'audit.
Sur les supports de stockage, utiliser l'écrasement sécurisé, l'effacement cryptographique ou la destruction physique avant réutilisation ou mise au rebut.
Dans les sauvegardes et les réplicas, l'expiration des données est effectuée en fonction des politiques de rétention ou les clés sont détruites afin de rendre illisibles les anciens ensembles chiffrés.

Pour chaque type majeur de données et de stockage que vous gérez, vous devez définir les méthodes acceptables, les situations dans lesquelles elles le sont et les personnes habilitées à les autoriser. Ces définitions doivent figurer dans votre système de gestion de la sécurité de l'information (SGSI), au même titre que vos autres procédures opérationnelles, et être intégrées aux contrats, le cas échéant.

La preuve que supprimé signifie vraiment disparu

Vous prouvez que la suppression signifie réellement « disparu » en testant vos processus, en consignant les résultats et en démontrant leur lien avec vos règles de conservation et vos obligations légales. Les clients et les auditeurs s'interrogent de plus en plus sur le contenu de vos procédures de suppression, mais aussi sur leur efficacité. Les organismes professionnels et les recommandations sectorielles relatives à la suppression sécurisée des données insistent sur l'importance non seulement de disposer de procédures documentées, mais aussi de vérifier l'efficacité technique de la suppression en pratique, par exemple en testant les méthodes d'effacement sur des systèmes représentatifs.

Les clients et les auditeurs demandent de plus en plus non seulement ce que prévoient vos procédures de suppression, mais aussi si elles fonctionnent.

Vous pouvez renforcer votre confiance en :

Exécution de tests de suppression sur des systèmes représentatifs et des ensembles de sauvegarde. Par exemple, suppression des données d'un enregistrement de test, puis confirmation de leur absence dans les applications, les magasins de données et les sauvegardes après le délai prévu.
Démontrant que la rotation des sauvegardes, l'expiration et la gestion des clés fonctionnent comme prévu, y compris pour les copies immuables et hors site.
Consignez ces tests, leurs résultats et les mesures correctives mises en œuvre dans le cadre de votre programme d'audit interne.

Il est également essentiel d'intégrer les mécanismes de conservation légale. Il peut arriver que vous deviez suspendre la suppression de données pour un client, une personne ou un ensemble de données en particulier en raison d'un litige, d'une enquête ou d'une injonction réglementaire. Vos systèmes de gestion de la sécurité de l'information (SGSI), de gestion des incidents et de sauvegarde doivent prendre en charge :

Signalement des données ou des clients comme étant en attente.
Empêcher la suppression automatique de ces portées pendant que le blocage est actif.
Consigner qui a autorisé la mise en attente, pourquoi et pour combien de temps.
Reprise de la conservation et de la suppression normales une fois la période de suspension terminée.

Sans cette intégration, les ingénieurs sont contraints d'improviser, et l'on peut facilement se retrouver avec une suppression involontaire de preuves ou une conservation incontrôlée bien au-delà de ce qui était prévu.

Fournir aux ingénieurs des conseils pratiques

Vous offrez aux ingénieurs des instructions pratiques en transformant vos règles de conservation et de suppression en procédures et listes de contrôle claires et spécifiques au système pour les tâches courantes, notamment lors de la fin d'une collaboration avec un client ou de la mise hors service d'un système. Sans ce niveau de détail, même les meilleures politiques sont appliquées de manière incohérente et il vous est difficile de démontrer aux auditeurs comment le travail est effectué.

Les politiques et les évaluations des risques sont nécessaires, mais elles n'indiquent pas à un ingénieur sur quoi cliquer le lundi matin.

Pour que la suppression sécurisée soit effective, vous devez fournir :

Des procédures claires pour les tâches courantes, telles que la mise hors service d'un serveur, l'effacement d'un ordinateur portable utilisé pour l'assistance à distance, la suppression d'un client d'une plateforme de surveillance ou la suppression d'un locataire d'un système de sauvegarde.
Des instructions spécifiques à chaque outil, reconnaissant que les différentes plateformes de sauvegarde ou de cloud offrent des fonctionnalités différentes et que la fonction « supprimer » n’est pas toujours ce qu’elle paraît.
Des listes de contrôle simples pour les activités de fin de contrat, afin que les ingénieurs sachent exactement quelles étapes suivre pour chaque système et comment consigner leur réalisation.

