Comment Ringover a obtenu ISO 27001 en 12 mois, sans bloquer son équipe SRE

Quand plusieurs grands comptes B2B vous demandent la même certification dans leur process d'achat, la question n'est plus si vous allez la passer, mais à quel prix pour votre roadmap.

C'est l'équation que Ringover a dû résoudre au printemps 2025. La scale-up française des communications cloud (téléphonie d'entreprise, vidéo, CRM intégré) compte parmi ses clients AXA, Engie, Groupama, RATP Group, la Ville de Paris, Best Western, ainsi que des SaaS B2B comme Brevo et Sellsy. Le type de clients qui posent, à chaque renouvellement, des questions sécurité de plus en plus précises.

La pression ne venait pas d'une obligation réglementaire, mais d'une accumulation de demandes clients. Sur plusieurs cycles de vente, la même question est revenue (« vous êtes ISO 27001 ? »), assez souvent pour que l'absence de réponse devienne un signal négatif silencieux.

La réponse interne aurait pu être « on bloque trois personnes de l'équipe SRE pendant six mois et on y va ». Sauf que cette équipe portait déjà la roadmap produit, et que sa charge quotidienne (exploitation de l'infrastructure, incidents, déploiements, astreintes) n'allait pas s'arrêter pour la conformité. Un projet de certification mal calibré finit toujours pareil : une équipe tech qui vit la conformité comme une punition, des audits stressants, et une cert obtenue de justesse qu'il faut renouveler chaque année.

Mathieu, RSSI de Ringover et manager de l'équipe SRE, voulait l'inverse : obtenir la certification proprement, du premier coup, sans transformer la conformité en deuxième roadmap. C'est sur ce cahier des charges qu'il nous a contactés.

Douze mois plus tard, la certification était obtenue. Du premier coup. Et en mai 2026, Ringover a re-signé pour étendre la mission à HDS et SOC 2.

Le projet en bref :

Client : Ringover, scale-up française des communications cloud
Particularité : une infrastructure majoritairement on-prem
Objectif : ISO 27001 sans ralentir la roadmap produit
Méthode : un workshop d'une heure toutes les deux semaines, le reste en asynchrone
Résultat : certifié en 12 mois, du premier coup, avec une seule non-conformité mineure
La suite : extension à HDS et SOC 2 signée en mai 2026

Voici ce qui s'est vraiment passé.

Un outil ou un partenaire : le premier arbitrage

Avant de nous contacter, Ringover a fait ce que toute scale-up sérieuse fait : regarder les outils. Plusieurs échanges avec les commerciaux de Vanta, des démos, du scoping. J'ai été convié à certains de ces échanges comme conseil externe.

Le problème n'était pas le produit. Vanta est un excellent outil pour une infrastructure 100% cloud, où les intégrations natives (AWS, GCP, Okta et compagnie) permettent une collecte de preuves quasi automatique. Le problème, c'était l'infrastructure de Ringover.

Contrairement à la plupart des SaaS B2B de sa taille, Ringover exploite une infrastructure majoritairement on-prem : ses propres serveurs, hébergés dans des datacenters tiers. Pour des contraintes métier sérieuses (qualité voix en temps réel, latence téléphonie, contrôle physique des flux), ce choix fait sens. Mais il change tout pour une plateforme comme Vanta. La grande majorité des intégrations natives perdent leur valeur sur du on-prem, et la collecte automatisée des preuves devient marginale. L'outil aurait fonctionné, mais le rapport entre l'investissement et la valeur livrée ne tenait pas la route.

Ringover est arrivé à la même conclusion que nous. Pour cette première certification, un partenaire avait plus de levier qu'un outil. Des humains qui comprennent l'infra réelle, et qui savent quels contrôles demandent une preuve technique plutôt qu'une politique formalisée, créent plus de valeur qu'une intégration partielle.

Un point important si vous êtes dans une autre situation : pour une scale-up 100% cloud, le calcul s'inverse souvent. Dans ce cas, on le dit franchement à nos prospects. Notre rôle n'est pas de vendre du conseil contre l'outil, mais d'aider à arbitrer honnêtement selon la stack et le contexte.

La question outil reste d'ailleurs ouverte chez Ringover. On la repose à chaque étape stratégique : nouveau framework, cycle de re-certification, expansion géographique. Elle a sa réponse aujourd'hui ; elle en aura peut-être une autre demain.

