Authentification

L’authentification multifactorielle (MFA) est appliquée à tous les comptes administratifs et d’accès à distance. Des identifiants uniques sont attribués à tous les utilisateurs.

Autorisation

L’accès est accordé selon le principe du moindre privilège et révisé tous les trimestres. Des contrôles d’accès basés sur les rôles (RBAC) sont en place.

Gestion des comptes utilisateurs

Les processus d’intégration, de mutation et de départ sont appliqués. Les comptes inactifs sont désactivés après 30 jours.

Accès physique

Les bureaux et les centres de données utilisent des systèmes d’accès par badge. L’accès des visiteurs est enregistré et supervisé.

Contrôles environnementaux

Les centres de données sont équipés de systèmes d’extinction d’incendie, de climatisation et d’alimentations électriques alimentées par UPS.

Sécurité des appareils

Tous les appareils fournis par l’entreprise sont cryptés et font l’objet d’un suivi des actifs. L’utilisation des ports USB est soumise à des restrictions.

Pare-feu

Les pare-feu matériels et logiciels sont configurés avec des politiques de refus par défaut. L’exposition externe est minimisée.

Segmentation

Les zones réseau séparent les systèmes internes, les services externes et les infrastructures critiques.

Surveillance

Des systèmes de détection et de prévention des intrusions (IDS/IPS) sont en place. Le trafic réseau est enregistré et surveillé.

Anti-malware

All endpoints run centrally managed anti-malware with real-time protection and automatic updates.

Patch Management

Critical security patches are applied within 14 days. Automated patching is used for OS and apps.

Secure Configuration

Devices are hardened using CIS benchmarks and checked periodically using automated tools.

Data at Rest

Encryption using AES-256 is enforced for all storage devices and databases.

Data in Transit

TLS 1.2+ is enforced for all external and internal communications.

Backups

Encrypted, segregated backups are taken daily, tested monthly, and retained per retention policy.

Collecte des journaux

Une journalisation centralisée (par exemple, SIEM) est en place pour les serveurs, les terminaux et les dispositifs de sécurité.

Alertes

Alertes en temps réel pour les activités suspectes. Les seuils d’incident et les procédures d’escalade sont définis.

Pistes d’audit

Les journaux sont conservés pendant au moins 12 mois et examinés régulièrement afin de détecter toute anomalie.

Tests de pénétration

Des tests de pénétration indépendants sont effectués chaque année (certification Cyber Essentials Plus).

Analyse des vulnérabilités

Analyses automatisées hebdomadaires des systèmes et des dépendances. Suivi des corrections via un système de tickets.

Renseignements sur les menaces

Abonnement à des flux fiables (par exemple, NCSC, NIST). Les flux IOC informent les actions automatisées et manuelles.

Plan d’intervention

Un plan d’intervention en cas d’incident testé est en place, conforme aux directives du NCSC et à la norme ISO27001:2013.

Notification des violations

Les procédures en cas de violation des données à caractère personnel sont conformes aux exigences des articles 33/34 du RGPD (délai de 72 heures).

Formation de l’équipe

L’équipe d’intervention en cas d’incident est formée et effectue des simulations sur table tous les trimestres.

Politiques

Les politiques relatives à la protection des données, à l’utilisation acceptable, au travail à distance et à la sécurité de l’information sont appliquées.

Formation

Formation annuelle obligatoire sur la cybersécurité et la protection des données pour tous les employés.

Gouvernance

Nomination d’un responsable de la sécurité de l’information. La structure de gouvernance est conforme aux clauses de la norme ISO 27001.

Gestion des fournisseurs

Les évaluations des risques liés aux fournisseurs et les accords de traitement des données (DPA) sont maintenus.

Évaluation des risques

Évaluations annuelles des risques conformes à la norme ISO 27001. Contrôles suivis dans un registre des risques.

DPIA

Requis pour les activités de traitement à haut risque. Les modèles et les directives suivent les recommandations de l’ICO.

Audit et examen

Audits internes trimestriels. Audits externes ISO 27001 et Cyber Essentials Plus annuels.

Cadre et couverture

RGPD (art. 32)

Couverture complète grâce à des contrôles de sécurité documentés, à la gestion des risques et à la réponse aux violations.

ISO 27001:2013

Orbis Protect est certifié ISO 27001 par Alcumus ISOQAR, numéro de certificat : 1209-ISMS-012, date de renouvellement 10/08/2025.

Cyber Essentials Plus

Orbis Protect est certifié Cyber Essentials par Periculo, bd4ec673-3754-4c68-8777-1e9de54a19e2, renouvellement le 24/10/2025

NCSC

Conforme aux 10 étapes de cybersécurité et aux principes de sécurité cloud du NCSC, et certifié conforme aux contrôles de la norme ISO27001 et Cyber Essentials Plus