Une courte liste de contrôle reproductible pour la suppression en fin de contrat pourrait ressembler à ceci :

Étape 1 – Identifier les systèmes concernés

Répertoriez toutes les plateformes, sauvegardes et archives qui contiennent les données du client, y compris les outils partagés et multi-locataires.

Étape 2 – Exécuter les suppressions convenues

Appliquez les étapes de suppression ou d'anonymisation configurées dans chaque système, en suivant vos procédures d'exécution approuvées.

Étape 3 – Vérifier les absences et les exceptions

Vérifiez que les données n'apparaissent plus dans les systèmes en production et que toutes les copies conservées sont clairement documentées.

Étape 4 – Consigner les preuves et les approbations

Consignez les tickets, les rapports et les approbations afin de pouvoir indiquer ce qui a été fait, quand et par qui.

Ces manuels d'exploitation peuvent être intégrés à votre plateforme SMSI, avec les politiques et le calendrier de conservation qu'ils prennent en charge. Ainsi, lors de la mise à jour d'une règle ou du changement d'outil, vous disposez d'un point unique pour gérer le processus et d'un moyen clair de montrer aux auditeurs comment les utilisateurs sont informés des procédures à suivre.

Une fois la suppression sécurisée intégrée au système, la dernière étape consiste à démontrer, de manière convaincante et sans panique, que votre approche de conservation et de suppression fonctionne lorsque les clients ou les auditeurs vous le demandent.

ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.

Réservez votre démo

Comment prouver votre politique de conservation et de suppression des données aux auditeurs et aux clients ?

Vous prouvez votre maîtrise des processus de conservation et de suppression en démontrant clairement le lien entre l'intention et la mise en œuvre : des politiques et des calendriers documentés, alignés sur les contrôles de la norme ISO 27001 et les engagements clients, étayés par des configurations, des tickets et des revues qui démontrent que vous respectez vos engagements. Les auditeurs et les clients recherchent la cohérence, la transparence et la preuve que vous tirez des leçons de vos erreurs, et non une illusion de perfection.

Environ 41 % des organisations interrogées dans le cadre de l'enquête 2025 d'ISMS.online ont déclaré que la gestion des risques liés aux tiers et le suivi de la conformité des fournisseurs constituent l'un de leurs principaux défis en matière de sécurité de l'information.

Dans la norme ISO 27001 et lors d'audits clients exigeants, on vous demande rarement la perfection ; on vous demande plutôt d'être systématique, conscient des risques et honnête quant à vos points faibles. Les documents explicatifs de l'ISO décrivent la norme comme un cadre de gestion fondé sur les risques et l'amélioration continue, plutôt que comme une exigence de performance irréprochable en matière de contrôle, ce qui correspond parfaitement à cette attente.

Prouver votre stratégie de gestion du cycle de vie des données, c'est démontrer que vous avez un plan, que vous le mettez en œuvre et que vous le surveillez et l'améliorez.

Un bon dossier de preuves à conserver et à supprimer comprend généralement :

Politiques et normes relatives au cycle de vie de l'information, à sa conservation, à sa suppression, à sa sauvegarde et à son élimination.
Le calendrier de conservation et toute exception documentée.
Exemples de configurations système illustrant les paramètres de rétention dans les outils clés.
Enregistrements des demandes de suppression, des activités de fin de contrat et de la destruction des supports.
Résultats des tests ou audits internes, avec constatations et mesures correctives.

L’objectif n’est pas de noyer les auditeurs ou les clients sous une avalanche de captures d’écran. Il s’agit d’offrir une vision claire de l’intention (politique et évaluation des risques), en passant par la conception (planification et SLA), l’exploitation (paramètres et tickets), jusqu’à la supervision (indicateurs et revues).

Rendre la gouvernance du cycle de vie visible au sein de votre MSP

Vous rendez la gouvernance du cycle de vie visible au sein de votre MSP en traitant la conservation et la suppression des données comme un sujet de gestion continu, et non comme une simple formalité avant un audit. Lorsque les dirigeants, les auditeurs et les clients visualisent les indicateurs de cycle de vie au même titre que les autres indicateurs de sécurité, ils comprennent que les données sont gouvernées tout au long de leur cycle de vie chez vous, et pas seulement au moment de la certification.

