Centre de confiance
Contrôles
Sécurité de l’infrastructure
- Inconnu: Authentification unique imposée pour les bases de données de productionL’entreprise exige que l’accès aux magasins de données de production utilise des mécanismes d’authentification sécurisés et autorisés, comme des clés SSH uniques.
- Inconnu: Accès aux clés de chiffrement restreintL’entreprise limite l’accès privilégié aux clés de chiffrement aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Authentification de compte unique imposéeL’entreprise exige que l’accès aux systèmes et aux applications utilise un nom d’utilisateur et un mot de passe uniques ou des clés SSH (Secure Socket Shell) autorisées.
- Inconnu: Accès aux applications de production restreintL’accès au système est limité aux accès autorisés.
- Inconnu: Procédures de contrôle d’accès établiesLa politique de contrôle d’accès de l’entreprise documente les exigences des fonctions suivantes : ajout de nouveaux utilisateurs, modification d’utilisateurs et/ou retrait de l’accès d’un utilisateur existant.
- Inconnu: Accès aux bases de données de production restreintL’entreprise limite l’accès privilégié aux bases de données aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Accès au système d’exploitation de production restreintL’entreprise limite l’accès privilégié au système d’exploitation aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Accès au réseau de production restreintL’entreprise limite l’accès privilégié au réseau de production aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Authentification unique imposée pour les systèmes réseauL’entreprise exige que l’accès au réseau de production utilise des noms d’utilisateur et des mots de passe uniques ou des clés SSH (Secure Socket Shell) autorisées.
- Inconnu: MFA imposée pour l’accès à distanceSeuls les employés autorisés disposant d’une méthode d’authentification multifacteur (MFA) valide peuvent accéder à distance aux systèmes de production de l’entreprise.
- Inconnu: Chiffrement imposé pour l’accès à distanceSeuls les employés autorisés peuvent accéder à distance aux systèmes de production de l’entreprise, et uniquement par une connexion chiffrée approuvée.
Sécurité organisationnelle
- Inconnu: Technologie anti-malware utiliséeL’entreprise déploie une technologie anti-malware dans les environnements exposés aux attaques malveillantes et la configure pour qu’elle soit mise à jour régulièrement, journalisée et installée sur tous les systèmes concernés.
- Inconnu: Vérification des antécédents des employés effectuéeL’entreprise vérifie les antécédents des nouveaux employés.
- Inconnu: Accord de confidentialité signé par les employésL’entreprise exige que les employés signent un accord de confidentialité lors de leur intégration.
- Inconnu: Procédures pour les visiteurs appliquéesL’entreprise exige que les visiteurs s’enregistrent, portent un badge visiteur et soient accompagnés par un employé autorisé lorsqu’ils accèdent au centre de données ou aux zones sécurisées.
Sécurité du produit
- Inconnu: Chiffrement des données utiliséLes magasins de données de l’entreprise contenant des données clients sensibles sont chiffrés au repos.
- Inconnu: Autoévaluations des contrôles réaliséesL’entreprise évalue elle-même ses contrôles au moins une fois par an pour s’assurer qu’ils sont en place et fonctionnent efficacement. Des actions correctives sont menées selon les constats pertinents. Si l’entreprise s’est engagée sur un SLA pour un constat, l’action corrective est réalisée dans ce délai.
- Inconnu: Tests d’intrusion réalisésL’entreprise réalise des tests d’intrusion au moins une fois par an. Un plan de remédiation est élaboré et des changements sont mis en œuvre pour corriger les vulnérabilités conformément aux SLA.
- Inconnu: Procédures de gestion des vulnérabilités et de supervision établiesLes politiques formelles de l’entreprise définissent les exigences des fonctions suivantes liées à l’informatique et à l’ingénierie : gestion des vulnérabilités et supervision des systèmes.
Procédures de sécurité internes
- Inconnu: Plans de continuité et de reprise après sinistre établisL’entreprise dispose de plans de continuité d’activité et de reprise après sinistre qui prévoient des plans de communication afin de maintenir la continuité de la sécurité de l’information en cas d’indisponibilité du personnel clé.
- Inconnu: Plans de continuité et de reprise après sinistre testésL’entreprise dispose d’un plan documenté de continuité d’activité et de reprise après sinistre (BC/DR) et le teste au moins une fois par an.
- Inconnu: Assurance cybersécurité souscriteL’entreprise dispose d’une assurance cybersécurité pour limiter l’impact financier des interruptions d’activité.
- Inconnu: Système de gestion de la configuration établiL’entreprise dispose d’une procédure de gestion de la configuration qui garantit un déploiement cohérent des configurations système dans tout l’environnement.
- Inconnu: Cycle de développement établiL’entreprise dispose d’une méthodologie formelle de cycle de vie du développement des systèmes (SDLC) qui régit le développement, l’acquisition, la mise en œuvre, les changements (y compris d’urgence) et la maintenance des systèmes d’information et des exigences technologiques associées.
- Inconnu: SOC 2 – Description du systèmeRédiger une description du système pour la section III du rapport d’audit
- Inconnu: Politique de lancement d’alerte établieL’entreprise a formalisé une politique de lancement d’alerte et met à disposition un canal de communication anonyme pour signaler d’éventuels problèmes ou soupçons de fraude.
