14/12/2021
Témoignage
Almond accompagne Aviti dans le passage de sa certification ISO 27001
Aviti (anciennement DSMI SC-DAM) est un distributeur et intégrateur d’infrastructures informatiques, fruit de la fusion de DSMI, créée à Nantes en 1998 et de SC-DAM, créée à Rosny-sous-Bois en 2006.
Témoignage : Accompagnement à la certification ISO 27001
Découvrez l’interview de Bruno Meneuvrier, RSSI chez Aviti, qui nous fait part de son expérience dans le cadre de l’accompagnement à la certification ISO 27001 par Almond.
Depuis quand êtes-vous chez Aviti ? Pouvez-vous nous parler de votre poste ?
J’ai connu Aviti en tant que client puis consultant externe. En 2015, j’ai intégré la société comme responsable Cloud. J’avais pour mission de monter avec mon équipe l’infrastructure Cloud.
J’ai occupé ce poste jusqu’en septembre 2019, lorsque l’accompagnement sur la certification ISO 27 001 a débuté. J’ai apprécié l’aspect cybersécurité. De plus, cela consommait une bonne partie de mon temps, j’ai donc proposé à la direction de créer un poste de RSSI. Ils ont ainsi ouvert ce poste que j‘ai intégré. Je suis maintenant RSSI et je m’occupe de toute la partie sécurité de l’information.
Pourquoi avoir lancé ce projet de certification ISO pour Aviti ?
Il était primordial de nous positionner sur cette certification puisque l’ISO 27001 est devenue un des critères essentiels des appels d’offre.
Nous avons également développé la plateforme Cloud d’un organisme public qui mentionnait la certification ISO 27001 dans le cadre de son projet. Cela nous a confortés dans notre volonté d’être certifiés. Notre clientèle est assez large : aussi bien des PME, des PMI ou encore des établissements publics. Une des demandes récurrentes de nos clients est que leur hébergement soit sur un périmètre certifié ISO 27 001 et dans le cadre de notre activité, il était essentiel pour nous d’acquérir cette certification.
Par ailleurs, la sécurité opérationnelle s’appréhende différemment si on développe une infrastructure Cloud avec une exposition sur Internet. Il y a 6-7 ans, il n’y avait que très peu d’informations disponibles sur le sujet. Les opérateurs Cloud ne communiquaient pas sur leurs architectures et considéraient que cela relevait de la propriété intellectuelle. Il a donc fallu faire un gros travail de recherche. Depuis nous avons monté deux autres plateformes et nous sommes sollicités pour une troisième.
A présent, nous opérons des prestations de montage d’infrastructures pour des sociétés qui sont elles-mêmes des opérateurs Cloud. En tant que société IT, nous sommes focalisés sur la technique opérationnelle mais pas forcément sur la gouvernance et l’ISO nous fait progresser sur ce sujet.
« Nous avons été entourés de personnes très compétentes à la fois pour l’accompagnement à la formation, pour la mise en place de notre SMSI et également pour la partie audit »
Comment vos collaborateurs ont reçu les bonnes pratiques à intégrer ?
Cela a été un vrai défi car l’équipe Cloud était déjà saturée en termes de charge de travail et il a fallu trouver le temps nécessaire pour tout mettre en place. C’est toujours difficile de devoir ajouter de nouveaux process sans pouvoir apprécier une plus-value immédiate. Par exemple, l’ISO 27 001 impose de réaliser une revue de compte : un document qui compile l’ensemble des systèmes et qui permet de voir si tous les accès sont bien configurés. Cela prend du temps et génère une surcharge de travail pour une équipe aussi restreinte, mais cela a d’autres vertus et documente les process. C’est un véritable challenge que d’identifier où mettre le curseur concernant cette organisation tout en conservant l’agilité nécessaire pour développer le business.
Aviez-vous imaginé autant de travail par rapport au périmètre choisi ?
Non, même si je savais que j’allais y passer du temps via l’évaluation des charges en centaines de jours qui nous avait été présentée.
Globalement cela me prend 60% de mon temps.
Quelle organisation a été mise en place ?
Nous avons fait un premier travail qui a été d’initier le projet via un audit d’écart afin de connaitre notre positionnement par rapport à notre objectif : la certification ISO 27001. C’est Joël Ramat, manager cybersécurité au sein d’Almond Nantes qui a été missionné dessus. La conclusion était qu’il n’y avait pas forcément besoin de renforcer le niveau de sécurité, en revanche l’enjeu phare était de tout procédurer.
