La certification que vos grands comptes exigent, sans mettre votre produit en pause. Nous construisons avec vous un système de management de la sécurité de l’information (SMSI) à votre mesure, dans vos outils, jusqu’à l’audit.
À jour au
Rarement par la loi, presque toujours par vos clients. La norme est volontaire : ce sont vos clients, vos investisseurs ou un autre référentiel qui la rendent incontournable.
La certification figure dans l’appel d’offres ou le contrat, ou la revue de sécurité s’éternise faute de cadre reconnu.
Chaque prospect envoie le sien. Le certificat, la déclaration d’applicabilité et quelques extraits du SMSI répondent à l’essentiel.
L’audit préalable des investisseurs interroge votre gouvernance de la sécurité. Un système certifié y répond de façon vérifiable.
HDS s’appuie sur ISO 27001, SOC 2 et ISO 42001 en recoupent une large part. Le socle construit une fois sert plusieurs fois.
ISO 27001 demande un système de management de la sécurité de l’information (SMSI) : des risques identifiés, des mesures choisies, des preuves tenues à jour.
Définir ce que couvre le certificat, identifier les risques qui pèsent sur vos informations, puis décider comment les traiter et avec quels objectifs.
Organisationnelles, humaines, physiques et technologiques. La déclaration d’applicabilité indique celles que vous retenez, celles que vous écartez, et pourquoi.
Compétences, sensibilisation, documentation, maîtrise des opérations : l’auditeur vérifie que vos règles vivent dans vos outils, preuves à l’appui.
Indicateurs, audit interne, revue de direction et actions correctives. L’organisme vérifie dès le premier audit qu’ils sont planifiés et réalisés.
Un workshop d’une heure chaque semaine avec votre référent. Entre deux workshops, nous faisons avancer le travail, toujours à vos côtés en asynchrone.
Nous fixons avec vous le périmètre à certifier, puis confrontons l’existant aux exigences des chapitres 4 à 10 et aux 93 mesures de l’annexe A, outils et configurations compris.
Livrables
Périmètre validé, écarts priorisés
L’analyse de risques détermine les mesures à retenir. Chaque action reçoit un responsable, une charge estimée et une date compatible avec vos priorités produit.
Livrable
Plan de traitement des risques daté
Nous rédigeons les politiques, vos équipes déploient les mesures techniques. Les preuves s’accumulent semaine après semaine, dans vos tickets, votre wiki et votre dépôt de code.
Livrables
Politiques, déclaration d’applicabilité, preuves
Un audit interne mené par un auditeur extérieur au projet, puis la revue de direction. Nous préparons ensuite vos équipes à l’audit de certification et à ses entretiens ; en tant que RSSI externalisé, nous y assistons.
Livrable
Certificat valable 3 ans avec audit de surveillance annuel
« Radome comprend notre environnement technique, adapte la démarche à notre réalité et pilote le projet avec nous. »
Le prix dépend du périmètre, de votre point de départ et de l’échéance. Plusieurs référentiels menés ensemble coûtent moins cher que séparément.
Vous disposez d’un RSSI ou d’une équipe sécurité
À partir de 3 000 € HTpar mois, en fonction des référentiels
Votre RSSI porte le SMSI, nous pilotons le projet avec lui. Nous apportons la méthode, rédigeons le corpus documentaire et préparons les audits. Le choix de Ringover.
Vous n’avez pas de responsable sécurité
À partir de 4 500 € HTpar mois, engagement de 12 mois
Nous tenons le rôle de RSSI jusqu’au certificat, test d’intrusion ou audit technique inclus. Vos équipes gardent la main sur la technique.
Votre besoin est spécifique
Sur devisaprès un premier échange
ISO 27001 avec SOC 2 ou HDS sur un seul plan de travail, ou une échéance très courte à tenir.
Frais en sus
L’audit de certification est facturé en sus, directement par l’organisme de certification.
Cela dépend de votre point de départ. Trois facteurs pèsent le plus : l’étendue du périmètre, ce qui existe déjà (gestion des accès, sauvegardes, gestion des incidents) et la disponibilité de vos équipes. Comptez aussi le délai de l’organisme de certification pour planifier l’audit. L’état des lieux fixe une échéance réaliste dès le départ.
Trois postes : l’accompagnement, à partir de 3 000 € HT par mois avec l’offre Accompagnement à la conformité ; l’audit de certification, facturé par l’organisme que vous choisissez, de préférence accrédité (par le Cofrac en France) ; et le temps de vos équipes. Mener ISO 27001 avec un autre référentiel, comme SOC 2 ou HDS, coûte moins cher que deux démarches séparées.
Elle automatise une partie de la collecte des preuves, surtout sur une infrastructure entièrement dans le cloud. Elle ne choisit ni votre périmètre ni vos mesures, ne mène pas votre analyse de risques et ne prépare pas vos équipes aux questions de l’auditeur. Si vous en utilisez une, nous travaillons avec ; sinon, nous vous aidons à décider si elle vaut son coût.
Non, la norme ne l’impose pas. Elle exige en revanche de gérer les vulnérabilités techniques (mesure 8.8 de l’annexe A) et de tester la sécurité pendant le développement (mesure 8.29). Un test d’intrusion, ou pentest, est souvent la preuve la plus convaincante sur ces points. Il est inclus avec le RSSI externalisé.
Oui : c’est vous qui définissez le périmètre, et il figure sur le certificat. Il couvre en général le produit vendu et les équipes qui le construisent et l’exploitent. Trop étroit, il ne répond pas aux attentes de vos clients ; trop large, il coûte du temps sans rien apporter. C’est la première décision que nous prenons ensemble.
Le certificat est valable 3 ans. L’organisme revient chaque année pour un audit de surveillance, puis mène un audit de renouvellement avant l’échéance. Entre-temps, le SMSI doit vivre : revues d’accès, analyse de risques mise à jour, audit interne et revue de direction. Nous pouvons poursuivre l’accompagnement, ou vous laisser un système que votre équipe tient seule.
ISO/IEC 27001:2022, complétée en 2024 par un amendement qui demande notamment de déterminer si le changement climatique est un enjeu pertinent pour votre SMSI. Les certificats délivrés selon la version de 2013 ne sont plus valables depuis le 31 octobre 2025, date de fin de la période de transition.
La certification HDS s’appuie sur ISO 27001 : une fois certifié, l’essentiel du socle est en place.
Les contrôles se recoupent largement : un seul plan de travail pour vos clients européens et américains.
La même structure de système de management, appliquée à l’IA. Les audits peuvent être combinés.
Un certificat obtenu en 12 mois avec l’équipe SRE, une seule non-conformité mineure, et le récit de son RSSI.
Audit, accompagnement, temps interne, outils, suivi annuel : les postes à prévoir au budget.
Les rôles à mobiliser et les périodes plus chargées, de l’état des lieux à l’audit.
Certificat ou rapport d’attestation, attentes des clients européens et américains : choisir, ou mener les deux.
HDS exige un SMSI certifié ISO 27001 : qui doit être certifié, en combien de temps, et ce que la santé ajoute au budget.
Quand le lancer, comment il se déroule, et comment son rapport sert votre certification.
Ce que le certificat et la déclaration d’applicabilité règlent dans un questionnaire client, et ce qu’ils laissent ouvert.
Un premier échange gratuit de 30 minutes pour situer votre point de départ et fixer une échéance réaliste. Si le moment n’est pas venu, nous vous le dirons.