Ensemble pour mener la transformation digitale des entreprises en Europe
Vers le siteVersion: v6
Approbateur: Adresse
Date d’approbation: 30/03/2022
Texte approuvé le par la Direction.
Cette Politique de Sécurité de l’Information est effective à partir de cette date et jusqu’à ce qu’elle soit remplacée par une nouvelle Politique.
Ce document présente la Politique de Sécurité de l’Information d’Ivnosys Soluciones S.L. et Signaturit Solutions SL (entité qui assume cette Politique de Sécurité de l’Information comme propre), toutes deux mentionnées conjointement ci-après comme Signaturit, comme l’ensemble des principes de base et des lignes d’action suivies par l’organisation, dans le cadre de la Norme ISO 27001 et du Schéma National de Sécurité (SNS).
L’organisation dépend des systèmes TIC (Technologies de l’Information et de la Communication) pour atteindre ses objectifs. Ces systèmes doivent être gérés avec diligence, en prenant les mesures appropriées afin de les protéger des dommages accidentels ou délibérés qui puissent affecter la disponibilité, l’intégrité ou la confidentialité de l’information traitée ou des services fournis.
L’information est un actif critique, essentiel et de grande valeur pour le développement de l’activité de l’entreprise. Cet actif doit être correctement protégé, indépendamment des formats, supports, moyens de transmission, systèmes ou des personnes qui interviennent pour sa connaissance, manipulation ou traitement.
L’objectif de la sécurité de l’information est de garantir la qualité de l’information et la prestation continue des services en agissant préventivement, en supervisant l’activité quotidienne et en réagissant rapidement lors d’incidents, afin de garantir la qualité de l’information et la continuité de l’activité, minimiser le risque et permettre de maximiser le retour des investissements et les opportunités commerciales.
Les systèmes TIC doivent être protégés contre les menaces de rapide évolution pouvant potentiellement avoir une incidence sur la confidentialité, l’intégrité, la disponibilité, l’usage prévu et la valeur de l’information et des services. Pour se défendre contre ces menaces, il est nécessaire d’implanter une stratégie qui s’adapte aux changements des conditions du milieu afin de garantir la prestation continue des services. Cela implique que les départements doivent appliquer les mesures minimales de sécurité exigées par le Schéma National de Sécurité et par la norme ISO/IEC 27001 sur les Système de Sécurité de l’Information, ainsi que réaliser un suivi continu des niveaux de prestation des services, suivre et analyser les vulnérabilités reportées et préparer une réponse efficace contre les incidents afin de garantir la continuité des services fournis. Cette Politique de Sécurité de l’Information est effective à partir de cette date et jusqu’à ce qu’elle soit remplacée par une nouvelle Politique.
Les différents départements doivent veiller à ce que la sécurité TIC soit une partie intégrante de chaque étape du cycle de vie du système, depuis sa conception jusqu’à sa mise hors service, en passant par les décisions de développement ou d’acquisition, et les activités d’exploitation. Les exigences de sécurité et les besoins de financement doivent être identifiés et inclus dans la planification, dans la demande d’offres aux fournisseurs et dans les mémoires techniques pour les projets de TIC.
Les départements doivent être préparés pour prévenir, détecter, réagir et se remettre des incidents, conformément à l’art. 7 du SNS et au système de Continuité d’activité de la norme ISO 22301.
Cet article fournit les éléments suivants:
Article 7. Prévention, réaction et récupération.
De même, le système maintiendra disponibles les services durant tout le cycle vital de l’information numérique, au travers d’une conception et de procédures de base pour la préservation du patrimoine numérique.
La Direction de l’entreprise, consciente de la valeur de l’information, est profondément engagée avec la politique décrite dans ce document.
Les départements doivent éviter, ou au moins prévenir dans la mesure du possible, que l’information ou les services ne soient touchés par des incidents de sécurité. Pour cela, les départements doivent implanter les mesures minimales de sécurité déterminées par le SNS, ainsi que tout contrôle supplémentaire identifié au travers d’une évaluation des menaces et des risques. De plus, et avec la nette intention d’améliorer cette prévention, les départements devront également implanter toutes les conditions nécessaires pour appliquer la norme ISO 27001. Ces contrôles, et les rôles et responsabilités de sécurité de tout le personnel, doivent être clairement définis et documentés.