Vous pouvez intégrer la gouvernance du cycle de vie au rythme de gestion normal en :

Création de tableaux de bord ou de rapports simples indiquant quels systèmes sont alignés sur le calendrier de conservation, où des exceptions existent et où des actions sont en retard.
Il est important de suivre quelques indicateurs clés de performance (KPI) pertinents, tels que le délai de traitement des demandes de suppression, la proportion de systèmes dont les paramètres de conservation sont vérifiés ou le nombre d'incidents liés à la conservation. Par exemple, vous pourriez viser un taux de conservation confirmé annuellement supérieur à 95 % pour les systèmes concernés.
Inclure les sujets relatifs au cycle de vie dans les revues de direction, au même titre que les autres indicateurs de la norme ISO 27001, les incidents et les performances de contrôle.

Cela vous prépare non seulement mieux à un examen externe, mais facilite également la justification des coûts de stockage et d'outillage, car vous pouvez montrer à la direction exactement quelles décisions en matière de rétention ils ont prises et combien il en coûte pour les maintenir.

Cela vous offre également un argument de poids auprès de vos clients : vous ne considérez pas leurs données comme une simple formalité, mais comme un actif géré tout au long de leur durée de vie chez vous.

Réutiliser les preuves et tirer des leçons de rétroaction

Vous réduisez vos efforts et améliorez vos contrôles en considérant les audits et les questions des clients comme des occasions d'affiner vos éléments probants et votre modèle de cycle de vie, plutôt que comme des tâches ponctuelles. La réutilisation et le retour d'information sont les clés qui concrétisent la promesse d'amélioration continue de la norme ISO 27001 et vous permettent de démontrer à vos clients que leurs commentaires modifient vos pratiques.

Grâce à une sélection de documents et de rapports pertinents, vous pouvez répondre aux questionnaires et aux audits clients beaucoup plus efficacement. Au lieu de créer des documents de toutes pièces à chaque fois, vous pouvez :

Fournissez des exemples standard et expurgés de tickets de suppression, de certificats de destruction de supports et d'exportations de configuration.
Présentez votre modèle de cycle de vie et votre calendrier, en montrant comment ils s'appliquent aux services de ce client.
Démontrez les améliorations récentes que vous avez apportées en vous appuyant sur les leçons apprises, les conclusions d'audit ou les commentaires des clients.

L’amélioration continue n’est pas qu’un slogan dans la norme ISO 27001 ; c’est une véritable force lorsque les clients constatent que vous prenez au sérieux leurs préoccupations et les changements réglementaires et que vous les intégrez dans les mises à jour de vos contrôles.

Une plateforme de gestion de la sécurité de l'information (GSSI) telle que ISMS.online peut grandement faciliter cette tâche en :

Nous centralisons vos politiques, votre calendrier de conservation des données, vos risques, vos cartographies de contrôle, vos audits internes et vos plans d'action.
Lier chaque élément de preuve aux contrôles et aux clauses permet de constituer rapidement des dossiers ciblés pour différents publics.
Fournir des outils simples de reporting et d'analyse qui vous permettent de montrer aux parties prenantes internes et externes comment votre approche de conservation et de suppression évolue au fil du temps.

Lorsque vous serez en mesure de raconter cette histoire clairement, la migration de vos processus vers une plateforme ISMS dédiée cessera d'être un luxe et deviendra une étape pratique pour assurer la cohérence de vos opérations à mesure que vous vous développez.

Réservez une démo avec ISMS.online dès aujourd'hui

ISMS.online vous aide à transformer la gestion des données (conservation et suppression) d'un ensemble de pratiques parfois hasardeuses en un système unique et auditable, conforme à la norme ISO 27001 et aux exigences des SLA clients. Lorsque vous serez prêt à abandonner les tableurs et les procédures ad hoc, une courte démonstration vous montrera comment vos pratiques actuelles s'intègrent dans un modèle de cycle de vie plus facile à justifier auprès des auditeurs et des clients.

La plateforme vous permet de documenter vos politiques de gestion du cycle de vie de l'information, de définir votre calendrier de conservation principal et de l'associer aux contrôles de l'Annexe A, aux obligations légales et aux engagements clients. Vous pouvez attribuer les responsabilités, recueillir les approbations pour les exceptions et lier chaque décision aux risques et contrôles concernés. Les tâches et les flux de travail vous permettent de coordonner les actions de conservation et de suppression entre les équipes du support technique, des opérations et de la sécurité, avec des pistes d'audit claires et transparentes, remplaçant ainsi les échanges d'e-mails interminables.

Lorsque des clients ou des organismes de certification vous interrogent sur vos procédures de conservation et de suppression des données, vous pouvez fournir des preuves précises à partir du système que vous utilisez pour votre SMSI, sans avoir à rechercher d'anciennes captures d'écran et des tickets. Conçu pour une gestion continue et non pour des projets de certification ponctuels, ISMS.online prend naturellement en charge les revues et améliorations que les normes et les organismes de réglementation exigent désormais concernant le cycle de vie des données.

