Politique de sécurité
1.Objet
L'objet de la présente politique est d'établir les lignes directrices générales ainsi que l'engagement de la Direction afin que l'entreprise assure une gestion adéquate de la sécurité des informations qu'elle traite.
La présente politique constitue le cadre de référence du Système de Management de la Sécurité de l'Information (SMSI), fondé sur la norme ISO 27001, mis en œuvre chez PLENIT, conformément aux exigences du Schéma National de Sécurité espagnol (ENS), du Code de la santé publique français, ainsi que du Code de conduite CISPE (Cloud Infrastructure Services Providers in Europe).
2. Champ d'application et obligations du personnel
La présente politique s'applique à tous les systèmes informatiques de PLENIT ainsi qu'à tous les membres de l'organisation, sans exception.
Tous les membres ont l'obligation de connaître et de respecter la présente Politique de Sécurité de l'Information ainsi que la réglementation de sécurité qui lui est associée.
3. Mission de PLENIT
PLENIT est une plateforme de services cloud dont la mission est de simplifier le cloud computing, en le rendant accessible et abordable pour les entreprises informatiques et, en fin de compte, pour les petites et moyennes entreprises (PME). Son objectif principal est d'améliorer la compétitivité des entreprises technologiques en leur permettant de proposer des services cloud de manière simple et rentable.
La philosophie de PLENIT repose sur trois principes fondamentaux :
- Simplicité : Développer des produits faciles à déployer, à administrer et à maintenir, en réduisant au minimum la complexité du cloud.
- Accessibilité : Créer des solutions accessibles aux entreprises de toutes tailles, en veillant à ce que le cloud ne soit pas réservé aux grandes entreprises.
- Profitability : Optimiser les produits afin que les entreprises informatiques puissent intégrer le cloud comme une composante essentielle et rentable de leur activité.
En outre, PLENIT cherche à devenir la meilleure plateforme cloud pour le canal IT, en proposant des services cloud que les entreprises informatiques peuvent commercialiser sous leur propre marque et selon leur propre politique tarifaire.
Dans cet environnement, la sécurité est essentielle pour PLENIT en raison de son engagement en faveur de la protection des données et de la continuité des activités de ses clients, ce qui exige des normes de sécurité élevées afin de garantir la confiance de ses utilisateurs.
4.Déclaration de la politique de sécurité de l'information
La Politique de Sécurité établit les lignes directrices et les principes définis par Plenit Technology S.L. (ci-après « PLENIT ») afin de garantir la protection des informations ainsi que l'atteinte des objectifs de sécurité définis, assurant ainsi la confidentialité, l'intégrité et la disponibilité des systèmes d'information et, bien entendu, le respect de toutes les obligations légales applicables.
La Direction de PLENIT, consciente de l'importance de la sécurité de l'information dans le cadre professionnel, assume et établit les engagements suivants concernant le Système de Management de la Sécurité de l'Information (SMSI) :
a) Garantir que des objectifs de sécurité de l'information sont définis, toujours en cohérence avec la stratégie de l'entreprise.
b) Garantir que les exigences en matière de sécurité sont intégrées dans les processus de l'organisation.
c) Garantir les ressources nécessaires au système de management.
d) Communiquer l'importance d'une gestion efficace de la sécurité de l'information et conforme aux exigences du système de management de la sécurité de l'information.
e) Garantir que le système de management de la sécurité de l'information atteint les résultats attendus.
f) Diriger et soutenir les personnes afin de contribuer à l'efficacité du système de management de la sécurité de l'information.
g) Promouvoir l'amélioration continue du système de management.
h) Soutenir les rôles concernés afin qu'ils démontrent leur leadership dans leurs domaines de responsabilité.
À cette fin, la Direction veillera à ce que le personnel de PLENIT respecte les réglementations, politiques, procédures et instructions relatives à la sécurité de l'information.
5. Objectifs de sécurité
Au moyen du développement de son Système de Management de la Sécurité de l'Information, PLENIT vise à garantir les objectifs de sécurité suivants :
- Garantir la confidentialité, l'intégrité, la disponibilité, la traçabilité et l'authenticité des informations.
- S'assurer que la sécurité fait partie intégrante de chaque étape du cycle de vie des systèmes, depuis leur conception jusqu'à leur mise hors service.
- Respecter toutes les exigences légales applicables.
- Appliquer les mesures minimales de sécurité exigées par le Schéma National de Sécurité (ENS).
- Disposer d'un plan de continuité permettant de rétablir les processus et les activités à la suite d'un incident dans les plus brefs délais.
