Designair : ISO 27001 réussie au premier audit, sans non-conformité majeure ni mineure

À propos de l'entreprise

Designair exploite des postes de travail GPU dans le cloud pour les cabinets d'architecture, les bureaux d'études et les sociétés d'ingénierie industrielle. Revit, ArchiCAD et d'autres applications de CAO tournent dans le centre de données plutôt que sur une machine coûteuse au bureau, accessibles depuis n'importe quel appareil. Aucune donnée de projet ne réside sur les appareils des utilisateurs.

Les clients de Designair conçoivent des usines automobiles et des installations pharmaceutiques, des projets de plusieurs centaines de millions d'euros. Confier de tels modèles au cloud d'un tiers, c'est confier à un prestataire les données de conception d'une installation entière. Le fait que de grandes maisons soient venues d'elles-mêmes vers Designair n'a pas atténué cette question, il l'a rendue plus urgente.

‍

Le défi

Le déclencheur est arrivé sous forme de tableur. Un grand prospect a transmis, via un partenaire revendeur, un questionnaire de 118 questions de sécurité. Plusieurs collaborateurs y ont travaillé une semaine avant qu'il ne soit complété. La conclusion en interne était sans ambiguïté : plus jamais ça.

Le cas suivant a suivi de peu : un groupe de 9 000 collaborateurs, doté d'un service informatique et d'un service achats professionnels, avec un processus de validation à la hauteur. Face à un tel interlocuteur, une bonne réponse ne suffit pas ; elle doit se présenter sous une forme que le service achats accepte.

La sécurité n'était pas un sujet nouveau pour Designair : elle fait partie de la promesse produit. Mais elle ne pouvait être démontrée qu'au cas par cas, et manuellement à chaque fois. Pour Don Rekko, c'est le moment où une conviction est devenue un projet : connaître les risques et les atténuer avant qu'un client ne pose la question. La décision en faveur de l'ISO 27001 a été prise fin 2025.

La solution

Deux exigences étaient posées dès le départ. La solution devait être cloud-native, et non un système sur site. Et elle devait automatiser, plutôt que gérer des listes Excel.

Ce qui a fait la différence, c'est que Kertos ne fournit pas seulement le logiciel : Kertos prend aussi le travail en charge. Une équipe de cette taille ne peut pas apprendre l'ISO 27001 en plus de son quotidien ; il lui faut des experts qui construisent le SMSI avec elle. S'y est ajoutée l'adéquation : Kertos est à l'aise avec le cloud, travaille à l'international et, en tant que société allemande, applique des exigences élevées à sa propre protection des données, à l'image de la façon dont Designair travaille. « Vous nous correspondiez parfaitement », déclare Don Rekko, cofondateur de Designair.

Composantes clés de la solution :

• Construction du SMSI avec des experts certifiés, plutôt qu'en autoformation en parallèle de l'activité.
• Contrôles et preuves automatisés au même endroit, plutôt qu'une documentation de sécurité dans des tableurs.
• Trust Center à destination des prospects, qui peuvent consulter eux-mêmes les preuves de sécurité.
• Un interlocuteur dédié dans l'équipe d'implémentation sur toute la durée du projet.

Le résultat

Audit réussi du premier coup
L'audit n'a relevé aucune non-conformité majeure, mais une opportunité d'amélioration. Six mois se sont écoulés entre le lancement et le certificat, sans mettre le développement produit en pause.

Les questionnaires ne coûtent plus une semaine
‍Lorsqu'une demande de sécurité arrive aujourd'hui, Designair renvoie vers son Trust Center. L'effet dépasse le temps gagné : qui y voit un SMSI certifié et les preuves correspondantes en déduit que le prestataire maîtrise le sujet. Le sujet n'atteint plus Designair sans préparation, il est traité avant même que la question soit posée.

Une objection commerciale définitivement levée.
Trois questions reviennent dans les cycles de vente de Designair :

• La technologie fonctionne-t-elle ?
• Combien coûte-t-elle à l'usage ?
• Est-elle sûre ?

À la troisième, c'est désormais un lien qui répond.

L'accès au segment grands comptes.
Pour Don Rekko, la certification est la condition pour entrer dans ces discussions.

La suite

Avec l'ISO 27001, la base est posée pour les référentiels suivants. Vient ensuite SOC 2, car l'intérêt venu des États-Unis progresse, puis TISAX® pour l'industrie automobile à plus long terme. En parallèle, des agents IA sont développés dans la plateforme Designair, pour lesquels une certification suivra.

Mettez votre conformité en mode pilote automatique, à la fois en matière de protection des données et de sécurité des informations : Réservez une démo.

‍