Si votre fournisseur de services gérés (MSP) se reconnaît dans cette description de la conservation ad hoc des données, des sauvegardes « tout conserver » et des réponses hésitantes lors des audits, il est temps d'agir. Lorsque vous serez prêt à renforcer votre système de gestion du cycle de vie des données, choisissez ISMS.online comme plateforme ISMS et réservez une courte démonstration. Vous pourrez ainsi constater la rapidité avec laquelle vous pouvez cartographier votre situation actuelle, concevoir un cadre de conservation et de suppression adapté à votre clientèle et le mettre en œuvre en toute confiance.

Foire aux questions

Comment un fournisseur de services gérés (MSP) doit-il structurer la conservation et la suppression des données pour qu'elles soient conformes à la norme ISO 27001 et aux différents SLA clients ?

Vous obtenez un contrôle maximal et un minimum de retouches si vous construisez. un cadre de conservation des données conforme aux normes ISO au sein de votre système de gestion de la sécurité de l'information (SGSI), puis laissez les SLA clients choisir parmi un petit ensemble d'options standard qui s'y intègrent.

Partir d'un modèle de rétention interne unique

Concevoir un calendrier principal de rétention que votre organisation possède et qui couvrent tous les services gérés :

Définir un petit ensemble de classes de données qui existent dans la plupart des contrats : tickets de service, journaux de surveillance et de sécurité, données de configuration, documentation, sauvegardes, courriels et discussions instantanées, fichiers partagés, contrats et documents financiers.
Choisissez un nombre limité de plages horaires (par exemple 30 / 90 / 365 jours, trois ans, sept ans, « fin de contrat plus X ») au lieu d’inventer de nouvelles périodes pour chaque contrat.
Pour chaque classe, documentez :
base (loi ou règlement, contrat, code sectoriel, mécanisme de règlement des différends ou décision interne en matière de risques).
action de fin de vie (supprimer, anonymiser, archiver ou placer sous séquestre légal).

Lorsque ce calendrier est intégré à votre système de gestion de la sécurité de l'information (SGSI), il s'aligne naturellement sur l'approche de la norme ISO 27001 axée sur le contexte, les obligations, les risques et le contrôle, et il devient beaucoup plus facile à défendre auprès des auditeurs et des clients.

Proposez des modèles de SLA plutôt que des promesses ponctuelles.

Présentez ce planning aux clients comme un Menu succinct des modèles SLA, plutôt que des formulations sur mesure dans chaque contrat. Par exemple :

« Journaux de sécurité – standard » → 12 mois en ligne, 12 mois d’archivage.
« Journaux de sécurité – étendus » → trois ans au total pour les secteurs réglementés.
« Sauvegardes – opérationnelles » → 30 jours glissants plus mensuel pendant 12 mois.
« Sauvegardes – conformité » → conservation des données financières pendant sept ans.

Vos SLA et accords de traitement des données ensuite Référez ces modèles par leur nom.Sauf exception, lorsque certaines lois ou réglementations exigent une approche différente. Les équipes d'ingénieurs, de vente et juridiques discutent des mêmes tendances au lieu de recréer les mêmes règles dans des échanges de courriels.

Si vous gérez le catalogue et les approbations sur une plateforme comme ISMS.online, vous pouvez présenter en temps réel le planning, les mappages et les décisions lors des audits et des appels d'offres. Ainsi, la question, souvent source d'inquiétude (« Combien de temps conservez-vous nos données ? »), devient la preuve que votre système de gestion de la sécurité de l'information (SGSI) est structuré et mature.

Expliciter les responsabilités et les compromis

Utilisez des contrats, des calendriers de sécurité et des avis de confidentialité pour corriger un problème simple. modèle de responsabilité partagée:

Qui sélectionne le modèle pour chaque service et classe de données ?
Qui peut demander la suppression, l'exportation ou la mise sous séquestre légal et comment ces demandes sont-elles authentifiées ?
Qui contrôle quels mécanismes sur chaque plateforme (vous, le client, ou un fournisseur tiers) ?
Comment vous gérez les situations où Les obligations légales nécessitent une rétention plus longue qu'une préférence du client.

