DÉCLARATION DE SÉCURITÉ DES DONNÉES ET DE LA SÉCURITÉ INFORMATIQUE

Les systèmes et données d’ERBESSD INSTRUMENTS® (EI) sont protégés par un programme complet de sécurité de l’information détaillé dans le Système de gestion de la sécurité d’ERBESSD INSTRUMENTS® (EISMS). Des professionnels dédiés à la sécurité, à la confidentialité, à la gouvernance de l’information et à la conformité maintiennent le programme sous la supervision du Conseil d’administration en collaboration avec la haute direction. L’équipe de sécurité d’ERBESSD INSTRUMENTS® effectue des évaluations des risques, des examens réguliers des risques et assure le suivi des risques à l’aide d’un processus documenté de registre des risques.

Le programme de sécurité d’ERBESSD INSTRUMENTS® prend en charge les cadres suivants : NIST Cybersecurity Framework, NIST SP 800-171 pour la protection des informations non classifiées contrôlées dans les systèmes et organisations d’information non fédéraux, le Règlement général sur la protection des données de l’UE (RGPD) et la California Consumer Privacy Act (CCPA).

ERBESSD INSTRUMENTS® a établi des politiques couvrant :

Politiques d’utilisation acceptable

Politiques de sécurité

Contrôles d’accès

Les capacités d’accès et de traitement sont limitées aux utilisateurs et appareils autorisés. Un identifiant utilisateur unique avec un mot de passe complexe est attribué aux utilisateurs autorisés et est requis pour se connecter. Les mots de passe doivent être changés fréquemment. L’authentification à deux facteurs est requise pour l’accès à distance et l’accès aux systèmes cloud. Les fonctions administratives sont facilitées par des comptes privilégiés séparés.

Architecture

EI suit les meilleures pratiques pour le déploiement et la maintenance de ses systèmes et pour les données maintenues dans les centres de données et services cloud d’EI. Les données et systèmes critiques sont répliqués et sauvegardés dans des centres de données secondaires. Les systèmes sont conçus de manière sécurisée et sont examinés par l’équipe de sécurité avant leur mise en production.

Audit

Le programme de sécurité de l’information d’EI est régulièrement audité en interne et en externe sur une base annuelle. EI surveille et audite sa sécurité, sa confidentialité et sa gouvernance de l’information (personnes, processus et contrôles) pour garantir la conformité aux politiques et aux normes de sécurité/confidentialité applicables. EI effectue annuellement un test de pénétration externe indépendant et analyse régulièrement ses réseaux externes et internes à la recherche de vulnérabilités.

Sensibilisation et formation

Les employés d’EI, y compris les contractants disposant d’identifiants de systèmes EI, suivent régulièrement des formations de sensibilisation à la sécurité et reçoivent des exercices de formation anti-hameçonnage. Des bulletins et annonces de sécurité sont partagés tout au long de l’année pour fournir des rappels opportuns de sensibilisation et de formation.

Continuité des activités et reprise après sinistre

EI maintient un plan de continuité des activités et de reprise après sinistre qui est régulièrement revu et testé. Les considérations de continuité et de reprise d’EI comprennent l’utilisation de systèmes à haute disponibilité, de services de sauvegarde, de réplication de données et de centres de données redondants.

Contrôles des données

Les données sont chiffrées au repos et en transit, séparées logiquement, et l’accès est accordé uniquement aux utilisateurs autorisés. Les systèmes de surveillance des fichiers consignent et surveillent l’accès aux données tandis que les systèmes de prévention des pertes de données surveillent le mouvement des données à l’intérieur et à l’extérieur d’EI.

Confidentialité des données

EI est engagée dans la protection et la confidentialité des données. La protection et la gestion des données qui nous sont confiées est l’une de nos priorités les plus élevées. EI suit un modèle d’accès aux moindres privilèges et audite régulièrement les accès individuels aux données. EI respecte le droit à la vie privée des individus et nous travaillons constamment pour rester conformes aux réglementations sur la confidentialité. Notre Politique de confidentialité peut être consultée ici.

Sécurité des terminaux

Les postes de travail et les appareils mobiles sont chiffrés avec un chiffrement intégral du disque et nécessitent un mot de passe, un code PIN ou des données biométriques pour y accéder. Les inventaires de postes de travail, le déploiement de logiciels et les politiques de sécurité sont contrôlés via la gestion de configuration d’entreprise. Les postes de travail, appareils mobiles et serveurs nécessitent un enregistrement auprès du système de gestion des appareils d’EI. Les postes de travail et serveurs sont protégés par une protection avancée des terminaux qui utilise l’IA pour aider à combattre les menaces. Les équipements informatiques dans les bureaux d’EI sont physiquement sécurisés.

Réponse aux incidents

Le plan de réponse aux incidents de sécurité d’EI stipule que les événements de sécurité doivent être évalués et escaladés lorsque cela est approprié. Un système de gestion des informations et des événements de sécurité (SIEM) maintient et analyse les journaux de sécurité. Ce système est surveillé 24h/24 et 7j/7. Les journaux sont régulièrement analysés à la recherche d’activités suspectes et de comportements inhabituels par un personnel de sécurité dédié. Des adhésions à des organisations juridiques, cybernétiques et de pairs sont en place pour faciliter le partage d’informations en temps opportun et les activités de réponse. EI maintient une relation de travail étroite avec ses fournisseurs, les forces de l’ordre et les prestataires de services de sécurité gérés pour des informations supplémentaires sur les menaces, l’analyse et la réponse.

Sécurité périmétrique

EI protège les données, les serveurs et les terminaux sur les réseaux EI et publics en utilisant des contrôles de sécurité de pointe. Ces contrôles comprennent des pare-feux de nouvelle génération, des antivirus/anti-malwares de nouvelle génération, la sécurité web, la sécurité des e-mails et des systèmes de détection d’intrusion. Cela permet à EI de prévenir les attaques réseau malveillantes, l’accès à des sites suspects ou malveillants, de prévenir les e-mails ou pièces jointes malveillants et d’atténuer les attaques zero-day.

Gestion des fournisseurs

ERBESSD INSTRUMENTS® évalue les fournisseurs potentiels selon une série de critères pour garantir des normes de sécurité appropriées avant d’accorder l’accès au système d’un fournisseur ou de mettre des systèmes en service. Les contrats et les accords de traitement des données sont examinés par les équipes Sécurité de l’information, Confidentialité et Juridique avant leur exécution. La posture de sécurité des fournisseurs clés est examinée régulièrement.