- Gérer les risques susceptibles d'avoir un impact sur l'organisation en mettant en place les mécanismes nécessaires à leur maîtrise et à leur amélioration.
- Former et sensibiliser l'ensemble des employés à la sécurité de l'information.
- Répondre aux attentes et aux besoins en matière de sécurité des clients, des employés, des fournisseurs, de la Direction et des autres parties intéressées.
- Tous les employés seront informés de leurs fonctions et obligations en matière de sécurité et sont responsables de leur respect.
- Veiller à ce que les départements soient préparés à prévenir, détecter, réagir et se rétablir en cas d'incidents.
- Assurer une gestion appropriée de tous les incidents survenus.
- Améliorer en permanence le SMSI et, par conséquent, la sécurité de l'information de l'organisation.
6. Objectifs de sécurité HDS
En particulier, dans le cadre de la certification HDS (Hébergeur de Données de Santé), concernant les données de santé susceptibles d'être hébergées par nos partenaires, les objectifs spécifiques suivants sont établis :
- Garantir la confidentialité des données de santé hébergées au sein des services HDS, notamment en mettant en œuvre des méthodes, des processus et des politiques appropriés afin de :
- Réglementer l'accès aux données personnelles de santé hébergées ainsi qu'aux ressources HDS sur lesquelles ces données sont stockées.
- Prévenir, identifier et corriger les vulnérabilités, ainsi que limiter le risque d'accès non autorisé aux données de santé et aux ressources HDS.
- Effacer ou supprimer les données de santé à la fin des services (avant de réaffecter les ressources à un autre client) ainsi qu'à la fin du cycle de vie de l'infrastructure matérielle.
- Garantir la disponibilité et l'intégrité des données de santé hébergées au sein des services, notamment en :
- Définissant et partageant avec les clients des objectifs de niveau de service appropriés (notamment en ce qui concerne la disponibilité des services, le délai de réponse aux demandes des clients et le délai de traitement des incidents identifiés ayant un impact sur la disponibilité des services HDS).
- Mettant en œuvre l'organisation et les procédures nécessaires, en particulier au sein des équipes Support et Produits, afin d'atteindre les objectifs de niveau de service.
- Mettant en œuvre et en testant un plan de continuité des services adapté afin de remédier à toute défaillance dans la prestation des services.
- Garantissant la disponibilité des clés de chiffrement lorsque PLENIT fournit au client des fonctionnalités de chiffrement des données de santé.
- Garantissant la disponibilité et l'intégrité des sauvegardes lorsque PLENIT fournit des services de sauvegarde de données de santé à ses clients.
- Permettre aux clients d'utiliser les services de manière appropriée et sécurisée, notamment en :
- Fournissant une documentation claire et accessible sur les services, ainsi que les conditions générales d'utilisation, présentant les caractéristiques des services, les spécifications techniques et la répartition des tâches et des responsabilités entre PLENIT et les clients.
- Veillant à ce que l'équipe de support de PLENIT soit informée des processus et des conditions spécifiques aux services HDS.
7. Organisation de la sécurité
Comité de sécurité
Afin d'assurer le bon fonctionnement du Système de Management et de satisfaire aux objectifs et exigences établis, la Direction de PLENIT a désigné un Responsable du SMSI ainsi qu'un Comité de Sécurité chargé de veiller au respect des lignes directrices définies par la présente politique.
Le Comité exerce les fonctions suivantes :
- Approuver les politiques de sécurité de l'information et vérifier leur conformité.
- Prendre connaissance des résultats des audits du système et les examiner, ainsi que des incidents significatifs de sécurité de l'information.
- Attribuer les rôles spécifiques et les responsables du Système de Sécurité de l'Information, ainsi que leur communiquer leurs fonctions.
- Adopter les mesures nécessaires afin de garantir que le personnel connaisse les procédures de sécurité ayant une incidence sur l'exercice de ses fonctions ainsi que les conséquences pouvant découler de leur non-respect.
- Veiller à ce que les besoins en matière de sécurité de l'information aient été identifiés et intégrés de manière appropriée dans les processus pertinents de l'organisation.
- Approuver les objectifs de sécurité, en veillant à ce qu'ils soient mesurables et qu'ils disposent de responsabilités, de ressources et de délais définis.
- Fournir toutes les ressources nécessaires à la mise en œuvre de la Sécurité de l'Information.
- Fournir une base stratégique et cohérente pour la prise de décisions permettant de réduire ou d'atténuer les risques à des niveaux acceptables pour l'entreprise, ses clients et ses investisseurs.