Cette clarté permet à vos équipes commerciales d'éviter de faire des promesses excessives sous pression et vous offre une vision claire des clauses de la norme ISO 27001 relatives au contexte (4), au leadership (5) et à la planification (6). Lorsque tout est documenté dans votre SMSI, vous pouvez orienter les auditeurs et les clients vers un cadre cohérent au lieu de devoir reconstituer les décisions de mémoire.

Quelles clauses de la norme ISO 27001:2022 et quelles mesures de l'annexe A sont les plus importantes pour la conservation et la suppression des données des fournisseurs de services gérés ?

Pour un fournisseur de services gérés (MSP), la conservation et la suppression se situent là où contexte, risque, opérations et preuves Un ensemble cohérent de clauses de la norme ISO 27001 et de contrôles de l'annexe A vous fournit le cahier des charges de conception de votre cycle de vie de l'information.

Ancrez votre approche dans les clauses essentielles

Votre modèle de conservation et de suppression doit clairement se référer à ces clauses :

Article 4 – Contexte de l’organisation : vous avez identifié lequel lois, organismes de réglementation, contrats et normes sectorielles déterminez la durée de conservation de certaines données et comment cela varie selon les juridictions.
Article 5 – Leadership : La direction a approuvé un modèle de rétention unique, plutôt que de laisser les décisions aux transactions de vente individuelles.
Article 6 – Planification : La conservation et la suppression apparaissent dans votre plan d'évaluation et de traitement des risques, notamment les tensions entre les obligations légales, les attentes des clients et les coûts opérationnels.
Article 8 – Fonctionnement : Les procédures de mise en service, de journalisation, de sauvegarde, d'assistance et de départ font toutes référence au même calendrier principal, de sorte que le personnel n'a pas à passer des appels ponctuels.
Article 9 – Évaluation des performances : Vous vérifiez si le calendrier et les contrôles sont toujours appropriés et s'ils sont respectés.
Article 10 – Amélioration : Les incidents, les plaintes ou les conclusions d'audit concernant la sur-conservation ou la suppression ratée entraînent des changements mesurables dans vos contrôles.

Si votre calendrier, vos procédures et votre registre des risques font explicitement référence à ces clauses au sein de votre SMSI, les auditeurs peuvent constater que la conservation et la suppression font partie intégrante du système et ne sont pas des ajouts superficiels.

Utilisez l'annexe A comme liste de contrôle pratique

Une poignée de Contrôles de l'annexe A 2022 supportent la majeure partie du poids pour les MSP :

A.5.32 – Protection des documents : Quels documents devez-vous conserver, pendant combien de temps, et comment sont-ils protégés et récupérables ?
A.8.10 – Suppression d'informations : veiller à ce que les informations soient supprimées ou anonymisées de manière irréversible lorsque vous n'en avez plus besoin.
A.8.13 – Sauvegarde des informations : Les sauvegardes suivent des règles de conservation et de récupération documentées plutôt que de « tout conserver indéfiniment ».
A.7.14 – Élimination ou réutilisation sécurisée du matériel : Nettoyage et destruction des disques, bandes et appareils contenant des données clients.
A.8.15 – Journalisation : et A.8.16 – Surveillance : combien de temps les grumes sont conservées, comment elles sont tournées et quand elles sont retirées.

Une manière simple de mettre cela en œuvre consiste à Annotez votre calendrier et vos procédures de conservation avec ces identifiants de contrôle.Ensuite, conservez des preuves tangibles : le planning lui-même, les exportations de configuration clés, les certificats de destruction et les notes de révision. L’intégration de ces éléments dans une plateforme de gestion de la sécurité de l’information (GSSI) telle que ISMS.online permet de disposer d’une cartographie identique pour les audits internes, la certification ISO et les évaluations clients exigeantes, sans avoir à la recréer à chaque fois.

Comment un fournisseur de services gérés peut-il concevoir un calendrier de conservation des données réaliste qui fonctionne pour de nombreux clients et dans différentes juridictions ?

Les calendriers qui tiennent la route à l'échelle d'un MSP commencent par ce que vous exploitez déjà, puis intégrez progressivement le droit, les contrats et la gestion des risques jusqu'à obtenir une structure compacte que vos équipes peuvent gérer au quotidien.

Cartographiez d'abord votre paysage de données réel.

