Normes de sécurité de l'information de Testlify

1. Introduction

Ce document présente les normes de sécurité de l'information de Testlify, une entreprise de logiciels engagée à protéger ses actifs informationnels. Ces normes visent à garantir la confidentialité, l'intégrité et la disponibilité des données, et à soutenir la conformité aux lois et réglementations applicables.

2. Objectifs de sécurité de l'information

• Protéger les actifs informationnels de l'entreprise contre tout accès, divulgation, altération ou destruction non autorisés.
• Garantir la confidentialité, l'intégrité et la disponibilité de l'information.
• Respecter les obligations légales, réglementaires et contractuelles.
• Promouvoir une culture de vigilance en matière de sécurité au sein de l'organisation.

3. Périmètre

Ces normes s'appliquent à l'ensemble des salariés, prestataires et fournisseurs de services tiers ayant accès aux systèmes d'information et aux données de Testlify.

4. Rôles et responsabilités en sécurité de l'information

5. Normes de gestion des risques

• Réaliser régulièrement des évaluations des risques afin d'identifier et d'évaluer les menaces pesant sur les actifs informationnels.
• Documenter et maintenir les plans de traitement des risques.
• Mettre en place des contrôles pour atténuer les risques identifiés.
• Réexaminer et actualiser les processus de gestion des risques chaque année ou lors de changements importants.

6. Normes de classification et de traitement de l'information

7. Normes de contrôle d'accès

• Mettre en place un contrôle d'accès basé sur les rôles (RBAC) afin de restreindre l'accès aux systèmes d'information selon la fonction occupée.
• Utiliser des méthodes d'authentification fortes, comme l'authentification multifacteur (MFA), pour accéder aux systèmes critiques.
• Réexaminer et actualiser régulièrement les autorisations d'accès.
• Appliquer le principe du moindre privilège en n'accordant aux salariés que l'accès minimal nécessaire à leurs missions.

8. Normes de protection des données

• Veiller à ce que toutes les données soient sauvegardées régulièrement et stockées de manière sécurisée.
• Chiffrer les données au repos et en transit.
• Mettre en place des mesures de prévention des pertes de données (DLP) contre l'exfiltration non autorisée de données.
• Réaliser régulièrement des contrôles d'intégrité des données afin d'en garantir l'exactitude et l'exhaustivité.

9. Normes de gestion des incidents

• Établir et maintenir un plan de réponse aux incidents (IRP).
• Former les salariés aux procédures de signalement et de réponse aux incidents.
• Documenter et instruire tous les incidents de sécurité.
• Réaliser une analyse post-incident afin d'identifier les causes profondes et d'améliorer les mesures de sécurité.

10. Normes de continuité d'activité et de reprise après sinistre

• Élaborer et maintenir un plan de continuité d'activité (BCP) et un plan de reprise après sinistre (DRP).
• Assurer des tests et des mises à jour réguliers du BCP et du DRP.
• Conserver des sauvegardes hors site des systèmes et données critiques.
• Définir des objectifs de délai de reprise (RTO) et de point de reprise (RPO) pour les systèmes critiques.

11. Normes de sécurité physique

• Contrôler l'accès aux locaux de l'entreprise au moyen de cartes d'accès ou de systèmes biométriques.
• Installer des caméras de surveillance et des alarmes de sécurité afin de surveiller et de protéger les actifs physiques.
• Sécuriser les supports physiques contenant des informations sensibles dans des zones de stockage verrouillées.
• Mettre en place des contrôles environnementaux, tels que des systèmes d'extinction d'incendie, pour se protéger des menaces physiques.

12. Normes de conformité et exigences légales

• Garantir la conformité aux lois, réglementations et normes sectorielles applicables.
• Réaliser des audits réguliers afin de vérifier la conformité aux normes établies.
• Conserver les enregistrements des activités et des constats de conformité.
• Mettre en œuvre des actions correctives pour remédier aux manquements de conformité.

13. Normes de sensibilisation et de formation à la sécurité

• Proposer à tous les salariés une formation régulière de sensibilisation à la sécurité.
• Actualiser les supports de formation pour refléter les dernières tendances et menaces en matière de sécurité.
• Évaluer l'efficacité des programmes de formation au moyen de tests et de simulations.
• Encourager une culture de vigilance en matière de sécurité et le signalement proactif des problèmes de sécurité.

14. Révision et maintenance des normes

• Réexaminer et actualiser les normes de sécurité de l'information chaque année ou lors de changements importants.
• Communiquer les mises à jour à tous les salariés et aux parties prenantes.
• Assurer l'amélioration continue du programme de sécurité de l'information.