- Garantir le suivi approprié et le traitement des risques identifiés, conformément au processus de gestion des risques.
8. Rôles : Fonctions et responsabilités
Données à caractère personnel
PLENIT traite des données à caractère personnel, qui sont recensées dans le Registre des Activités de Traitement (RAT), ainsi que les responsables correspondants. Tous les systèmes d'information seront conformes aux niveaux de sécurité exigés par la réglementation applicable à la nature et à la finalité des données à caractère personnel collectées.
Les conflits entre les différentes personnes, unités ou organes responsables composant la structure organisationnelle de la politique de sécurité de l'information seront résolus par leur supérieur hiérarchique commun, qui pourra consulter au préalable le Comité de Sécurité de l'Information. En cas de conflit, les décisions du Comité de Sécurité de l'Information prévaudront.
Le rôle de Responsable de la Sécurité de l'Information sera assuré par le CISO / Head of Security ou, dans le cas où le poste serait vacant, la désignation sera effectuée sur proposition du Comité de Sécurité.
9. Procédure de désignation
Le rôle de Responsable du Système sera assuré par le Head of Operations ou, dans le cas où le poste serait vacant, la désignation sera effectuée sur proposition du Comité parmi les départements Ingénierie / Opérations ou Infrastructure.
10. Cadre réglementaire
- Ce cadre réglementaire sera révisé au moins une fois par an avec le département juridique, ou à chaque publication d'une modification significative au BOE, dans les bulletins officiels des Communautés autonomes, sur les sites officiels des administrations publiques ou en cas d'alerte pertinente.Ce cadre réglementaire sera révisé au moins une fois par an avec le département juridique, ou à chaque publication d'une modification significative au BOE, dans les bulletins officiels des Communautés autonomes, sur les sites officiels des administrations publiques ou en cas d'alerte pertinente.
- Règlement Général sur la Protection des Données (RGPD) – Règlement (UE) 2016/679 relatif à la protection des données à caractère personnel et à la libre circulation de ces données.
- Règlement européen sur l'Intelligence Artificielle (AI Act), approuvé par le Parlement européen le 13 mars 2024 et par le Conseil de l'Union européenne le 21 mai 2024.
- Loi Organique relative à la Protection des Données et à la Garantie des Droits Numériques (LOPDGDD) – Loi Organique 3/2018, alignée sur le RGPD et la réglementation européenne en matière de protection des données.
- Le Code de conduite CISPE renforce la protection des données dans le contexte des services cloud en Europe.
- Directive (UE) 2022/2555 (NIS2) – Directive européenne sur la cybersécurité, en attente de transposition dans la législation nationale, dans le cadre de l'avant-projet de Loi de Coordination et de Gouvernance de la Cybersécurité.
- Code de la santé publique français – Cadre législatif régissant l'organisation du système de santé, la sécurité sanitaire et la protection des données de santé en France dans le cadre de la certification HDS.
- Décret Royal 311/2022 du 3 mai, qui réglemente le Schéma National de Sécurité (ENS).
- Loi sur la Protection Juridique des Logiciels – Loi 16/1993, qui protège les logiciels et lutte contre le piratage informatique.
- Loi sur la Propriété Intellectuelle – Décret législatif royal 1/1996, qui protège les droits relatifs aux logiciels et réglemente leur exploitation.
- Règlement eIDAS – Règlement (UE) 910/2014 relatif à l'identification électronique et aux services de confiance pour les transactions électroniques.
- Loi sur les Services de la Société de l'Information et le Commerce Électronique (LSSI-CE) – Loi 34/2002, qui réglemente le commerce électronique et les services numériques.
- Lois relatives à la Propriété Industrielle – Réglementation relative aux dessins et modèles industriels, aux marques, aux brevets et aux modèles d'utilité (Loi 17/2001, Loi 24/2015 et Loi 3/1991).
- Loi sur la Prévention des Risques Professionnels (PRL) – Loi 31/1995, applicable en matière de sécurité et de santé au travail.
- Règlement Général sur la Protection des Données (RGPD) – Règlement (UE) 2016/679 relatif à la protection des données à caractère personnel et à la libre circulation de ces données.
- Loi Organique relative à la Protection des Données et à la Garantie des Droits Numériques (LOPDGDD) – Loi Organique 3/2018, alignée sur le RGPD et la réglementation européenne en matière de protection des données.
- Directive (UE) 2022/2555 (NIS2) – Directive européenne sur la cybersécurité, en attente de transposition dans la législation nationale, dans le cadre de l'avant-projet de Loi de Coordination et de Gouvernance de la Cybersécurité.
