Ringover : une certification ISO 27001 menée en 12 mois avec l’équipe SRE

Au printemps 2025, plusieurs grands comptes demandaient à Ringover la même certification dans leurs processus d’achat : ISO 27001.

Ringover est une scale-up française de communications d’entreprise dans le cloud : téléphonie, messagerie et vidéo, intégrées aux outils de gestion de la relation client (CRM). Elle compte parmi ses clients AXA, Engie, Groupama, le groupe RATP, la Ville de Paris, Best Western, ainsi que des éditeurs de logiciels en ligne comme Brevo et Sellsy. À chaque renouvellement, ces clients posaient des questions de sécurité plus précises.

Aucune obligation réglementaire n’imposait la certification. Le projet est né de ces demandes, accumulées au fil des cycles de vente.

Côté Ringover, le travail devait reposer sur l’équipe SRE, chargée de la fiabilité et de l’exploitation de la plateforme. Cette équipe portait déjà sa part de la feuille de route produit, en plus des déploiements, des incidents et des astreintes. Elle ne pouvait pas tout suspendre pendant plusieurs mois pour préparer la certification.

Mathieu Rochette est le responsable de la sécurité des systèmes d’information (RSSI) de Ringover et encadre aussi l’équipe SRE. Il cherchait donc un accompagnement qui limite le temps demandé à son équipe, et nous a contactés avec cet objectif.

Ringover a obtenu la certification en mai 2026, 12 mois plus tard, avec une seule non-conformité mineure. Le même mois, l’entreprise a étendu notre mission à deux autres référentiels : HDS (hébergement de données de santé) et SOC 2, un rapport d’audit de sécurité courant aux États-Unis.

Le projet en bref :

• Client : Ringover, scale-up française de communications d’entreprise dans le cloud
• Particularité : une infrastructure en majorité auto-hébergée
• Objectif : la certification ISO 27001, sans ralentir la feuille de route produit
• Méthode : un workshop d’une heure à chaque sprint (toutes les deux semaines), puis chaque jour pendant les deux semaines précédant l’audit interne
• Résultat : certification obtenue en 12 mois, avec une seule non-conformité mineure
• La suite : extension de la mission à HDS et SOC 2, signée en mai 2026

Pourquoi un accompagnement plutôt qu’une plateforme de conformité

Avant de nous confier le projet, Ringover a étudié plusieurs plateformes de conformité, ces logiciels qui suivent les mesures de sécurité et collectent automatiquement une partie des preuves. L’équipe a échangé avec un éditeur et assisté à des démonstrations. Justin Marcos, cofondateur de Radome, a participé à certains de ces échanges comme conseil externe.

Sur une infrastructure entièrement dans le cloud, les intégrations de ces plateformes avec les fournisseurs cloud et les annuaires d’identité peuvent automatiser une grande partie de la collecte des preuves.

L’infrastructure de Ringover est différente : elle est en majorité auto-hébergée, sur ses propres serveurs installés dans des centres de données tiers. Ce choix répond notamment aux contraintes de la voix en temps réel : qualité des appels, latence, maîtrise des flux. Dans cet environnement, une grande partie des intégrations ne pouvait pas être utilisée, et la collecte automatique des preuves restait limitée.

Pour cette première certification, Ringover a donc choisi un accompagnement. Le besoin principal portait sur la construction du système de management de la sécurité de l’information (SMSI), le choix des mesures de sécurité et l’organisation de preuves adaptées à une infrastructure auto-hébergée.

Pour une entreprise entièrement dans le cloud, la réponse peut être différente. Si les intégrations couvrent la plupart des systèmes, une plateforme peut prendre en charge une part importante de la collecte. Le choix dépend donc de l’infrastructure et de ce que l’équipe veut automatiser.

Ringover pourra réexaminer ce choix à l’occasion d’un nouveau référentiel, d’un renouvellement de la certification ou d’une évolution de son infrastructure.

Comment le projet était organisé

Un workshop à chaque sprint

Nous retrouvions Mathieu et l’équipe SRE pour un workshop d’une heure à chaque sprint, soit toutes les deux semaines : environ 26 workshops en 12 mois.

Entre deux workshops, nous préparions les analyses, les documents et les décisions à prendre, pour que la certification ne devienne pas un second projet à temps plein pour l’équipe SRE.

Ce rythme n’était pas un plafond : nous avons ajouté des workshops dès que l’avancement ou une échéance le demandait.

Qui faisait quoi

La répartition suivait les responsabilités et les accès de chacun.