Pour garantir le respect de la politique, les départements doivent:
Étant donné que les services peuvent rapidement se dégrader suite à un incidents, d’un simple ralentissement jusqu’à leur arrêt, les services doivent surveiller l’opération en continu pour détecter des anomalies dans les niveaux de prestation des services et agir en conséquence conformément à l’art. 9. Réévaluation périodique, du SNS, qui indique ce qui suit : « Les mesures de sécurité seront réévaluées et actualisées régulièrement, pour adapter leur efficacité à la constante évolution des risques et des systèmes de protection, jusqu’à revoir l’approche de la sécurité si nécessaire ».
La surveillance est particulièrement importante lorsque sont définies des lignes de défense conformes à l’article 8 du SNS. Seront mis en place des mécanismes de détection, d’analyse et de rapport qui parviendront régulièrement aux responsables et lorsque se produira une déviation significative des paramètres préalablement définis comme normaux.
L’article 8 prévoit:
Article 8. Lignes de défense:
Les départements doivent:
Pour tout type de communication, internes et/ou externes, il faudra suivre ce qu’indique le Plan de communication, publié sur le Système de Gestion d’Ivnosys, élaboré par l’organisation.
Afin de garantir la disponibilité des services critiques, l’organisation s’est dotée d’un Plan général de continuité d’activité (PCA), publié sur le Système de Gestion, évaluant les éventuels scénarios de désastre possibles et leur stratégie de récupération, et définissant des plans d’urgence régulièrement réexaminés.
Cette Politique de Sécurité s’applique aux systèmes d’information supportant les processus d’installation et d’opération des services de confiance en modalité cloud suivants:
La Politique de Sécurité de l’Information est approuvée par la Direction de l’entreprise. Son contenu et celui des normes et des procédures qui la développent, doivent obligatoirement être respectés:
Comme nous l’avons dit, l’objectif de cette Politique de Sécurité de l’Information est de protéger les actifs d’information de Signaturit, en garantissant pour cela la disponibilité, l’intégrité, la confidentialité, l’authenticité et la traçabilité de l’Information et des installations, systèmes et ressources qui les traitent, gèrent, transmettent et stockent, toujours conformément aux exigences de l’activité et à la législation en vigueur.
L’information doit être protégée durant tout son cycle de vie, depuis sa création jusqu’à son éventuel effacement ou destruction. C’est pourquoi, sont définis les principes minimums suivants:
Signaturit dispose d’une procédure pour la gestion et l’organisation des responsabilités aussi bien internes qu’externes, dans le domaine de la sécurité de l’information, qui détermine le Comité du Système de Gestion, dont la principale mission est l’approbation, la supervision du respect, la gestion et la diffusion des normes et des politiques de l’organisation, ainsi que le suivi et la gestion des incidents et des risques présents, en matière de sécurité de l’information.
Les fonctions du Comité du SG sont définies dans le Système de Gestion de l’organisation.
Le Comité du SG se réunit au minimum chaque semestre et les membres qui le composent obligatoirement sont le Directeur Général, le Directeur IT, le responsable du Système de Gestion et le responsable sécurité.
Signaturit possède un Délégué de Protection des Données interne, nommé auprès de l’AEPD, poste occupé par un professionnel qui réunit les exigences d’expérience et de formation nécessaires pour les fonctions à réaliser.
De plus, le Comité pourra avoir recours à toute autre responsable/rôle dont l’intervention soit nécessaire pour être affecté par le Schéma National de Sécurité, par le RGPD ou toute autre norme liée à la sécurité de l’information, comme par exemple le responsable du service et l’administrateur de sécurité.
Comme la sécurité doit impliquer tous les membres de l’organisation, conformément à l’article 12 du SNS et à l’Annexe II de l’SNS section 3.1, la Politique de Sécurité doit identifier les responsables de son respect et les faire connaître de tous les membres de l’organisation. Le Système de Gestion d’Ivnosys dispose d’une section pour identifier les personnes qui occupent les rôles qui composent le Comité du SG et recueillir leurs fonctions spécifiques.
