Cenareo s’engage à protéger la confidentialité, l’intégrité et la disponibilité des données tout au long de leur cycle de vie. Cette politique de protection des données décrit les mesures techniques et organisationnelles mises en place par Cenareo pour sécuriser les données de ses clients qui lui sont confiées.

‍

En mettant en œuvre ces contrôles de protection des données et en favorisant une culture de sensibilisation à la sécurité, nous nous efforçons de garantir à nos clients le plus haut niveau d’assurance quant à la sécurité et la confidentialité de leurs données. Cette politique sera révisée et mise à jour régulièrement afin de refléter les évolutions technologiques, les menaces de sécurité et les exigences réglementaires.

‍

Responsabilités

• Direction : Fournit les ressources et le soutien nécessaires à la mise en œuvre et au maintien des contrôles de protection des données.
• Équipe de sécurité informatique : Possède et gère les contrôles techniques, veille à leur efficacité et à leur mise à jour régulière.
• Tous les employés : Doivent respecter les politiques et procédures de sécurité des données, y compris les pratiques de gestion des données et le signalement des incidents de sécurité présumés.

‍

Contrôles d'accès

• Authentification Multi-Facteurs (MFA) : Cenareo impose l’authentification multi-facteurs pour tout accès aux systèmes contenant des données clients. Cela combine plusieurs facteurs (mot de passe, jeton de sécurité, biométrie) pour vérifier l’identité des utilisateurs.
• Principe du moindre privilège : Les droits d’accès sont accordés selon le principe du moindre privilège, c’est-à-dire seulement les permissions strictement nécessaires à l’accomplissement des tâches.
• Journalisation et surveillance des accès : Toutes les tentatives d’accès aux données des clients sont enregistrées et surveillées pour détecter toute activité suspecte.

‍

Accès au réseau Wi-Fi

• Accès restreint : Le réseau Wi-Fi est protégé par des mécanismes de contrôle d’accès, incluant notamment le chiffrement WPA2 avec des mots de passe forts ou des clés prépartagées.
• Réseau invité : Un réseau invité distinct peut être proposé aux visiteurs ou appareils n’ayant pas besoin d’accéder aux données clients. Ce réseau est logiquement séparé du réseau principal et offre un accès limité aux ressources internes.

‍

Enregistrement des appareils

• Appareils autorisés : Seuls les appareils autorisés et enregistrés auprès du service informatique peuvent se connecter au réseau Wi-Fi, permettant leur contrôle et suivi.
• Exigences de sécurité : Les appareils enregistrés doivent répondre à des exigences minimales (système à jour, antivirus, pare-feu).

‍

Authentification Multi-Facteurs (MFA)

• MFA obligatoire : Tous les appareils accédant aux ressources contenant des données clients, qu’ils soient connectés en filaire ou Wi-Fi, doivent utiliser la MFA.
• Enrôlement MFA : Tous les utilisateurs autorisés à accéder aux données doivent enregistrer leurs appareils dans le système MFA et suivre les procédures établies.

‍

Protocoles de sécurité

Nous imposons l'utilisation de protocoles sécurisés tels que HTTPS pour la navigation sur le web, les protocoles de transfert de fichiers sécurisés (SFTP) pour les transferts de données sur le réseau Wi-Fi et SSH (Secure Shell) pour l'accès à distance. Ces protocoles cryptent les données en transit, les protégeant ainsi contre l'écoute ou la falsification.‍

‍

Protocoles de cryptage approuvés

• AES (Advanced Encryption Standard) : Algorithme de cryptage symétrique largement adopté et considéré comme sûr pour la plupart des applications. Il existe en différentes longueurs de clé (128 bits, 192 bits, 256 bits), la clé de 256 bits étant la plus puissante.
• RSA (Rivest-Shamir-Adleman) : Algorithme de cryptage asymétrique utilisé pour la cryptographie à clé publique. Il est généralement considéré comme sûr pour l'échange de clés et les signatures numériques lorsqu'il est mis en œuvre avec des longueurs de clés appropriées (au moins 2048 bits)
• ‍TLS (Transport Layer Security) : Successeur de SSL, TLS sécurise la communication entre les applications sur un réseau. Il utilise une combinaison de chiffrement symétrique et asymétrique pour garantir la confidentialité et l'intégrité des données. Les versions 1.2 et 1.3 sont considérées comme sûres. (Remarque : les versions antérieures de TLS (par exemple, 1.0 et 1.1) sont obsolètes en raison de vulnérabilités).

• SSH (Secure Shell) : Protocole sécurisé pour l'accès à distance aux systèmes informatiques. Il utilise un cryptage puissant pour protéger l'authentification de l'utilisateur et le transfert de données.

‍

Protocoles de cryptage obsolètes :

• DES (Data Encryption Standard) : un ancien algorithme de cryptage symétrique qui n'est plus considéré comme sûr pour la plupart des applications en raison de la courte longueur de sa clé (56 bits).
• RC4 (Rivest Cipher 4) : il s'agit d'un algorithme de chiffrement de flux qui était autrefois largement utilisé mais qui présente des faiblesses connues. Son utilisation est fortement déconseillée en raison de ses faiblesses en matière de sécurité
• MD5 (Message-Digest Algorithm 5) : : fonction de hachage cryptographique utilisée pour la vérification de l'intégrité des données. Cependant, MD5 n'est plus considéré comme résistant aux collisions et ne devrait pas être utilisé pour les nouvelles implémentations de sécurité
• SHA-1 (Secure Hash Algorithm 1) : une autre fonction de hachage cryptographique présentant des vulnérabilités. Bien qu'il ne soit pas complètement cassé, SHA-1 n'est plus recommandé pour les nouvelles applications et devrait être remplacé par des variantes SHA-2 ou SHA-3
• SSL (Secure Sockets Layer) : le prédécesseur de TLS, SSL, présente des vulnérabilités connues et n'est plus considéré comme sûr.