Côté Radome :

• Pilotage du projet, avec Mathieu : feuille de route de conformité, calendrier, dépendances, suivi des actions, alertes en cas de retard
• Cadrage du SMSI : les 93 mesures de sécurité de l’annexe A de la norme s’appliquaient toutes à Ringover ; nous avons fixé le niveau de détail adapté à une entreprise de cette taille et préparé les actions correspondantes
• Rédaction : politiques de sécurité, procédures, charte informatique, plan de continuité d’activité, plan de gestion des incidents, analyse de risques
• Conseil sur les mesures techniques : lesquelles mettre en place, dans quel ordre et pour quelle charge
• Conseil sur les outils : supervision de la sécurité, gestion des accès, détection des vulnérabilités, gestion des appareils ; pour chaque besoin, ce qui convenait à Ringover et ce qui aurait été surdimensionné
• Préparation des audits : constitution du dossier de preuves, conseils pour les entretiens avec les auditeurs

Côté Ringover :

• Collecte des preuves : captures d’écran, journaux, configurations, listes d’accès, rapports d’incident
• Collecte des indicateurs de sécurité : taux de couverture des mesures, statistiques d’incidents
• Mise en œuvre des mesures techniques : configuration, durcissement, déploiement
• Déploiement des outils : intégration dans l’infrastructure, formation des équipes

Chaque workshop réunissait ces deux volets : point sur l’avancement, décisions, prochaines actions.

L’audit interne a été confié à un cabinet tiers. ISO 27001 exige un audit interne objectif et impartial : il ne pouvait pas être mené par ceux qui avaient aidé à construire le SMSI.

Un SMSI à la taille de Ringover

Les politiques devaient pouvoir être appliquées par les ingénieurs SRE après l’audit. Chaque outil devait apporter assez de bénéfices pour justifier son coût et son temps de déploiement.

Trois choix illustrent cette approche.

La politique de sécurité des systèmes d’information (PSSI) a été rédigée à partir de l’infrastructure et de l’organisation de Ringover, dans un format que l’équipe peut relire et maintenir.

Pour les accès, pas de grand chantier de gestion des accès à privilèges (PAM) : l’authentification unique (SSO) et des revues d’accès périodiques couvrent les mesures ISO 27001 concernées, sans budget hors norme ni 3 mois de déploiement.

Pour les incidents, la procédure s’appuie sur les pratiques existantes de l’équipe (analyses post-incident, rotations d’astreinte), plutôt que sur un processus parallèle qui n’aurait pas été appliqué.

Après l’audit, les revues d’accès trimestrielles ont continué, les analyses post-incident ont alimenté le registre des incidents et les politiques ont été relues à chaque évolution importante. Le SMSI est resté intégré aux pratiques de l’équipe.

Été 2025 : deux départs avant l’audit interne

La principale difficulté du projet est apparue à l’été 2025 : deux personnes ont quitté l’équipe SRE pour rejoindre d’autres entreprises.

Dans une équipe dimensionnée au plus juste, et sur un marché du recrutement tendu pour ces profils, les remplacer a pris plus de quelques semaines. L’équipe restante devait toujours assurer son activité courante en plus de la conformité.

À l’approche de l’audit interne, prévu au troisième trimestre 2025, Mathieu et Justin se sont retrouvés en binôme sur le projet. Mathieu devait assurer les déploiements, la collecte des preuves et les dernières configurations, tout en gérant l’activité courante de l’équipe.

Pendant les deux semaines précédant l’audit interne, le rythme a changé : un workshop d’une heure chaque jour. Ensemble, ils répartissaient les tâches, faisaient le point sur l’avancement et distinguaient ce qui devait être terminé avant l’audit de ce qui pouvait être documenté comme « en cours ».

Le contrat prévoyait un workshop toutes les deux semaines. Nous sommes passés à un rythme quotidien parce que le projet l’exigeait, sans modifier la mission : notre engagement portait sur la conduite du projet et la préparation de Ringover à l’audit, pas sur un volume d’heures.

L’audit interne a eu lieu à la date prévue, en grande partie grâce au travail de Mathieu pendant cette période. Il assurait en même temps sa fonction de RSSI, l’encadrement d’une équipe en sous-effectif, l’exploitation de l’infrastructure et la préparation de l’audit. Une nouvelle recrue a rejoint l’équipe peu après et a participé à la fin du projet, jusqu’à l’audit de certification.

Le résultat de l’audit de certification et ce qu’il a changé

Ringover a obtenu la certification ISO 27001 en mai 2026, au terme d’un audit mené par Bureau Veritas :

• Une seule non-conformité mineure, aucune majeure
• Aucun audit complémentaire avant la délivrance du certificat
• Un périmètre complet : toute l’annexe A couverte, aucune mesure déclarée non applicable
• Une vingtaine de politiques et procédures, rédigées à la mesure de Ringover

La certification n’a pas déclenché la signature immédiate d’un nouveau grand compte : aucun contrat n’attendait le certificat. Chez Ringover, l’enjeu commercial portait surtout sur le renouvellement des contrats existants.