La méthode : une heure toutes les deux semaines, pas plus

C'est le cœur du projet, et ce qui le rend réplicable dans d'autres scale-ups tech.

Le rythme de fond

Un workshop d'une heure, toutes les deux semaines, avec Mathieu et l'équipe SRE. Pas plus. Sur 12 mois, cela représente environ 26 réunions d'une heure. Tout le reste se fait en asynchrone.

Pourquoi ce rythme ? Une équipe SRE qui porte une roadmap produit ne peut pas absorber plus d'une heure synchrone par sprint sans dégrader sa vélocité. La conformité ne s'ajoute pas à un planning vide : elle s'ajoute à une équipe qui a déjà l'exploitation de l'infra, les incidents, les déploiements, les astreintes et le reste de la roadmap. Tenir ce ratio sur un trimestre, c'est déjà valider qu'on n'est pas en train de créer une deuxième organisation parallèle.

Le partage des rôles

Il n'est pas négociable, et il tient en une phrase : on ne demande à personne de faire ce qu'il n'est pas le mieux placé pour faire.

Côté Radome :

Pilotage projet : roadmap conformité, planning, gestion des dépendances, suivi des actions, alertes sur les retards
Stratégie SMSI : tous les contrôles ISO 27001 étaient applicables à Ringover, la question n'était pas là. Notre travail a été de traduire chaque exigence en actions concrètes, de calibrer leur granularité et d'arbitrer en permanence jusqu'où aller dans le détail. Ringover est une scale-up, pas un groupe de 20 000 personnes : un SMSI calibré pour un grand groupe l'écraserait, un SMSI calibré juste l'aide à mieux fonctionner.
Rédaction : politiques de sécurité, procédures, charte, plan de continuité, plan de gestion d'incident, analyse de risques
Conseil sur les mesures de sécurité : quelles mesures techniques mettre en place, dans quel ordre, avec quel niveau d'effort
Conseil sur les outils : lesquels (SIEM, gestion d'accès, scan de vulnérabilités, MDM) ont du sens pour Ringover spécifiquement, et lesquels seraient surdimensionnés
Préparation aux audits : dossiers, scripts de réponse aux auditeurs. L'audit interne, lui, a été confié à un cabinet tiers pour éviter la position de juge et partie : un consultant qui aide à construire le SMSI ne peut pas en être aussi l'auditeur interne.

Côté Ringover :

Collecte des preuves : screenshots, logs, configurations, listes d'accès, rapports d'incident
Collecte des KPI : indicateurs de sécurité, taux de couverture des contrôles, métriques d'incident
Mise en place des mesures techniques : configurations, durcissement, déploiement
Déploiement des outils : intégration dans l'infra, formation des équipes

L'interface entre les deux, c'est le workshop d'une heure tous les 15 jours.

Pas d'usine à gaz : un SMSI calibré pour la boîte

Quand on rédige une politique, la question n'est pas « est-ce que ça passera l'audit » mais « est-ce qu'un ingénieur SRE va pouvoir l'appliquer sans friction ». Quand on choisit un outil, la question n'est pas « est-ce que c'est l'outil de référence du marché » mais « est-ce que Ringover, à sa taille, dans son contexte, en tirera 80% de la valeur pour 20% de l'effort ».

Concrètement, trois exemples parmi d'autres.

Pour les politiques, on n'a pas livré une PSSI de 80 pages copiée d'un référentiel générique, mais un document de la taille que Ringover pouvait réellement appliquer et faire vivre, vérifié contre la réalité de son infra et de son organisation.

Pour la gestion des accès, pas de PAM enterprise déployé en grand chantier : on a misé sur le SSO et des revues d'accès périodiques, qui couvrent les contrôles ISO 27001 pertinents sans budget hors norme ni trois mois de déploiement.

Pour la gestion des incidents, on a calibré la procédure sur les rituels qui existaient déjà chez Ringover (post-mortems, rotations d'astreinte), plutôt que d'imposer un processus parallèle qui n'aurait pas été appliqué.

Cette philosophie change tout. Un SMSI trop gros pour la boîte n'est pas appliqué : il est rangé après l'audit. Celui de Ringover continue à vivre. Les revues d'accès trimestrielles ont lieu, les post-mortems alimentent le registre des incidents, les politiques sont relues à chaque évolution structurante. C'est la différence entre un SMSI qui passe l'audit et un SMSI qui sert.

