Politique de sécurité analysable
Este aviso ha sido traducido automáticamente. Nuestra versión en inglés está disponible aquí.
Denne meldingen er maskinoversatt. Vår engelskspråklige versjon er tilgjengelig her.
Présentation générale
Le présent document décrit les exigences de Parsable, Inc. (Parsable) en matière de sécurité de l'information applicables à l'ensemble des collaborateurs. La direction de Parsable s'est engagée à respecter ces politiques de sécurité afin de protéger les informations utilisées par Parsable dans la réalisation de ses objectifs commerciaux. Parsable a élaboré cet ensemble de politiques de sécurité afin de définir les exigences relatives à l'utilisation sécurisée des ressources de l'entreprise et à l'exploitation de notre offre de produits SaaS ; il reflète la stratégie de Parsable quant à la manière dont elle mettra en œuvre les principes et les technologies de sécurité de l'information.
Objectif
L'objectif de cette politique est de mettre en place un cadre de sécurité destiné à protéger la confidentialité, l'intégrité et la disponibilité des actifs informationnels de Parsable et de ses clients contre tout accès non autorisé, accidentel ou intentionnel, toute modification, tout endommagement ou toute suppression, afin d'aider Parsable à atteindre ses objectifs commerciaux. Ce document définit les mesures générales de sécurité de l'information au sein de l'organisation, notamment les définitions, les rôles, les responsabilités, les procédures ainsi que les performances, y compris les indicateurs et les mécanismes de reporting. Les normes et procédures relatives à cette politique sont publiées séparément et mises à jour selon les besoins.
Champ d'application
La présente politique s'applique à tous les utilisateurs des systèmes d'information et des données au sein de l'organisation, qu'il s'agisse de salariés, de prestataires tiers ou de toute autre partie externe entrant en contact avec les systèmes et les informations gérés par l'organisation (ci-après dénommés « utilisateurs »). Sauf indication contraire expresse, ces exigences s'appliquent aux systèmes informatiques d'entreprise de Parsable ainsi qu'aux produits SaaS.
Définitions
Les définitions suivantes s’appliquent à la présente politique et à toutes les sous-politiques.
Confidentialité : caractéristique des informations ou des systèmes d’information selon laquelle ces informations ou systèmes ne sont accessibles qu’aux entités autorisées.
Intégrité : caractéristique des informations ou des systèmes d’information selon laquelle ces informations ou systèmes ne peuvent être modifiés que par des entités autorisées, et selon des modalités approuvées.
Disponibilité : caractéristique des informations ou des systèmes d’information selon laquelle ces informations ou systèmes sont accessibles aux entités autorisées à tout moment en cas de besoin.
Sécurité de l’information : action visant à préserver la confidentialité, l’intégrité et la disponibilité des informations et des systèmes d’information.
Norme : comportementattendu de l’utilisateur lors de ses interactions avec les ressources d’information, en fonction de la classification de sécurité et des exigences en matière de traitement de l’information.
Procédure : spécificationstechniques , méthodologies et instructions spécifiques relatives aux données (format, structuration, balisage, stockage, transmission, manipulation, reporting) et à leur utilisation.
Objectifs
Les objectifs de l'organisation en matière de sécurité de l'information s'inscrivent dans le droit fil de ses objectifs commerciaux, de sa stratégie et de ses plans. La présente politique de sécurité a pour objectifs d'atteindre les résultats suivants :
- Afin de préserver la confidentialité et le respect de la vie privée des données gérées et traitées par Parsable.
- Assurer la protection de l'intégrité des ressources informationnelles contrôlées et traitées par Parsable.
- Garantir la disponibilité des systèmes informatiques internes de l'entreprise et de l'offre de produits SaaS externes.
- Se conformer à l’ensemble des exigences législatives, réglementaires et contractuelles applicables en matière de sécurité de l’information. La politique de sécurité témoigne de l’engagement de la direction générale à garantir la sécurité de l’infrastructure informatique de l’entreprise et de ses offres de produits SaaS. Tous les objectifs doivent faire l’objet d’un examen au moins une fois par an. L’entreprise évaluera le degré de réalisation de tous les objectifs. Cette évaluation sera effectuée au moins une fois par an. Les résultats doivent être analysés, évalués et communiqués à l’équipe de direction.
Rôles
Responsable de la sécurité des systèmes d’information
La présente politique prévoit la nomination d’un responsable de la sécurité des systèmes d’information (RSSI), chargé de gérer le programme de sécurité des systèmes d’information. Ce programme comprend des procédures et des politiques visant à réduire le risque opérationnel pour l’entreprise en protégeant ses communications, ses systèmes d’information et ses actifs contre les menaces internes et externes. Les missions générales du RSSI sont les suivantes :
- Se tenir informé des dernières évolutions dans le domaine de la sécurité de l'information, un secteur en constante évolution.
- Oriente les politiques, les processus, la gouvernance et la conformité en matière de sécurité de l'information.
- Approuver des dérogations à ces règles au cas par cas.
- Coordonner les évaluations formelles des risques, les analyses et les rapports relatifs aux indicateurs clés de performance et aux indicateurs clés de risque.
- Gérer, contrôler et améliorer en permanence les mesures de protection des données.
- Renforcer la sensibilisation à la sécurité au sein de l'entreprise Parsable.
- Assurer la liaison avec les clients et instaurer un climat de confiance avec eux sur les questions liées à la sécurité de l'information.
Le poste de RSSI ne doit pas nécessairement être un poste indépendant ; il peut s'agir d'une fonction assumée par un membre existant de l'équipe de direction ou de l'équipe de gestion opérationnelle, à condition que ce collaborateur dispose de l'autorité nécessaire pour occuper un poste de direction, ainsi que des ressources et des compétences requises pour s'investir pleinement dans cette fonction.