Commencez par lister les tâches que vous gérez réellement pour un client type :

les systèmes Vous gérez : le service d'assistance, les outils de surveillance et de gestion à distance, la surveillance de la sécurité et des performances, les wikis de documentation, les coffres-forts de mots de passe, les portails cloud, les suites de messagerie et de collaboration, les espaces de stockage de fichiers, les plateformes de sauvegarde et de reprise après sinistre, et tous les services tiers que vous administrez.
entrées qui favorisent la fidélisation : les contrats clients et les SLA, les exigences sectorielles (par exemple, la finance, la santé, le secteur public), les obligations en matière de protection de la vie privée telles que le RGPD ou le CCPA, et les délais de litige ou de prescription habituels dans les pays où vous opérez.
logique classes de données qui se répètent d'un client à l'autre : journaux de sécurité, télémétrie opérationnelle, tickets d'incident, enregistrements de configuration, manuels d'exploitation et documentation, documents financiers, sauvegardes brutes, courriels, discussions instantanées et fichiers non structurés.

Cela vous donne une base concrète. Vous ne concevez pas en théorie ; vous décidez du traitement des classes de données que vous utilisez quotidiennement.

Réduire la complexité à une petite bibliothèque de bandes temporelles

Ensuite, définissez un Ensemble restreint de plages horaires que vous pouvez expliquer aux clients, aux organismes de réglementation et aux ingénieurs :

Bandes courtes (par exemple 7 / 30 / 90 jours) pour les données de télémétrie bruitées et les données de diagnostic transitoires.
Des périodes moyennes (par exemple un ou trois ans) alignées sur les engagements de service, les termes du contrat et les délais de règlement des litiges habituels.
Des périodes de conservation longues (par exemple sept ans) pour les documents fiscaux ou les données soumises à une obligation légale de conservation explicite.
Des fourchettes relatives telles que « fin de contrat plus 6/12/24 mois » pour le contenu et la configuration spécifiques au locataire.

Pour chaque classe de données :

Déterminez votre rétention minimale où la loi ou la réglementation fixe un seuil minimal.
Choisissez un période standard Vous le proposerez dans la plupart des contrats.
Capturez un justification en langage clair en faisant référence à des réglementations spécifiques, des codes sectoriels, des contrats ou des décisions internes en matière de risques.
Définir la état final: supprimer, anonymiser, archiver ou conserver sous contrôle judiciaire.

On peut généralement exprimer cela dans un seul tableau : « classe de données → période de conservation → base → action de fin de vie ». Lorsque ce tableau est intégré à votre SMSI et intégré aux politiques, procédures et modèles de SLA, vos équipes cessent de négocier à partir de zéro et vous disposez d’une argumentation solide et conforme aux normes ISO, que le client soit à Manchester, Dublin ou Sydney.

Une plateforme ISMS telle que ISMS.online vous aide ici en vous fournissant un endroit unique pour gérer le tableau, les approbations et les preuves, et pour réutiliser le même modèle à travers les normes ISO 27001, ISO 27701, SOC 2, NIS 2 et autres cadres de référence.

Comment les fournisseurs de services gérés peuvent-ils prouver la robustesse de la suppression des données, y compris les sauvegardes et les journaux, lors des audits ISO et des examens clients ?

Les auditeurs et les clients veulent s'assurer que vous savez à quoi ressemble le « bien » et qu'il existe une trace reproductible prouvant que cela se produit réellement. Vous y parvenez en rendant votre conception visible et en l'étayant par des artefacts du quotidien.

Rendez votre conception de suppression facile à suivre

Définissez vos attentes dans un langage compréhensible par les non-spécialistes :

Écrit procédures pour la suppression et l'élimination des données qui font référence à votre calendrier de conservation et aux contrôles de l'annexe A tels que A.8.10 (suppression) et A.7.14 (élimination des supports).
Manuels de fin de service : Décrire ce qui arrive aux tickets, à la configuration, aux accès, à la documentation, aux journaux et aux sauvegardes lorsque vous mettez fin au contrat d'un client.
Normes de manipulation des médias : couvrant les disques, les bandes et autres supports, y compris lorsque les fournisseurs doivent fournir des certificats de destruction.
Transparent règles de sauvegarde et de conservation des journaux qui indiquent combien de temps les données restent en ligne, combien de temps elles restent archivées et quand les systèmes expirent ou les suppriment.

Lorsque ces documents sont regroupés au sein de votre système de gestion de la sécurité de l'information (SGSI), vous pouvez guider les réviseurs depuis la politique générale jusqu'à la procédure étape par étape et enfin jusqu'aux paramètres système spécifiques, sans avoir à fouiller dans des dossiers dispersés.

