Politique de sécurité de l'information

Objectif

L'information est l'un des actifs les plus critiques pour Global Exchange, il est donc essentiel d'instaurer une série de mesures dans tous les lieux où elle est stockée, transmise ou traitée. L'objectif de la Politique de Sécurité de l'Information de Global Exchange est d'assurer la confidentialité, l'intégrité et la disponibilité des données pour respecter les obligations et les meilleures pratiques en matière de sécurité de l'information dans le développement de ses activités.

But

Cette politique a pour but principal de définir les mesures nécessaires pour garantir l'intégrité, la disponibilité et la confidentialité de l'information gérée par le Groupe Global Exchange.

Cette politique sera précisée et développée à travers des normes, guides, standards, manuels, plans et procédures, qui seront mis à jour si nécessaire en fonction des nouvelles exigences imposées par les avancées technologiques et commerciales.

La politique de sécurité de l'information a été créée en prenant comme référence les principaux cadres de sécurité de l'information, les réglementations et normes tant locales qu'internationales, parmi lesquels se distinguent :

• ISO/IEC 27001
• ISO/IEC 22301
• ISO/IEC 31000
• Schéma National de Sécurité (ENS)
• Règlement sur la Résilience Opérationnelle Numérique (DORA)
• Législation nationale et internationale sur la Cybersécurité
• Législation nationale et internationale sur la Protection des Données (RGPD, LOPDGDD)
• Législation nationale et internationale sur la Propriété Intellectuelle
• Législation sur la Société de l'Information et le Commerce Électronique
• Législation sur la Sécurité des Réseaux et Systèmes d'Information

Principes

La politique de sécurité de l'information de Global Exchange sera développée, de manière générale, selon les principes suivants :

• Principe de confidentialité : les actifs appartenant aux technologies de l'information ne doivent être accessibles qu'aux utilisateurs, organes et entités ou processus expressément autorisés, dans le respect des obligations de secret et de confidentialité professionnelle.
• Principe d'intégrité et de qualité : le maintien de l'intégrité et de la qualité de l'information, ainsi que des processus de traitement de celle-ci, doit être garanti, en établissant des mécanismes pour assurer que les processus de création, traitement, stockage et distribution de l'information contribuent à préserver son exactitude et sa correction.
• Principe de disponibilité et de continuité : un haut niveau de disponibilité des actifs TIC sera garanti et les plans et mesures nécessaires seront mis en place pour assurer la continuité des services et la récupération face à d'éventuelles contingences graves.
• Principe de traçabilité : des mesures seront mises en œuvre pour s'assurer qu'à tout moment, il soit possible de déterminer qui a fait quoi et quand, afin d'avoir la capacité d'analyser les incidents de sécurité détectés.
• Principe de gestion des risques : un processus continu d'analyse et de traitement des risques doit être articulé comme mécanisme de base sur lequel doit reposer la gestion de la sécurité des actifs TIC.
• Principe de sensibilisation et de formation : des initiatives seront articulées pour permettre aux utilisateurs de connaître leurs devoirs et obligations en matière de traitement sécurisé de l'information. De même, la formation spécifique en matière de sécurité de l'information sera encouragée pour toutes les personnes qui en ont besoin.
• Principe de prévention : des plans et des lignes de travail spécifiques seront développés pour prévenir les fraudes, les non-conformités ou les incidents liés à la sécurité de l'information.
• Principe d'amélioration continue : le degré d'efficacité des contrôles de sécurité de l'information mis en place sera revu, afin de les adapter à l'évolution constante des risques et de l'environnement technologique de Global Exchange.
• Principe du moindre privilège : indique que, dans une couche d'abstraction particulière d'un environnement informatique, chaque partie doit être capable d'accéder uniquement aux informations et ressources nécessaires à son objectif légitime.
• Principe du besoin d'en connaître : son objectif est de garantir que seules les personnes autorisées accèdent à l'information ou aux systèmes nécessaires pour accomplir leurs fonctions.
• Principe de Zero Trust : le principe de Zero Trust (confiance zéro) établit un modèle de sécurité de confiance zéro "ne jamais faire confiance, toujours vérifier", ce qui signifie qu'il ne faut pas faire confiance aux appareils par défaut.