La Direction désignera, renouvellera et communiquera les responsabilités, autorités et rôles quant à la sécurité de l’information, en déterminant dans chaque cas les raisons et la durée de validité, et gérera les conflits pouvant survenir. Elle veillera également à ce que les utilisateurs connaissent, assument et exercent les responsabilités, autorités et fonctions assignées.
Le Comité du SG sera chargé de la révision annuelle de cette Politique de Sécurité de l’Information et de la proposition de révision ou maintien de celle-ci.
La Politique sera approuvée par la Direction de l’entreprise et, puisqu’il s’agit d’un document à caractère public, conformément à la Politique de Classement de l’information d’Ivnosys (disponible sur le Système de Gestion), sera diffusée par le Département de communications pour information de toutes les parties concernées et mise à disposition des tiers au travers du site Web de l’entreprise : www.signaturit.com.
De plus, elle pourra être réexaminée lorsque se produiront des changements significatifs affectant la sécurité, les services que fournit l’organisation, des changements normatifs ou tout autre point important.
Conformément à la réglementation en vigueur sur la protection des données (RÉGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL concernant la protection des personnes physiques quant au traitement des données personnelles ou RGPD et la Loi Organique 3/2018, du 5 décembre sur la Protection des Données Personnelles et la garantie des droits numériques) Ivnosys Soluciones SLU et Signaturit Solutions SL en tant que Responsable du Traitement ou Co-responsables le cas échéant et Responsable du Traitement des données de ses clients, s’engagent à :
– Ce que les données à caractère personnel, aussi bien des clients que des autres employés et collaborateurs soient traitées conformément aux principes de licéité, loyauté et transparence. Les données obtenues et utilisées seront recueillies à des fins explicites et légitimes. Les données obtenues seront pertinentes, appropriées et limitées aux fins définies par ces traitements. Le principe d’exactitude sera respecté et toutes les mesures nécessaires seront adoptées pour leur rectification lorsque nécessaire. Les données ne seront pas conservées plus de temps que nécessaire aux objectifs du traitement, sauf pour des raisons de respect des fins légales.
– Ce que toutes les mesures de sécurité référencées dans cette Politique de Sécurité de l’Information.
– Ce que les données personnelles dont le traitement est réalisé en tant que Responsable du Traitement, les employés s’engagent à respecter et à faire respecter selon leurs responsabilités, toutes les mesures définies dans cette Politique pouvant affecter les données à caractère personnel auxquelles ils peuvent avoir accès de par leur activité professionnelle. De même que les données dont le traitement est réalisé par Signaturit, en tant que Responsable du Traitement.
– Ce que Signaturit, ses employés et ses collaborateurs externes, lorsqu’ils ont besoin, pour fournir un service demandé par ses clients, d’accéder à des données à caractère personnel, dont le stockage sur des fichiers et le traitement sont sous la responsabilité du client (conditions d’accès aux données pour confier le traitement), seront appliquées les conditions recueillies dans les documents « Activités de traitement à réaliser » de chaque service fourni, lesquels seront remis au client, comme ANNEXES aux « Conditions Applicables aux Accès aux Données à Caractère Personnel ».
– Ce que Signaturit, son personnel et ses collaborateurs externes, participent de manière proactive et communiquent, selon les canaux de communication internes et externes définis dans le Plan de Communications, tout incident ou brèche de sécurité dont ils ont connaissance en particulier celles pouvant affecter les données à caractère personnel et collaboreront dans leur gestion et résolution selon le degré de responsabilité assigné.
De même, pour tout ce qui n’est pas expressément recueilli dans cette Politique, Signaturit s’engage, et a l’engagement de tout son personnel, au plus strict respect de toutes les dispositions et principes définis dans la réglementation en vigueur sur la protection des données, citée au début de ce chapitre, et dans toutes les normes qui la modifient ou la remplacent.
Signaturit dispose d’un système pour la gestion de la sécurité de l’information (SGSI) en implantant les meilleures pratiques pour la gestion de la sécurité de l’information conformément au standard UNEISO/IEC 27001 et en appliquant à tous les traitements de données qu’elle réalise, dans le cadre des contrats conclus avec les clients, les contrôles et les mesures visant à garantir la sécurité des données à caractère personnel, responsabilité des clients, auxquelles elle a accès en raison du contrat.