Plusieurs clients importants avaient renforcé leurs exigences de sécurité et envisageaient de demander la certification lors de futurs renouvellements. C’était notamment le cas d’assureurs comme AXA et Groupama, d’un énergéticien comme Engie et d’acteurs publics comme le groupe RATP ou la Ville de Paris. Le certificat répond à cette attente sans que chacun de ces clients ait à mener son propre audit de Ringover.

Les questionnaires de sécurité mobilisaient auparavant l’équipe plusieurs jours. Ringover peut désormais y répondre avec un dossier standard : le certificat, la déclaration d’applicabilité (qui justifie le choix de chaque mesure) et des extraits du SMSI. L’équipe SRE passe moins de temps à reconstituer les mêmes réponses pour chaque client.

Mai 2026 : extension de la mission à HDS et SOC 2

Quelques jours après la certification, Ringover a commencé à préparer deux axes de développement, qui demandent chacun un travail de conformité.

1. La santé. Les services de communication (téléphonie, messagerie, vidéo) répondent à des besoins évidents des cliniques, des cabinets médicaux et des groupes hospitaliers. Mais pour vendre à un acteur de santé en France, il faut héberger les données de santé chez un hébergeur certifié HDS, ou être soi-même certifié pour les parties de l’infrastructure et du produit qui les traitent. Sans cette certification, ce marché reste fermé. HDS exige un SMSI certifié ISO 27001 sur le périmètre de l’hébergement : le travail déjà mené en est le socle.
2. Les États-Unis. Ringover se développe sur le marché américain. ISO 27001 y est reconnue, mais le rapport d’audit SOC 2, défini par l’association professionnelle des experts-comptables américains (AICPA), est une référence fréquente pour les entreprises américaines et leurs services achats. Ne pas l’avoir n’est pas rédhibitoire, mais peut allonger les vérifications de sécurité.

L’extension à HDS et SOC 2 a été signée en mai 2026, sans remise en concurrence, après 12 mois de travail commun sur ISO 27001.

Ce que Mathieu Rochette retient du projet

Vous aviez étudié des plateformes de conformité. Qu’est-ce qu’un accompagnement change, concrètement ?

Avec une plateforme de conformité, on se retrouve assez vite seul face à un produit : personne pour comprendre notre contexte, pas d’accompagnement au quotidien, et une solution qui ne colle pas toujours à notre environnement. Un partenaire comme Radome, c’est l’inverse : il s’adapte à notre réalité, nous fait bénéficier de son retour d’expérience et pilote le projet avec nous. Pour nous, ce qui a fait la différence, c’est le retour sur investissement : à notre niveau de maturité au départ, il était bien meilleur avec un partenaire qu’avec un outil seul.

Pendant les deux semaines précédant l’audit interne, alors que l’équipe SRE était en sous-effectif, nous avons tenu un workshop chaque jour. Qu’est-ce que cela a changé pour vous ?

Concrètement, ça m’a enlevé une vraie source de stress. À un moment où l’équipe était sous tension, le rythme proposé par Radome m’a permis de piloter beaucoup plus sereinement : la charge était allégée quand c’était nécessaire, on restait concentrés sur l’opérationnel, et j’avais la certitude qu’on ne ralentissait pas la trajectoire ISO pour autant.

Après ISO 27001, vous avez étendu la mission à HDS et SOC 2. Qu’est-ce qui a motivé ce choix ?

Le choix de continuer avec Radome, on l’avait déjà fait sur la base de la relation : la proximité, l’écoute, la capacité à s’adapter et le format des ateliers. Décrocher l’ISO 27001 n’a fait que confirmer qu’on avait eu raison. Une certification qui nous semblait presque hors de portée après l’analyse d’écart d’un autre prestataire qui n’avait pas cerné nos enjeux. Et un point auquel je tiens : à aucun moment Radome n’a pris la place de l’équipe Ringover. Nous sommes restés maîtres du sujet du début à la fin, ce qui s’est confirmé le jour de l’audit, qu’on a passé en toute autonomie.

Ce que nous retenons du projet

Trois enseignements valent au-delà de Ringover :

1. Le choix entre une plateforme et un accompagnement dépend de l’infrastructure. Sur une infrastructure auto-hébergée ou hybride, vérifiez quelles preuves pourront réellement être collectées automatiquement avant de vous abonner à une plateforme.
2. L’essentiel du travail se fait entre les workshops. Chez Ringover, un workshop d’une heure par sprint, soit toutes les deux semaines, suffisait en période courante : nous préparions les analyses et les documents en amont. Nos accompagnements prévoient aujourd’hui un workshop hebdomadaire, sur le même principe.
3. Le rythme doit pouvoir s’intensifier quand l’équipe est sous tension. Des workshops quotidiens pendant deux semaines ont permis de tenir la date de l’audit interne, malgré deux départs dans l’équipe SRE.

Pour estimer ce que votre propre projet demandera, lisez nos guides sur le coût d’une certification ISO 27001 et sur le temps à prévoir en interne.