- Décret Royal 311/2022 du 3 mai, qui réglemente le Schéma National de Sécurité (ENS).
- Loi sur la Propriété Intellectuelle – Décret législatif royal 1/1996, qui protège les droits relatifs aux logiciels et réglemente leur exploitation.
- Loi sur les Services de la Société de l'Information et le Commerce Électronique (LSSI-CE) – Loi 34/2002, qui réglemente le commerce électronique et les services numériques.
- Loi sur la Prévention des Risques Professionnels (PRL) – Loi 31/1995, applicable en matière de sécurité et de santé au travail.
- Lois relatives à la Propriété Industrielle – Réglementation relative aux dessins et modèles industriels, aux marques, aux brevets et aux modèles d'utilité (Loi 17/2001, Loi 24/2015 et Loi 3/1991).
- Règlement eIDAS – Règlement (UE) 910/2014 relatif à l'identification électronique et aux services de confiance pour les transactions électroniques.
- Loi sur la Protection Juridique des Logiciels – Loi 16/1993, qui protège les logiciels et lutte contre le piratage informatique.
- Code de la santé publique français – Cadre législatif régissant l'organisation du système de santé, la sécurité sanitaire et la protection des données de santé en France dans le cadre de la certification HDS.
- Le Code de conduite CISPE renforce la protection des données dans le contexte des services cloud en Europe.
- Règlement européen sur l'Intelligence Artificielle (AI Act), approuvé par le Parlement européen le 13 mars 2024 et par le Conseil de l'Union européenne le 21 mai 2024.
11. Gestion des risques
Tous les systèmes soumis à la présente Politique devront faire l'objet d'une analyse des risques, évaluant les menaces et les risques auxquels ils sont exposés. Cette analyse sera renouvelée :
- régulièrement, au moins une fois par an, lorsque les informations traitées évoluent ;
- lorsque les services fournis sont modifiés ;
- lorsqu'un incident majeur de sécurité survient ;
- lorsque des vulnérabilités critiques sont signalées.
Afin d'harmoniser les analyses de risques, une évaluation de référence est établie pour les différents types d'informations traitées ainsi que pour les différents services fournis. Le Comité de Sécurité favorisera la mise à disposition des ressources nécessaires pour répondre aux besoins de sécurité des différents systèmes, en encourageant des investissements de nature transversale.
12. Structuration de la documentation de sécurité
La Politique de Sécurité de l'Information est structurée selon les niveaux hiérarchiques suivants :
- Premier niveau : Politique de Sécurité de l'Information, contenue dans le présent document, révisée et approuvée par le Comité de Sécurité et signée par le CEO.
- Deuxième niveau : Réglementation de Sécurité de l'Information, également révisée et approuvée par le Comité de Sécurité et signée par le CEO.
- Troisième niveau : Procédures et Instructions Techniques de Sécurité de l'Information. Documents techniques et contrôles destinés à traiter les tâches liées à la sécurité des systèmes, régis par le SMSI.
- Quatrième niveau : Rapports, registres et preuves électroniques à caractère technique, publiés dans nos systèmes de gestion documentaire.
13. Révision de la Politique de Sécurité de l'Information
La politique de sécurité de l'information, au même titre que les processus du Système de Management, est révisée régulièrement à des intervalles planifiés ou lorsqu'interviennent des changements significatifs, afin d'en garantir en permanence la pertinence, l'efficacité et l'efficience. De manière générale, elle est révisée chaque année dans le cadre du processus d'audit interne du SMSI.
Des procédures de surveillance sont mises en place afin de fournir des informations sur le bon fonctionnement du SMSI.
La Direction joue également un rôle essentiel dans la révision du système, en réalisant une analyse approfondie de celui-ci et en identifiant les améliorations et les insuffisances éventuelles.
14. Communication de la Politique de Sécurité de l'Information
La politique du système de management est communiquée lors de l'intégration des collaborateurs, dans le cadre des formations de sensibilisation et en interne par courrier électronique et/ou par l'intermédiaire des canaux de communication de l'entreprise.
La déclaration de la présente politique restera accessible aux parties intéressées externes à PLENIT grâce à sa publication sur le site web dans un document partagé.
15. Réglementation et aspects spécifiques de la Sécurité de l'Information
La présente Politique sera complétée par une Réglementation de Sécurité traitant des aspects spécifiques de la sécurité de l'information. Cette réglementation est mise à la disposition de tous les membres de l'organisation, en particulier de ceux qui utilisent, exploitent ou administrent les systèmes d'information et de communication.