L’organisation garantit qu’elle réalisera les contrôles périodiques et les audits de sécurité nécessaires afin de vérifier que les contrôles et les mesures de sécurité implantés soient efficaces pour le traitement des risques pour lesquels ils ont été implantés.
Tous les systèmes soumis à cette Politique devront passer une analyse des risques, afin d’évaluer les menaces et les risques auxquels ils sont exposés. Cette analyse sera régulièrement réalisée, au minimum une fois par an. De plus, celle-ci sera répétée dans les cas suivants:
Pour l’harmonisation des analyses des risques, le Comité du SG définira une évaluation de référence pour les différents types d’information manipulées et les différents services fournis.
La méthodologie employée pour l’évaluation du risque est MAGERIT. Elle permet de gérer efficacement les incidents qui pourraient avoir lieu avec les différents actifs d’information et affecter les principes de confidentialité, d’intégrité, de disponibilité, d’authenticité et de traçabilité.
Le Comité du SG dynamisera la disponibilité des ressources afin de répondre aux besoins de sécurité des différents systèmes, encourageant les investissements à caractère horizontal.
Cette Politique de Sécurité de l’Information complète les politiques de sécurité de Signaturit dans différentes matières:
Cette politique sera développée au travers d’une réglementation de sécurité qui s’attaque aux aspects spécifiques. La réglementation de sécurité sera à disposition de tous les membres de l’organisation qui nécessitent la connaître et, en particulier de ceux qui utilisent, opèrent et gèrent les systèmes d’information et de communications.
Cette réglementation (processus, procédures, instructions de travail et tout autre documentation nécessaire) sera publiée sur le Système de Gestion en Confluence, ainsi que sur le Wiki corporatif de Signaturit.
Tous les membres de Signaturit sont dans l’obligation de connaître et de respecter cette Politique deSécurité de l’Information et la Réglementation de Sécurité, la responsabilité revenant au Comité de SG de disposer des moyens nécessaires pour que l’information atteigne les personnes concernées.
Tous les membres de Sig., dans le cadre du Programme annuel de formation, assisteront à une séance de sensibilisation en matière de sécurité TIC, au minimum une fois par an. Un programme de sensibilisation continu sera mis en place basé sur la diffusion périodique de courriers en matière de sécurité de l’information, afin d’atteindre tous les membres de Signaturit, et en particulier ceux récemment incorporés. Ce personnel devra également réaliser une formation spécifique et une évaluation des connaissances acquises, comme partie du processus d’incorporation à l’organisation.
Les personnes responsables de l’utilisation, opération ou administration des systèmes TIC recevront une formation pour la manipulation sécurisée des systèmes conformément à leurs besoins pour réaliser leur travail. La formation sera obligatoire avant d’assumer une responsabilité, aussi bien s’il s’agit de la première affectation ou s’il s’agit d’un changement de poste de travail ou de responsabilités dans celuici.
Lorsque Signaturit fournira ses services à d’autres organismes ou gèrera l’information d’autres organismes, elle leur fera part de cette Politique de Sécurité de l’Information, des canaux seront mis en place pour le rapport et la coordination des responsables respectifs, et seront établies des procédures d’action, conformément à la Procédure de gestion des incidents de l’organisation, pour la réaction face aux éventuels incidents de sécurité.
Lorsque Signaturit utilisera des services de tiers ou cèdera l’information à des tiers, elle leur fera part de cette Politique de Sécurité et de la Réglementation de Sécurité qui concernent ces services ou information. Cette tierce partie sera soumise aux obligations définies dans cette réglementation, pouvant développer ses propres procédures opérationnelles pour la satisfaire. Des procédures spécifiques de rapport et de résolution d’incidents seront mises en place. Le personnel tiers devra être correctement sensibilisé en matière de sécurité, au minimum au même niveau que ce que définit cette Politique. Si un aspect de la Politique ne peut pas être respecté par une tierce partie, comme indiqué dans les paragraphes précédents, le Responsable de Sécurité se réunira avec le responsable du service pour définir et préciser les risques encourus et la manière de les traiter.
