C’est un brouillon. Chaque section propose un exemple : remplacez chaque [champ] par ce qui est vrai chez vous et supprimez le reste. Le publier ne signifie pas que la pratique existe, et Squaretrust ne le vérifie pas.
Analyse des risques et politiques de sécurité
Ce que le client vérifie : que vous avez identifié vos principaux risques et fixé des règles de sécurité écrites.
Exemple à adapterNous tenons une politique de sécurité de l’information approuvée par [fonction] et revue chaque [année]. Une analyse de risques, mise à jour le [jj/mm/aaaa], recense nos [x] principaux risques, leur probabilité, leur impact et la mesure retenue pour chacun. [Fonction] en est responsable.
À joindre : la politique de sécurité (publique ou sur demande) ; l’analyse de risques (sur demande).
Traitement des incidents
Ce que le client vérifie : que vous savez détecter un incident, le traiter et prévenir votre client à temps.
Exemple à adapterLes alertes de [outils de supervision] et les signalements du personnel arrivent à [adresse ou canal]. [Fonction] qualifie l’incident sous [x heures] et décide des mesures. Si les données ou le service d’un client sont touchés, nous le prévenons sous [24 heures] à l’adresse prévue au contrat. Chaque incident est consigné, avec sa cause et les actions correctives.
À joindre : la procédure de gestion des incidents (sur demande).
Continuité, sauvegardes et gestion de crise
Ce que le client vérifie : que vous pouvez reprendre le service après un incident, et en combien de temps.
Exemple à adapterNous sauvegardons [les bases de données et les fichiers clients] chaque [jour] vers [fournisseur, région]. Les sauvegardes sont chiffrées et conservées [30 jours]. Nous testons une restauration complète [deux fois par an] ; le dernier test date du [jj/mm/aaaa] et a duré [x heures]. En cas d’incident majeur, [fonction] décide d’activer le plan de reprise et prévient les clients concernés sous [24 heures].
À joindre : la politique de sauvegarde (publique) ; le plan de reprise et le compte rendu du dernier test (sur demande).
Fournisseurs et chaîne d’approvisionnement
Ce que le client vérifie : que vous connaissez vos propres fournisseurs et que vous les choisissez avec des critères de sécurité.
Exemple à adapterNous tenons la liste de nos sous-traitants, avec leur finalité et leur région de traitement. Avant d’en retenir un nouveau, nous vérifions [ses certifications, son contrat de sous-traitance, sa localisation]. Chaque sous-traitant qui traite des données personnelles est couvert par un contrat conforme à l’article 28 du RGPD. Nous prévenons nos clients [x jours] avant d’en ajouter ou d’en remplacer un.
À joindre : la liste des sous-traitants (publique).
Construction et maintenance des systèmes, y compris les vulnérabilités
Ce que le client vérifie : que vos systèmes sont tenus à jour et que les failles sont corrigées.
Exemple à adapterNous appliquons les correctifs de sécurité sous [x jours] pour les vulnérabilités critiques et sous [x jours] pour les autres. Le code est relu avant chaque mise en production, et nos dépendances sont analysées par [outil]. Toute personne peut nous signaler une vulnérabilité à [adresse] ; nous accusons réception sous [x jours ouvrés].
À joindre : la politique de gestion des vulnérabilités (publique ou sur demande).
Comment vous vérifiez que les mesures fonctionnent
Ce que le client vérifie : que vous vérifiez régulièrement que vos mesures fonctionnent, au lieu de le supposer.
Exemple à adapterNous revoyons nos mesures de sécurité chaque [année] avec [fonction]. Un test d’intrusion est réalisé par [prestataire] tous les [x mois] ; le dernier date du [jj/mm/aaaa], et ses constats critiques ont été corrigés le [jj/mm/aaaa]. Les droits d’accès sont revus chaque [trimestre].
À joindre : la synthèse du dernier test d’intrusion (sur demande).
Hygiène de base et formation
Ce que le client vérifie : que les bonnes pratiques de base sont appliquées et que le personnel y est formé.
Exemple à adapterLes postes et les serveurs reçoivent les mises à jour [automatiquement]. Les mots de passe sont gérés dans [gestionnaire], et l’authentification multifacteur est imposée sur [outils]. Chaque nouvel arrivant suit une sensibilisation à la sécurité, renouvelée chaque [année], avec un exercice d’hameçonnage [annuel].
À joindre : la charte informatique ou les règles internes (sur demande).
Cryptographie
Ce que le client vérifie : que les données sont chiffrées là où il le faut.
Exemple à adapterLes données sont chiffrées en transit (TLS [1.2] ou plus) et au repos ([AES-256], clés gérées par [fournisseur ou service]). Les disques des postes de travail sont chiffrés, ainsi que les sauvegardes.
À joindre : la politique de chiffrement, si le client la demande (sur demande).
Personnes, accès et actifs
Ce que le client vérifie : que seules les bonnes personnes accèdent aux bons systèmes, et que vous savez ce que vous possédez.
Exemple à adapterLes accès sont accordés selon le rôle par [fonction] et retirés le jour du départ d’une personne. Les accès administrateur sont limités à [x] personnes. Nous tenons l’inventaire de nos postes, serveurs et services en ligne, mis à jour chaque [trimestre]. Chaque collaborateur signe [une clause de confidentialité].
À joindre : la politique de gestion des accès (sur demande).
Authentification et communications sécurisées
Ce que le client vérifie : que l’accès aux systèmes importants exige plus qu’un mot de passe, et que vos communications sont protégées.
Exemple à adapterL’authentification multifacteur est obligatoire pour [la messagerie, l’hébergement, le code source, les outils d’administration]. Nos échanges internes passent par [outil], et nous disposons d’un moyen de secours, [téléphone ou canal], si la messagerie est indisponible.