Appuyer la conception par des preuves opérationnelles concrètes

Rassemblez un petit ensemble d'artefacts qui illustrent le fonctionnement des commandes :

Tickets ITSM ou enregistrements de flux de travail : qui présentent les événements de désactivation et de suppression de compte, avec les approbations, les horodatages et les équipes responsables.
Rapports et journaux : à partir des plateformes de sauvegarde, des SIEM, des systèmes de stockage et des locataires cloud, confirmant que les tâches d'expiration, les politiques de rétention et les tâches de suppression ont été exécutées.
Certificats de destruction : liés à des numéros de série ou des identifiants d'actifs spécifiques, indiquant comment les supports physiques ont été effacés ou détruits.
Exportations de configuration ou captures d'écran : des paramètres de conservation et d'expiration dans les principales plateformes telles que les tâches de sauvegarde, les outils de gestion des journaux, les règles de conservation des e-mails et les suites collaboratives.
Sorties de essais périodiques, par exemple en restaurant à partir de la sauvegarde la plus ancienne que vous affirmez détenir ou en vérifiant que les données antérieures à la période de conservation sont réellement indisponibles.

Lorsque vous utilisez des sauvegardes immuables ou des archives de journaux à long terme, documentez la justification, comme les enquêtes pour fraude ou les directives sectorielles, et consignez les mesures compensatoires telles que le chiffrement fort, l'accès restreint et les processus de conservation légale dédiés.

De nombreux fournisseurs de services gérés les regroupent dans un dossier de preuves standard Les documents sont conservés sur une plateforme de gestion de la sécurité de l'information (GSSI) comme ISMS.online, ce qui permet d'utiliser les mêmes ressources pour les audits ISO, les questionnaires de diligence raisonnable client et les revues de renouvellement. Cela réduit le temps de préparation et démontre que vous considérez la suppression des données comme un processus maîtrisé, et non comme une action ponctuelle et précipitée.

Comment les fournisseurs de services gérés (MSP) doivent-ils gérer les conflits entre les SLA des clients, les obligations légales de conservation des données et le modèle basé sur les risques de la norme ISO 27001 ?

Des tensions entre ce que souhaite un client, ce qu'exige la loi et ce que suggère une bonne sécurité Tôt ou tard, le problème se manifestera. La solution la plus sûre consiste à appliquer une hiérarchie simple et documentée, et à consigner votre raisonnement dans le système de gestion de la sécurité de l'information (SGSI).

Appliquer une hiérarchie de priorité claire

Mettez-vous d’accord en interne, puis affirmez clairement que vos décisions suivent cet ordre :

Loi et réglementation – y compris les directives des organismes de réglementation et les règles sectorielles.
Contrats et SLA – y compris les accords de traitement des données et les calendriers de sécurité.
décisions documentées en matière de traitement des risques – concilier sécurité, confidentialité et besoins de l’entreprise.

Lorsqu'un client demande une durée de conservation très courte ou une suppression immédiate qui entre en conflit avec les règles fiscales, les exigences en matière de journalisation ou les codes réglementaires, vous pouvez :

Expliquez que vous ne peut pas soustraire à la loi, donc les obligations légales prévalent sur les préférences contractuelles.
Offrez le modèle compatible le plus proche à partir de votre menu de conservation standard, par exemple une conservation en ligne plus courte avec un archivage chiffré plus long.
Consignez la discussion, votre décision et tout autre élément pertinent. mesures compensatoires par exemple, des contrôles d'accès plus stricts, le chiffrement, la réduction du périmètre des données ou une surveillance accrue.

Appliquée de manière cohérente, cette approche évite que les discussions commerciales ne créent des obligations que vos équipes opérationnelles ou juridiques ne pourront pas honorer ultérieurement en toute sécurité.

Considérez ces décisions comme faisant partie du système de gestion de l'information (SGSI).

La norme ISO 27001 exige que vous gériez ces conflits au sein du système, et non comme des notes annexes :

Capturez-les comme risques Dans votre évaluation des risques, décrivez les cas où vous devez conserver les données plus longtemps que ne le souhaitent certains intervenants, ou ceux où vous acceptez délibérément une durée de conservation plus courte pour des raisons commerciales.
Cartographiez ces risques et traitements vers les services pertinents. Contrôles de l'Annexe A dans votre déclaration d'applicabilité, afin que votre justification soit visible lors des audits.
Définir déclencheurs de révision comme de nouvelles réglementations, l'entrée sur de nouveaux secteurs ou des changements technologiques clés, afin de montrer que votre position est réexaminée plutôt que figée indéfiniment.
Formez les responsables des ventes, les juristes et les gestionnaires de comptes à cette hiérarchie afin qu'ils puissent l'expliquer en termes simples et éviter de faire des promesses qui compromettent votre système de gestion de la sécurité de l'information (SGSI).