- Inconnu: Points de supervision du conseil réalisésLa direction informe le conseil d’administration, ou un comité compétent, au moins une fois par an de l’état des risques de cybersécurité et de confidentialité de l’entreprise. Le conseil donne son avis et ses orientations à la direction si nécessaire.
- Inconnu: Charte du conseil documentéeLe conseil d’administration de l’entreprise dispose d’une charte documentée qui définit ses responsabilités de supervision du contrôle interne.
- Inconnu: Expertise du conseil développéeLes membres du conseil disposent d’une expertise suffisante pour superviser la capacité de la direction à concevoir, mettre en œuvre et exploiter des contrôles de sécurité de l’information. Le conseil fait appel à des experts et consultants externes en sécurité de l’information si nécessaire.
- Inconnu: Réunions du conseil tenuesLe conseil d’administration se réunit au moins une fois par an et tient des procès-verbaux formels. Il compte des administrateurs indépendants de l’entreprise.
- Inconnu: Processus de sauvegarde établisLa politique de sauvegarde de l’entreprise documente les exigences de sauvegarde et de restauration des données clients.
- Inconnu: Changements système communiqués à l’externeL’entreprise informe ses clients des changements système critiques susceptibles d’affecter leurs traitements.
- Inconnu: Rôles et responsabilités de la direction définisLa direction de l’entreprise a défini des rôles et des responsabilités pour superviser la conception et la mise en œuvre des contrôles de sécurité de l’information.
- Inconnu: Rôles et responsabilités définisLes rôles et responsabilités liés à la conception, au développement, à la mise en œuvre, à l’exploitation, à la maintenance et à la supervision des contrôles de sécurité de l’information sont formellement attribués dans les fiches de poste ou la politique des rôles et responsabilités.
- Inconnu: Politiques de sécurité établies et revuesLes politiques et procédures de sécurité de l’information de l’entreprise sont documentées et revues au moins une fois par an.
- Inconnu: Système de support disponibleL’entreprise dispose d’un système de support externe qui permet aux utilisateurs de signaler au personnel compétent les pannes, incidents, préoccupations et autres réclamations.
- Inconnu: Changements système communiquésL’entreprise communique les changements système aux utilisateurs internes autorisés.
- Inconnu: Demandes d’accès requisesL’entreprise s’assure que l’accès des utilisateurs aux composants du système dans le périmètre repose sur leur poste et leur fonction, ou nécessite une demande d’accès documentée et l’approbation d’un responsable avant d’être accordé.
- Inconnu: Politiques de réponse aux incidents établiesL’entreprise dispose de politiques et de procédures documentées de réponse aux incidents de sécurité et de confidentialité, communiquées aux utilisateurs autorisés.
- Inconnu: Procédures de gestion des incidents suiviesLes incidents de sécurité et de confidentialité de l’entreprise sont consignés, suivis, résolus et communiqués aux parties concernées par la direction, conformément à sa politique et à ses procédures de réponse aux incidents de sécurité.
- Inconnu: Processus d’accès physique établisL’entreprise dispose de processus pour accorder, modifier et révoquer l’accès physique à ses centres de données, sur autorisation des responsables des contrôles.
- Inconnu: Accès au centre de données revuL’entreprise revoit l’accès aux centres de données au moins une fois par an.
- Inconnu: Engagements de l’entreprise communiqués à l’externeLes engagements de sécurité de l’entreprise sont communiqués aux clients dans les contrats-cadres de services (MSA) ou les conditions d’utilisation (TOS).
- Inconnu: Ressources de support externe disponiblesL’entreprise fournit à ses clients des guides et des ressources de support technique sur l’exploitation du système.
- Inconnu: Description du service communiquéeL’entreprise fournit une description de ses produits et services aux utilisateurs internes et externes.
- Inconnu: Objectifs de l’évaluation des risques définisL’entreprise définit ses objectifs afin de permettre l’identification et l’évaluation des risques qui s’y rapportent.
- Inconnu: Évaluations des risques réaliséesL’entreprise réalise des évaluations des risques au moins une fois par an. Les menaces et les changements (environnementaux, réglementaires et technologiques) touchant les engagements de service y sont identifiés, et les risques sont formellement évalués. L’évaluation prend en compte le risque de fraude et son impact possible sur l’atteinte des objectifs.
- Inconnu: Programme de gestion des risques établiL’entreprise dispose d’un programme documenté de gestion des risques qui guide l’identification des menaces potentielles, l’évaluation de l’importance des risques associés et les stratégies pour les atténuer.
Données et confidentialité
- Inconnu: Procédures de conservation des données établiesL’entreprise dispose de procédures formelles de conservation et d’élimination qui encadrent la conservation et l’élimination sécurisées des données de l’entreprise et des clients.
- Inconnu: Données clients supprimées au départLorsqu’un client quitte le service, l’entreprise purge ou supprime de l’environnement applicatif les données clients contenant des informations confidentielles, conformément aux bonnes pratiques.
- Inconnu: Politique de classification des données établieL’entreprise dispose d’une politique de classification des données qui contribue à garantir que les données confidentielles sont correctement protégées et réservées au personnel autorisé.
Rapports
Sous-traitants
Données
Hacktron collecte les informations personnelles identifiables des clients et les informations de carte bancaire. Il ne collecte pas les informations de santé personnelles.