En interne, nous avons aussi mis en place un comité de pilotage sécurité (COSEC) pour la partie sécurité opérationnelle composé des responsables métiers (services managés, intégration, Cloud), du directeur technique et du responsable informatique interne pour gérer l’opérationnel. Nous avons établi une fréquence de six réunions par an à savoir une tous les deux mois et nous nous réunissons également quinze jours avant l’audit.
Le comité de direction auquel je participe se réunit deux fois par an. Enfin, en tant que chef de projet sur la certification ISO, si j’ai des sujets relatifs à la sécurité je peux solliciter une réunion de comité de direction pour exposer les points importants. Romain Lemonnier, le Directeur Général d’Aviti est moteur sur les sujets ISO. De fait, cela structure l’entreprise et la valorise.
Comment s’est passé l’ accompagnement pour la certification et quel rôle a eu Almond sur ce sujet ?
Si je reprends la genèse du projet, au 1er semestre 2019 j’ai échangé au sujet de l’ISO 27001 avec un de vos clients qui m’a mis en relation avec Nicolas Guilloux, le directeur grand Ouest d’Almond. J’ai ensuite rencontré Joël Ramat et Anne Lupfer, la responsable de l’institut de formation chez Almond.
Ma première action a été de faire une formation chez vous de lead implementer avec ces mêmes intervenants. Joël Ramat a été un atout majeur pour nous puisqu’il était initialement RSSI auprès d’un opérateur Cloud et télécom. Ainsi, le contexte et les attentes qu’on lui exposait étaient totalement en phase avec son parcours. Il a été la personne clef pour procéder à notre accompagnement ; on s’appuie d’ailleurs encore sur lui aujourd’hui, dans le cadre d’autres dossiers : pour monter des plans assurance sécurité pour nos clients par exemple. Joël a la capacité de rendre claires des notions qui paraissent difficiles à retranscrire ou à expliquer.
J’ai également beaucoup apprécié travailler avec François Ehly, manager chez Almond sur notre audit interne. Avec le recul, nous n’aurions pas pu obtenir la certification ISO 27 001 seuls. Nous sommes autonomes sur de nombreux sujets et sommes labellisés ExpertCyber. Toutefois, cet accompagnement d’Almond était nécessaire et nous a permis de nous outiller correctement pour atteindre notre objectif.
Quels ont été l’apport et la valeur ajoutée d’Almond dans le projet ?
Nous avons été entourés de personnes très compétentes à la fois pour l’accompagnement à la formation, pour la mise en place de notre SMSI et également pour la partie audit. Cet appui humain a été très confortable car je n’ai pas eu à chercher ces compétences dans d’autres sociétés. Par ailleurs, le mode de fonctionnement d’Almond est pertinent et je pense qu’il faut continuer de la sorte : il y a un interlocuteur bien déterminé, ce qui évite la déperdition de l’information. Nous avons vraiment apprécié la qualité de nos échanges, le projet a été une réussite et nous entretenons de solides rapports de confiance.
Comment envisagez-vous le maintien et la capitalisation sur cette certification ? Quel a été votre bilan opportunités /contraintes ?
Nous souhaitons étendre cette certification à d’autres activités. Pour le moment, nous travaillons sur le maintien et l’extension du périmètre viendra dans un second temps.
Pouvez-vous nous partager une expérience ?
Nous avons subi une attaque de phishing en février 2020, quatre mille personnes ont été touchées parmi nos clients dont certains grands comptes. Cet épisode a été très éprouvant et nous avons été largement mobilisés durant deux semaines pour gérer cette crise. Le fait d’avoir déjà abordé la partie du RGPD sur les Violations de données, nous a été d’un grand secours : nous savions qui appeler ; comment réagir et combien de temps nous avions pour gérer la situation. De plus, nous avions participé à un atelier chez Almond sur la gestion de crise qui nous a permis de savoir réagir et d’adopter les bons process. Ainsi, j’ai pu monter la cellule de gestion de crise, déposer une main courante ou encore réaliser la communication client.
Lorsque cela s’est produit, Joël s’est rendu disponible et nous a aidés. Cela a été une véritable prise de conscience sur les enjeux de l’ISO. L’organisation et la documentation nous ont permis de savoir comment réagir et gérer cette crise. Rétrospectivement, cette attaque de phishing nous a permis de tirer de nombreux enseignements, nous en sommes ressortis grandis. Nous avons ainsi rédigé le protocole de gestion de crise et la partie plan de continuité sera complétée courant mars, par un exercice pratique le plus pragmatique possible : arrêter un data center.
Ainsi, au-delà des opportunités commerciales que génère la certification ISO et la charge de travail qu’elle engendre, il y a ces effets positifs à prendre en compte dans le projet global.
Bruno MENEUVRIER
RSSI d’Aviti
Joël RAMAT
Manager Governance, Risks & Compliance
