L’entreprise
AirSuite Inc. est une entreprise de logiciels aéronautiques établie à Thunder Bay, en Ontario. Elle est connue grâce à son produit phare, Cirro, un logiciel qui assure la sécurité, l’efficacité opérationnelle et la conformité réglementaire des entreprises du secteur de l’aviation.
Le défi
AirSuite, dont la plateforme de logiciels-services est en pleine expansion, devait répondre aux attentes de ses clients concernant la sécurité de l’information, la disponibilité des services et la rigueur des contrôles opérationnels.
Pour soutenir cette croissance, l’entreprise devait :
- se préparer à une évaluation SOC 2 de type II pour respecter plusieurs critères de services Trust;
- mettre en place un système de gestion de la sécurité de l’information conforme à la norme ISO 27001;
- apporter les ajustements requis par les normes de certification, tout en respectant les délais de livraison et en limitant les perturbations des activités.
AirSuite était à la recherche d’un partenaire en mesure d’assurer un accompagnement structuré, de proposer des recommandations concrètes et de coordonner efficacement les activités liées à la vérification et à la certification.
La solution
En collaboration avec notre réseau mondial, nous avons mis en œuvre un programme de préparation à l’obtention des certifications, déployé de façon progressive.
Notre équipe des Services en certification de tiers a piloté les travaux liés à la production du rapport SOC 2, notamment :
- l’évaluation de l’état de préparation SOC 2, qui couvrait la sécurité, l’accessibilité, la confidentialité et l’intégrité du traitement;
- l’accompagnement dans la rédaction de la description du système, la conception des contrôles et la planification des mesures correctives;
- la réalisation d’une mission SOC 2 de type II, tant pour la plateforme de logiciels-services que pour l’infrastructure de soutien.
Parallèlement, notre équipe spécialisée en cybersécurité a réalisé une évaluation de la portée et de l’état actuel du système de gestion de la sécurité de l’information selon la norme ISO 27001:2022, qui comprend notamment :
- l’analyse des contrôles administratifs, techniques et physiques;
- l’élaboration d’une déclaration d’applicabilité;
- le repérage de lacunes ainsi que la recommandation de mesures correctives hiérarchisées.
BDO USA a ensuite mené l’audit de certification ISO 27001 pour assurer l’indépendance du processus et le respect des exigences de certification.
Tout au long de la mission, nos équipes ont travaillé en étroite collaboration avec les parties prenantes d’AirSuite et se sont appuyées sur une planification coordonnée, des outils communs et une répartition claire des responsabilités.
Les résultats et les avantages obtenus
Les travaux réalisés ont permis de renforcer les contrôles et la posture de sécurité d’AirSuite. Concrètement, l’entreprise a :
- mené à bien son rapport SOC 2 de type II;
- mis en œuvre un cadre ISO 27001 structuré et opérationnel ainsi qu’un système de gestion de la sécurité de l’information harmonisé;
- amélioré la cohérence entre les cadres de contrôle SOC 2 et ISO, ce qui a réduit le nombre de tâches redondantes et la fatigue liée aux audits;
- renforcé la confiance de ses clients, partenaires et autres parties prenantes à l’égard de ses pratiques en matière de sécurité et de gouvernance.
En tirant parti de nos capacités intégrées en vérification et en cybersécurité, AirSuite a pu passer efficacement du stade de la préparation à celui de la certification, et poser les bases d’une structure évolutive pour soutenir sa croissance future.