Blog /

Bon. On avait promis de vous raconter le chemin étape par étape, et on en est restés à l'épisode 2. Entre-temps, il s'est passé un truc : on a été audités. ISO 27001 et HDS.

Et ça s'est plutôt bien passé.

Alors plutôt que de vous faire languir pendant trois épisodes pour un suspense que nos propres encarts « Où en est-on aujourd'hui ? » ont déjà grillé (oui, on sait, c'était pas très malin), on vous donne la fin maintenant. Mais promis on reviendra sur les différentes étapes avec les prochains épisodes road2ISO !

On l'a eue. Les deux.

Nous sommes donc officiellement certifiés ISO/IEC 27001:2022 et HDSv2 depuis juillet 2026, avec des audits de surveillance tous les ans (on y revient plus bas, et c'est tout sauf un détail).

Pour les amateurs de documents, c'est du côté de notre trust center.

Ce qui est certifié, et ce qui ne l'est pas

C'est le passage que la plupart des annonces de certification oublient soigneusement. Un certificat ne dit jamais « cette boîte est certifiée ». Il dit « ce périmètre précis a été audité ».

Le nôtre, dans les termes exacts du certificat :

Ensemble des activités liées aux fonctions support (RH, communication, sécurité des postes, gestionnaire d'identité) ainsi que les activités liées au service d'infogérance, la conception d'infrastructure Cloud, incluant la gestion de l'infrastructure du groupe (réseaux, sauvegardes), portées par RIX.

Trois précisions qui ont leur importance.

Les certificats sont délivrés à Treelogie, notre société mère, pas à Rix. Ce n'est pas un détail administratif : le SMSI (le système de management de la sécurité de l'information, souvenez-vous de l'épisode 2) est unique et mutualisé au niveau du groupe, pas dupliqué par filiale, ça nous évitera les écarts : tout le monde applique les mêmes règles. Le périmètre, lui, désigne nommément les activités portées par Rix.

Pourquoi les fonctions non opérationnelles ? Tout simplement parce que ça nous paraissait quand même un poil cavalier de ne pas faire auditer les activités transversales qui permettent aussi à Rix de fonctionner (les RH, l'administratif, la compta, bref tous les trucs fun !). Et elles sont tout autant, voire plus, exposées que la tech'.

Les copains de notre atelier logiciel Elao partagent le SMSI du groupe, ils se plient donc aux mêmes bonnes pratiques, mais les activités de conception applicative ne sont pas encore couvertes par ces certificats. On se laisse le temps de roder la bête avant de décider si on les fait rentrer dans le périmètre. Parce que quand on fait les choses bien, mine de rien, c'est du boulot !

Côté HDS la certification couvre les activités 3 à 6 du référentiel, c'est-à-dire, en français : la mise à disposition et le maintien en condition opérationnelle de l'infrastructure virtuelle (3) et de la plateforme d'hébergement d'applications (4), l'administration et l'exploitation du système d'information contenant les données de santé (5), et la sauvegarde de ces données (6).

De la baie au cluster : qui couvre quelles activités HDS

Les activités 1 et 2 du référentiel HDS, ce sont les locaux d'hébergement physique et l'infrastructure matérielle. Elles ne sont pas chez nous, et c'est normal : nous n'avons pas de centre de données et ne comptons pas en avoir. Elles relèvent de notre partenaire de longue date OVHcloud, en France, lui-même certifié HDS pour ces activités.

Parce que chacun son métier hein ;)

Mais mis bout à bout, ça donne quelque chose qui tient bien la route : de la baie physique jusqu'à l'exploitation de votre cluster Kubernetes, chaque couche est dans un périmètre certifié HDS, et aucun maillon ne se trouve en dehors. Les données de santé sont hébergées exclusivement en France, sans transfert hors EEE.

Pour l'instant, on va même plus loin que ce qu'impose le référentiel puisque non seulement les données restent en France, mais elles ne sont opérées que par des sociétés de droit français (et européen par extension) et ça, on en reparlera mais c'est quand même vachement bien !

Ce que ça ne veut pas dire

Parce qu'autour de ces certifications il y a quand même pas mal de trucs à mettre à plat.

Ces certificats ne disent pas qu'on est « à toute épreuve ». Personne ne l'est, on a suffisamment de kilomètres au compteur pour avoir une très bonne connaissance du métier et des menaces. Quiconque vous dit le contraire vous vend quelque chose qui n'existe pas.

Une certification ne garantit pas qu'il ne nous arrivera jamais rien.

Ce qu'elle dit, c'est qu'un tiers indépendant vient vérifier chaque année qu'on fait réellement ce qu'on écrit. Que nos processus existent ailleurs que dans nos têtes et que quand on dit « c'est sauvegardé », il y a une preuve derrière.

C'est exactement le leitmotiv qu'on vous donnait à l'épisode 2 :

• Say what you do : si ça n'est pas écrit, ça n'existe pas ;
• Do what you say : si ça n'est pas appliqué, c'est inutile ;
• Prove it : si ça n'est pas démontré, ça n'est pas fait.

Chacun d'entre nous se lève chaque matin avec la volonté de faire mieux qu'hier, parce qu'un SI c'est vivant, ça bouge tous les jours, et la menace, elle aussi, a plusieurs visages : celle d'hier n'est pas celle de demain.
Parler de zero trust, l'imposer aux autres, c'est facile. Commencer par soi, c'est un peu plus inconfortable.

La suite, pour de vrai

On ne vous a rien dit du chemin. C'est volontaire.

À l'épisode 1, on promettait un vrai retour d'expérience : ce que ça coûte, en temps, en investissement, ce que ça change pour de bon. Entre l'analyse de maturité d'août 2025 et le certificat de juillet 2026, il s'est écoulé onze mois, et on peut déjà vous dire une chose : c'était nettement plus lourd qu'on ne l'avait anticipé et on n'a pas chômé ! Mais ça, ça ne se raconte pas en trois lignes dans un article d'annonce.

Alors on garde la matière pour les prochains épisodes :

• La construction du SMSI, les politiques, et surtout le moment où on comprend qu'il va falloir appliquer ce qu'on a écrit ;
• L'analyse de risques, vous savez, le truc à propos duquel on se dit toujours « Oh ça va je les connais mes risques… ». Vraiment ?! ;
• La préparation à l'audit, et l'audit lui-même ;
• Ce que ça a changé dans notre quotidien (Spoiler : oui, des fois on se dit que c'est quand même bien relou).

À suivre. Pour de vrai, cette fois.