En consignant les risques, les décisions et les documents justificatifs sur une plateforme ISMS telle que ISMS.online, vous pouvez répondre aux questions des organismes de réglementation, aux questions d'audit ou aux défis des clients avec une position bien étayée au lieu de devoir fouiller dans d'anciens échanges de courriels.

Quels processus et contrôles aident les fournisseurs de services gérés (MSP) à automatiser et à justifier la suppression des données en fin de contrat ?

La fin du contrat est l'endroit où les copies oubliées ont tendance à se cacher : environnements de test, anciennes sauvegardes, comptes orphelins ou documents stockés dans des archives personnelles. Procédure standard de départUne automatisation judicieuse et des enregistrements précis permettent de maîtriser la situation et de la démontrer facilement à des tiers.

Appliquer un seul plan de désabonnement à tous les clients

Créez-en un Procédure de départ que chaque client suit, puis l'adapter à chaque service :

Commencez par une liste exhaustive des systèmes et des espaces de stockage que vous pourriez gérer : centre de services, RMM, outils de surveillance, plateformes de documentation, coffres-forts de mots de passe, systèmes de sauvegarde et de reprise après sinistre, locataires cloud, outils de messagerie et de collaboration, lecteurs partagés, gestion des appareils et services tiers.
Pour chaque catégorie, détaillez les étapes : révoquer ou transférer l’accès, exporter les enregistrements convenus, appliquer les politiques de conservation appropriées, planifier la suppression ou l’anonymisation et vérifier l’existence de blocages légaux ou de litiges en cours.
Attribuer propriété claire Chaque étape a donc une équipe interne ou un fournisseur désigné.

Intégrez ce manuel d'exploitation à votre Outil ITSM ou ISMS sous forme de flux de travail structuré ou de liste de contrôle, la procédure de départ devient une séquence prévisible au lieu d'un travail improvisé qui dépend de qui se souvient de quel système.

Automatisez les actions répétitives et clôturez le dossier sans incident.

Utilisez les fonctionnalités de la plateforme et les scripts pour réduire les efforts manuels et les erreurs :

Cravate Désactivation du compte et expiration des données pour les dates de fin de contrat lorsque les outils le permettent.
Appliquer au centre Étiquettes et politiques de conservation Pour les e-mails, les discussions instantanées et le stockage de fichiers, les données sont automatiquement effacées selon votre calendrier, sans intervention individuelle.
Automatisez les actions en masse via les API pour des tâches telles que l'expiration des sauvegardes, le nettoyage des locataires ou la suppression des anciennes configurations, lorsque cela est efficace et sûr.

Complétez chaque départ par un résumé concis résumé des données, souvent un billet, qui capture :

Qu’est-ce qui a été supprimé ou anonymisé, dans quels systèmes et à quelles dates ?
Quels éléments ont été conservés, pendant combien de temps et sur quelle base juridique ou contractuelle ?
Liens ou pièces jointes aux rapports, journaux, captures d'écran et certificats de destruction.
Toutes exceptions ou mises en attente, avec des renvois à votre calendrier de conservation et à votre registre des risques.

Le regroupement des procédures, des flux de travail et des enregistrements sur une plateforme ISMS comme ISMS.online vous permet de répondre clairement à la question d'un ancien client : « Qu'est-il advenu de nos données ? ». De plus, il offre aux auditeurs un modèle reproductible, conforme aux exigences de la norme ISO 27001 en matière d'exploitation, d'évaluation des performances et d'amélioration. Enfin, il vous distingue discrètement des fournisseurs de services gérés (MSP) qui s'appuient encore sur des tableurs ad hoc et des connaissances empiriques lorsque leurs clients partent.

Nous sommes un leader dans notre domaine

Responsable régional - Hiver 2026 Royaume-Uni

Responsable régional - Hiver 2026 Marché intermédiaire UE

Responsable régional - Hiver 2026 Marché intermédiaire EMEA

« ISMS.Online, outil exceptionnel pour la conformité réglementaire »
— Jim M.

« Facilite les audits externes et relie de manière transparente tous les aspects de votre SMSI »
— Karen C.

« Solution innovante pour la gestion des accréditations ISO et autres »
— Ben H.

Conservation et suppression des données pour les MSPS – Comment concilier la norme ISO 27001 et les SLA clients