Q3-Q4 2025 : quand l'équipe SRE s'est retrouvée à découvert

Tout projet de 12 mois traverse une période difficile. La nôtre, c'était la deuxième moitié de 2025.

Pendant l'été, deux personnes ont quitté l'équipe SRE de Ringover. Des départs naturels, des opportunités ailleurs, rien de pathologique. Mais sur une équipe dimensionnée au plus juste, dans un marché du recrutement SRE/sécurité tendu, le remplacement ne s'est pas fait en quelques semaines. Et l'équipe restante avait toujours tout son quotidien à porter en parallèle de la conformité.

Résultat : à l'approche de l'audit interne, prévu au Q3 2025, Mathieu et moi nous sommes retrouvés en duo sur le projet. Les tâches que l'équipe SRE devait absorber (déploiements, collecte de preuves, dernières configurations) ont atterri sur les épaules de Mathieu, qui portait déjà l'opérationnel de l'équipe. Et l'audit approchait.

Les deux semaines précédant l'audit interne, on a changé de rythme : une heure tous les jours, en binôme. On se répartissait les tâches, on faisait le point sur l'avancement, on identifiait ce qui devait absolument passer avant l'audit et ce qui pouvait être documenté comme « en cours ». Le contrat prévoyait des workshops bimensuels ; on a basculé en mode quotidien parce que c'est ce que le projet exigeait. Notre engagement chez Radome porte sur le résultat, l'obtention de la certification, pas sur un volume d'heures.

L'audit interne est passé, en grande partie grâce à la persévérance de Mathieu sur cette période. Il portait en même temps sa fonction RSSI, le management d'une équipe en sous-effectif, le quotidien opérationnel d'une infra de scale-up et la préparation d'audit. Sans cette intensité de sa part, la timeline ISO 27001 aurait sauté. Mathieu a recruté peu après l'audit interne, et la nouvelle recrue nous a épaulés sur tout le dernier kilomètre, jusqu'à l'audit de certification.

Si vous lisez ce cas pour comprendre ce qu'un partenaire est censé apporter, voilà la réponse. Ce n'est pas un livrable, c'est une relation tenue par l'engagement de résultat. Le contrat dit qu'on anime des workshops et qu'on livre des documents. Mais quand le projet vacille, et il vacillera à un moment dans une boîte qui scale, ce qui fait la différence, c'est de basculer le rythme sans renégocier. Sinon, autant prendre un outil.

Ce que la certification a vraiment changé

ISO 27001 a été obtenue en mai 2026, au terme d'un audit conduit par Bureau Veritas. Le résultat, factuellement :

1 seule non-conformité mineure, aucune majeure
Aucun re-audit, aucune remédiation post-audit
Scope intégral : toute l'Annexe A couverte, aucune mesure déclarée non applicable
Une vingtaine de politiques et procédures produites, dimensionnées pour Ringover

Sur l'impact business immédiat, soyons honnêtes : Ringover n'a pas signé de nouveau grand compte le jour où la certification est tombée. Aucun deal n'attendait ce papier pour se débloquer. L'effet réel se joue ailleurs : sur la rétention des clients existants.

Ce point mérite d'être posé clairement, parce qu'il est souvent survendu par les plateformes GRC, qui promettent une accélération commerciale. Une certification ISO 27001 ne fait pas signer des clients que vous n'auriez pas signés sans elle. Elle vous évite de perdre ceux que vous avez déjà.

Chez Ringover, plusieurs clients de premier plan (des assureurs comme AXA et Groupama, des énergéticiens comme Engie, des acteurs publics comme la RATP ou la Ville de Paris) durcissaient leurs exigences de sécurité et posaient la certification comme condition future de renouvellement. Sans la certification obtenue dans les temps, chaque renouvellement serait devenu une discussion difficile : questionnaires sécurité de plus en plus pointus, audits clients à passer en remplacement, relations sous tension permanente.

Grâce à l'engagement fort de Ringover en matière de sécurité de l'information, ces renouvellements se déroulent sans accroc. Et le gain le plus mesurable est ailleurs : les questionnaires sécurité qui mobilisaient l'équipe plusieurs jours par renouvellement se traitent désormais par un envoi standard (certificat, déclaration d'applicabilité, extraits du SMSI). C'est concret, et c'est du temps de l'équipe SRE rendu à la roadmap produit.