Responsable de la protection de la vie privée
Cette politique prévoit la nomination d’un responsable de la protection de la vie privée (CPO), chargé de diriger la stratégie de Parsable en matière de protection de la vie privée et d’accompagner votre entreprise à travers le dédale complexe des différentes réglementations relatives à la protection des données qui s’appliquent à votre organisation. Les missions générales du CPO comprennent :
- Se tenir informé des dernières évolutions dans le domaine de la protection des données, un secteur en constante mutation.
- Oriente les politiques de confidentialité, les processus, la gouvernance et la conformité.
- Sensibiliser, organiser des formations pour le personnel et promouvoir les meilleures pratiques en matière de protection de la vie privée.
- Sensibiliser les membres de votre organisation à la protection de la vie privée.
- Assurer la liaison avec les autorités de régulation et les représentants des médias sur les questions relatives à la vie privée.
- Instaurer un climat de confiance auprès des consommateurs soucieux de la protection de leur vie privée. Des indications plus précises sur les responsabilités liées à ce poste figurent dans les différentes politiques de sécurité de l'information.
Le poste de responsable de la protection de la vie privée ne doit pas nécessairement être un poste indépendant ; il peut s'agir d'une fonction assumée par un membre existant de l'équipe de direction ou de l'équipe de gestion opérationnelle, à condition que ce collaborateur dispose de l'autorité nécessaire pour occuper un poste de direction, ainsi que des ressources et des compétences requises pour s'investir pleinement dans cette fonction.
Équipe InfoSec
La présente politique prévoit la constitution d'une équipe InfoSec composée de membres du service informatique :
- Responsable de la sécurité des systèmes d'information (RSSI)
- Responsable du programme technique « Risques et gouvernance en matière de sécurité de l'information »
- Ingénieurs en informatique
- Ingénieurs principaux
Cette équipe est chargée de veiller au respect des règles, de gérer les incidents et d'approuver les dérogations.
Comité de pilotage chargé de la sécurité de l'information et de la protection de la vie privée
La présente politique prévoit la création d'une équipe chargée de la sécurité de l'information et de la protection de la vie privée, qui représentera les différentes fonctions de l'entreprise essentielles à la protection des actifs informationnels de Parsable. Cette équipe comprendra systématiquement le RSSI et le responsable de la protection des données, ainsi que des représentants des services suivants :
- Technologie
- Personnes
- Finances / Opérations
- Service client
Ces membres de l'équipe doivent être nommés par le département pour un mandat d'un an et peuvent exercer plusieurs mandats. En cas de départ d’un membre de l’équipe, le département doit nommer un autre membre pour assumer cette fonction. Cette équipe doit désigner chaque année un responsable, autre que le RSSI ou le CPO, chargé de gérer le rythme opérationnel jusqu’à ce qu’un employé à temps plein soit affecté à cette tâche. Cette équipe est tenue de se réunir deux fois par an pour évaluer les risques actuels et examiner les indicateurs de performance clés.
Responsable métier
Chaque système d'information d'entreprise sera placé sous la responsabilité d'un seul responsable métier, chargé de la gestion budgétaire et de la gouvernance du système. Ce responsable peut déléguer l'administration d'une partie ou de l'ensemble du système au service informatique, mais il reste responsable de l'application de la présente politique et des politiques connexes aux systèmes, données et autres ressources d'information qu'il gère.
Responsables des données au niveau des services
Un service peut désigner un ou plusieurs responsables des données chargés de veiller à l'application de la présente politique et des politiques connexes aux systèmes, données et autres ressources d'information placés sous leur responsabilité ou leur contrôle.
Administrateurs système
Les administrateurs système sont chargés de veiller à l'application de la présente politique et des politiques connexes aux systèmes, aux informations et aux autres ressources d'information dont ils ont la charge, sous la direction des responsables des données.
Sous-politiques
Parsable gère des sous-politiques distinctes dans des sous-documents séparés pour les thèmes de sécurité spécifiques :
- Politique de chiffrement acceptable
- Politique d'utilisation acceptable
- Politique de classification des données
- Politique relative aux mots de passe
- Politique de contrôle d'accès
- Politique en matière de journalisation
- Politique de surveillance
- Politique en matière de sensibilisation et de formation à la sécurité
- Politique de sécurité physique
- Supports amovibles
- Politique de sauvegarde et de restauration
- Politique de conservation et d'élimination des documents
- Gestion des fournisseurs tiers
- Continuité d'activité / Reprise après sinistre
- Gestion des vulnérabilités
- Politique de gestion des risques
- Politique de gestion du changement
- Politique de gestion des incidents
- Procédure de recrutement
- Procédure de résiliation
- Procédures de conformité en matière de protection de la vie privée
- Politique relative au télétravail
relatives à l'application de ces règles Cet ensemble de politiques sera appliqué par l'équipe chargée de la sécurité de l'information et/ou l'équipe de direction. Toute infraction peut entraîner des mesures disciplinaires, pouvant aller de la suspension à la restriction d’accès, voire à des sanctions plus sévères pouvant aller jusqu’au licenciement. En cas de suspicion d’activités illégales ou de vol de biens de l’entreprise (matériels ou intellectuels), Parsable se réserve le droit de signaler ces faits aux autorités compétentes. Les prestataires tiers reconnus coupables d’avoir enfreint la présente politique s’exposent à des responsabilités financières, en plus de la résiliation de leur contrat. Les dérogations à la présente politique ne seront autorisées que si elles ont été préalablement approuvées par écrit par le RSSI.