Blog/Sécurité
Notre certification ISO/IEC 27001 : la sécurité au cœur de nos processus logiciels
Le code que nous écrivons chez Uxopian Software touche directement aux données et à l'activité de nos clients. C'est pourquoi notre système de management de la sécurité de l'information est certifié selon la norme ISO/IEC 27001, sur un périmètre qui couvre toute notre chaîne logicielle : le développement, l'assurance qualité et le support.
Cette certification est l'aboutissement d'une démarche de fond, qui structure la façon dont nous protégeons ce qui nous est confié.
Qu'est-ce que l'ISO/IEC 27001 ?
L'ISO/IEC 27001 est la norme internationale de référence pour le management de la sécurité de l'information. Elle décrit un système de management (le SMSI) fondé sur trois principes :
Une analyse de risques continue, pour identifier ce qui pourrait compromettre la confidentialité, l'intégrité ou la disponibilité des informations que nous traitons
Des mesures de sécurité proportionnées à ces risques, documentées et appliquées de la même manière dans toute l'entreprise
Une logique d'amélioration continue (le cycle Planifier-Déployer-Vérifier-Agir), avec des audits internes réguliers et un audit externe mené par un organisme certificateur indépendant
Pour Uxopian Software, cette démarche répond à un besoin concret : donner à nos clients une garantie vérifiée, et pas seulement déclarée, que la sécurité est intégrée à chaque étape de notre travail plutôt qu'ajoutée après coup.
Processus de développement logiciel
Notre cycle de développement est directement couvert par le SMSI certifié. Concrètement :
Un contrôle strict des accès au code source et aux environnements (moindre privilège, authentification forte)
Des pratiques de développement sécurisé : revue de code systématique, analyse statique des dépendances, gestion sécurisée des secrets et des clés
Une séparation claire entre les environnements de développement, de test et de démo, pour qu'aucune donnée sensible ne passe de l'un à l'autre
Une gestion structurée des vulnérabilités, de la détection à la correction, avec suivi et traçabilité
L'intégration et le déploiement continus respectent les mêmes exigences de sécurité
Notre objectif est de faire de la sécurité un réflexe dès la conception et tout au long de notre processus de développement, sans ralentir nos équipes ni ajouter de contrainte en fin de projet.
Processus d'assurance qualité
Nos processus d'assurance qualité sont eux aussi couverts par la certification, avec une exigence particulière : vérifier sans exposer. Cela passe notamment par :
Des environnements de test isolés : aucune donnée client réelle, uniquement des données anonymisées ou synthétiques
Des procédures de test documentées et tracées, du plan de test à la validation finale
Une gestion formelle des changements et des non-conformités, avec analyse des causes et actions correctives suivies dans le temps
Des journaux d'audit qui permettent de reconstituer, si besoin, l'historique complet d'une validation ou d'un incident qualité
Des tirs de performance réguliers, pour garantir le niveau de réponse de l'application
Des tests d'intrusion réalisés par un cabinet indépendant
Cette rigueur nous permet de garantir deux choses : nos livrables fonctionnent comme prévu, et la façon dont nous les testons ne crée elle-même aucun risque pour les données de nos clients.
Processus de support logiciel
Le périmètre de la certification va jusqu'au support, après la livraison du logiciel. C'est un moment où nos équipes accèdent parfois directement à des environnements sensibles. Les mesures en place couvrent :
Nos équipes se soumettent aux règles d'accès édictées par nos clients pour tout besoin d'accès à leurs environnements : accès temporaires, tracés et limités à ce qui est nécessaire pour résoudre l'incident, sur des canaux d'assistance à distance sécurisés dont les sessions sont journalisées
Une gestion des incidents structurée par niveaux de priorité et délais de traitement (SLA), de la qualification à la résolution
Une confidentialité stricte des données clients manipulées pendant une intervention de support
Autrement dit, la sécurité ne s'arrête pas à la livraison. Elle accompagne le logiciel tout au long de son cycle de vie, y compris quand nos équipes interviennent directement sur les environnements de nos clients.
Ce que cela apporte à nos clients et partenaires
Pour nos clients, cette certification se traduit par des bénéfices concrets :
Une garantie vérifiée par un tiers indépendant, là où une déclaration de conformité ne l'est pas
Des réponses plus rapides et plus solides lors de leurs propres audits de sécurité ou appels d'offres, grâce à une documentation de nos pratiques déjà prête et à jour
Un risque réduit d'incident de sécurité sur leurs données, grâce à une gestion des risques continue plutôt que réactive
Un interlocuteur capable d'expliquer précisément, à chaque étape, comment nos processus de développement, de test et de support protègent leurs informations
Ce périmètre étendu, du code jusqu'au support, reflète notre conviction : la sécurité de l'information ne peut pas se limiter à un seul maillon de la chaîne logicielle.
Une démarche qui continue
Une certification ISO/IEC 27001 ne se ferme jamais. Elle se maintient, se vérifie et se renouvelle par des audits réguliers. C'est précisément ce qui fait sa valeur pour nos clients : l'assurance que nos pratiques de développement, de qualité et de support restent, année après année, à la hauteur des enjeux qu'ils nous confient.
Si vous souhaitez en savoir plus sur le périmètre exact de notre certification ou obtenir une copie de notre certificat, notre équipe reste à votre disposition.