Mai 2026 : Ringover étend la mission à HDS et SOC 2

Quelques jours après l'obtention d'ISO 27001, on discutait déjà de la suite. Ringover a deux axes d'expansion, et chacun demande son cadre de conformité.

La santé : les services de communication (téléphonie, messagerie, vidéo) ont un cas d'usage évident dans le secteur médical : cliniques, cabinets, groupes hospitaliers. Mais pour vendre à un acteur de santé en France, il faut héberger les données de santé chez un hébergeur certifié HDS, ou être soi-même certifié pour les parties de l'infrastructure et du produit qui les touchent. Sans HDS, ce marché est fermé.
Les États-Unis : Ringover entre dans une phase d'expansion US. ISO 27001 y est reconnue, mais SOC 2 est la référence de fait pour les acheteurs B2B américains : c'est la certification qu'ils demandent par réflexe, celle dont leurs équipes achats savent parler. Ne pas l'avoir n'est pas rédhibitoire, mais c'est un signal négatif.

L'extension a été signée en mai 2026, sans remise en concurrence. Mathieu nous a gardés parce qu'il avait vu, pendant 12 mois, comment on travaille. C'est sur ce signal qu'une décision d'extension se prend, pas sur des slides commerciales.

Ce que Mathieu en a retenu

Mathieu ROCHETTE

RSSI · Ringover

Vous aviez évalué des outils comme Vanta ou Drata. Qu'est-ce qu'un partenaire conseil change, concrètement ?

Avec un outil comme Vanta, on se retrouve assez vite seul face à un produit : personne pour comprendre notre contexte, pas d'accompagnement au quotidien, et une solution qui ne colle pas toujours à notre environnement. Un partenaire comme Radome, c'est l'inverse : il s'adapte à notre réalité, nous fait bénéficier de son retour d'expérience et pilote le projet avec nous. Pour nous, ce qui a fait la différence c'est le ROI : à notre niveau de maturité au départ, il était bien plus pertinent avec un partenaire qu'avec un outil seul.

Après ISO 27001, vous avez étendu la mission à HDS et SOC 2. Qu'est-ce qui a motivé ce choix ?

Le choix de continuer avec Radome, on l'avait déjà fait sur la base de la relation : la proximité, l'écoute, la capacité à s'adapter et le format des ateliers. Décrocher l'ISO 27001 n'a fait que confirmer qu'on avait eu raison. Une certification qui nous semblait presque hors de portée après le gap analysis d'un autre prestataire qui n'avait pas cerné nos enjeux. Et un point auquel je tiens : à aucun moment Radome n'a pris la place de l'équipe Ringover, nous sommes restés maîtres du sujet du début à la fin, ce qui s'est confirmé le jour de l'audit, qu'on a passé en toute autonomie.

Fin 2025, avec l'équipe SRE en sous-effectif, vous êtes passés à un point quotidien. Qu'est-ce que ça a changé pour vous ?

Concrètement, ça m'a enlevé une vraie source de stress. À un moment où l'équipe était sous tension, le rythme proposé par Radome m'a permis de piloter beaucoup plus sereinement : la charge était allégée quand c'était nécessaire, on gardait le focus sur l'opérationnel, et j'avais la certitude qu'on ne ralentissait pas la trajectoire ISO pour autant.

Pour vous qui lisez cet article

Si vous portez un projet ISO 27001 (ou SOC 2, HDS, DORA, AI Act) dans une start-up ou une scale-up tech, voici les trois choses à retenir de ce cas.

L'outil n'est pas la solution par défaut : évaluez votre infrastructure honnêtement. Si elle est on-prem ou hybride, le calcul change : un partenaire qui comprend votre stack a souvent plus de levier qu'une plateforme générique. La question outil revient quand vous empilez les frameworks, pas avant.
Le bon ratio est d'une heure synchrone par sprint pour votre équipe tech. Au-delà, vous créez une organisation parallèle qui mange votre roadmap. En deçà, vous faites de la conformité de surface. Cadrez le projet sur ce ratio dès le départ, et défendez-le.
Quand le projet vacille, ce qui compte, c'est qui tient la barre avec vous. Et il vacillera à un moment. Choisissez votre partenaire moins sur la qualité de ses templates que sur sa capacité à répondre présent.