Mesures de sécurité

L'entreprise est certifiée ISO 27001:2022.

L'entreprise a nommé un responsable de la sécurité de l'information qui rend compte directement à un cadre supérieur de l'entreprise.

Un ensemble de politiques et de normes de sécurité de l'information sont documentées, approuvées et régulièrement mises à jour.

L'entreprise dispose d'une assurance cybernétique.

Un plan de réponse aux incidents est documenté et testé régulièrement afin de garantir une réponse efficace et un rétablissement rapide en cas d'incident de sécurité.

Tous les employés de l'entreprise suivent régulièrement des séances de sensibilisation à la sécurité.

Les vérifications des antécédents des nouveaux employés sont effectuées lorsque la législation locale le permet.

Les employés de l'entreprise s'engagent à respecter les principes de protection de la vie privée et de sécurité de l'information.

Les employés ayant accès aux données personnelles sont soumis à une obligation de confidentialité basée sur des accords de non-divulgation (NDA) ou des clauses équivalentes.

En cas de licenciement, les droits d'accès de l'employé sont révoqués et un rappel de ses obligations en matière de sécurité est effectué.

L'entreprise fixe des objectifs liés à la sécurité comme objectifs de l'entreprise et agit pour sensibiliser aux questions de sécurité de l'information et de protection de la vie privée.

Des sessions de formation et de sensibilisation à la sécurité et à la protection de la vie privée sont organisées périodiquement pour tous les employés.

L'environnement en nuage de l'entreprise est hébergé et pris en charge par AWS. Pour plus d'informations sur la sécurité physique, veuillez vous référer aux contrôles de sécurité AWS.

Les données au repos et en transit sont cryptées à l'aide d'algorithmes de cryptage de qualité industrielle.

Utilisation de pare-feu (réseau et application) et de systèmes d'authentification.

L'accès administratif à l'infrastructure en nuage est sécurisé par des mots de passe forts + 2FA activé et l'accès à distance par VPN et tunnel SSH.

Séparation complète du réseau de production et des actifs cloud (VPC) des environnements de test et de développement.

L'utilisation de systèmes de détection d'intrusion, qu'ils soient basés sur le réseau (NIDS) ou sur l'hôte (HIDS).

Toutes les communications sortantes TCP sont cryptées par TLS.

Les données à caractère personnel stores et traitées par l'entreprise sont convenablement sécurisées conformément aux meilleures pratiques commerciales en vigueur dans des entreprises similaires.

L'accès aux données personnelles des clients est limité au besoin d'en connaître.

Des mots de passe forts sont appliqués, stores les mots de passe sont entièrement hachés et cryptés.

Anonymisation/pseudonymisation des données personnelles et/ou sensibles, le cas échéant, conformément aux besoins techniques ou commerciaux pour fournir le service et/ou se conformer à la loi.

La société ne fournira pas les IIP et/ou les données commerciales des utilisateurs à moins que l'identité du propriétaire du compte ne soit dûment vérifiée.

Les données relatives aux clients ne seront conservées sur le site stores qu'aussi longtemps que la Société et le client auront conclu un accord actif et aussi longtemps qu'elles serviront les objectifs pour lesquels elles ont été collectées.

Procédure sécurisée de suppression des données à caractère personnel à la fin de la période de conservation et/ou sur demande.

Les sous-traitants sont soumis à un examen de la sécurité de l'information et de la protection de la vie privée du fournisseur en fonction de la sensibilité des données et/ou des données à caractère personnel auxquelles ils ont accès et sont tenus de se conformer aux exigences de sécurité du fournisseur.

Les ordinateurs portables de l'entreprise sont équipés de logiciels anti-malware et anti-virus.

Les ordinateurs portables de l'entreprise sont équipés d'une solution de gestion qui applique la politique de sécurité des ordinateurs portables de l'entreprise.

Analyse régulière des vulnérabilités des paquets open source (SCA), du code (SAST), des applications web (DAST) et de l'infrastructure en nuage.

Mise en place d'un processus de mise à jour des logiciels (i.e. gestion des correctifs) afin de corriger les vulnérabilités identifiées en temps opportun, conformément à l'évaluation des risques.

l'utilisation de systèmes de journalisation, de surveillance et d'alerte.

Systèmes avancés pour atténuer les attaques par déni de service (DoS/DDoS).

L'utilisation de zones d'informatique en nuage à haute disponibilité dans plusieurs emplacements géographiques.

Les procédures de reprise après sinistre sont bien documentées et régulièrement révisées et mises à jour.

Les sauvegardes régulières sont sécurisées sur stores dans un environnement cloud séparé et peuvent être restaurées si nécessaire.

Tests de pénétration périodiques et à la demande.