‍

Activités interdites

• Accès non autorisé : l'utilisation du réseau Wi-Fi pour des tentatives d'accès non autorisé aux données des clients ou à d'autres ressources restreintes est strictement interdite.
• Activité malveillante : toute activité sur le réseau Wi-Fi susceptible de compromettre la sécurité du réseau ou d'introduire des logiciels malveillants est strictement interdite. Il s'agit notamment d'activités telles que le partage non autorisé de fichiers, les applications peer-to-peer ou l'exécution de scanners de réseau.

‍

Segmentation du réseau :

• Pare-feu : nous mettons en place des pare-feu pour segmenter notre réseau et restreindre l'accès non autorisé aux ressources contenant les données des clients. Les pare-feu agissent comme des barrières, ne permettant que le trafic autorisé sur la base de politiques de sécurité prédéfinies.
• Zone démilitarisée (DMZ) : le cas échéant, nous utilisons une DMZ pour isoler de l'internet public les systèmes très sensibles contenant les données des clients. La DMZ agit comme une zone tampon contrôlée, minimisant la surface d'attaque des systèmes critiques.
• LAN virtuels (VLAN) : nous pouvons mettre en œuvre des VLAN pour segmenter davantage le réseau et séparer logiquement les flux de trafic. La communication entre les différents segments du réseau est ainsi restreinte, ce qui renforce la sécurité des données.

‍

Systèmes de détection et de prévention des intrusions (IDS/IPS)

Cenareo prévoit de déployer des systèmes IDS/IPS pour surveiller le trafic réseau à la recherche d'activités suspectes et de menaces potentielles pour la sécurité. Ces systèmes peuvent détecter et bloquer les tentatives malveillantes d'accès aux données des clients.

‍

Contrôle d'accès au réseau (NAC) :

Cenareo prévoit de mettre en œuvre le système NAC pour appliquer les politiques de sécurité sur les appareils qui tentent de se connecter au réseau. Le NAC s'assure que les appareils répondent à des exigences de sécurité spécifiques (par exemple, systèmes d'exploitation mis à jour et logiciels antivirus) avant d'autoriser l'accès au réseau. Cela permet d'éviter que des appareils compromis n'accèdent aux données des clients.

‍

Gestion de la vulnérabilité :

Cenareo maintient un programme complet de gestion des vulnérabilités afin d'identifier, de prioriser et de remédier aux vulnérabilités des appareils et des logiciels du réseau. Cette approche proactive minimise le risque que des attaquants exploitent les vulnérabilités pour obtenir un accès non autorisé aux données des clients.

‍

Surveillance et enregistrement du réseau :

Nous surveillons en permanence l'activité du réseau pour détecter les comportements suspects et les incidents de sécurité. Les journaux du réseau sont collectés et analysés afin d'identifier les menaces potentielles et d'enquêter sur les tentatives d'accès non autorisé.

‍

Séparation des données

• Séparation des clients : nous mettons en œuvre une séparation logique et, si possible, physique de l'environnement de traitement des données du client par rapport aux autres données du client. Cette séparation minimise le risque d'accès non autorisé ou de contamination croisée.
• Séparation de la production et de la non-production : nous séparons logiquement les environnements de production où les données du client sont traitées des environnements de non-production tels que le développement ou les tests. Cela garantit l'intégrité des données et empêche tout accès non autorisé à partir des systèmes de non-production.

‍

Cryptage

• Cryptage des données au repos : toutes les données du client contenues dans nos systèmes sont cryptées au repos à l'aide d'algorithmes standard.
• Cryptage des données en transit : nous utilisons les protocoles de cryptage TLS/SSL pour sécuriser les transferts de données contenant les données des clients sur les réseaux publics. Les données sont ainsi protégées contre toute interception non autorisée pendant la transmission.

‍

Gestion des clés

Nous appliquons des procédures et des processus robustes de gestion des clés, notamment :

• La génération et l'activation sécurisées des clés.
• Des calendriers de rotation des clés et des politiques d'expiration définis.
• Le stockage sécurisé des clés de chiffrement avec des contrôles d'accès restreints.
• Des révisions et des mises à jour régulières des pratiques de gestion des clés.

‍

Destruction des données

Cenareo applique un processus standardisé pour la destruction sécurisée des anciens supports contenant les données du client. Ce processus comprend la destruction physique ou l'écrasement sécurisé des données pour s'assurer qu'elles sont irrécupérables. Ce processus comprend la destruction physique ou l'écrasement sécurisé des données pour s'assurer qu'elles sont irrécupérables.

À la fin de la durée du contrat, nous détruisons en toute sécurité les données du client selon une procédure documentée. Cela peut impliquer la suppression sécurisée, l'écrasement ou la destruction physique des supports.‍

‍

Prévention de la perte de données

Cenareo met en œuvre des solutions DLP sur les points finaux, les serveurs de messagerie, les proxies web et les services web pour détecter et prévenir les fuites potentielles de données des clients. Les solutions DLP recherchent des modèles de données sensibles et appliquent des politiques pour limiter l'exfiltration non autorisée de données.