Centre de confiance
Contrôles
Sécurité de l’infrastructure
- Inconnu: Authentification unique imposée pour les bases de données de productionL’entreprise exige que l’accès aux magasins de données de production utilise des mécanismes d’authentification sécurisés et autorisés, comme des clés SSH uniques.
- Inconnu: Accès aux clés de chiffrement restreintL’entreprise limite l’accès privilégié aux clés de chiffrement aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Authentification de compte unique imposéeL’entreprise exige que l’accès aux systèmes et aux applications utilise un nom d’utilisateur et un mot de passe uniques ou des clés SSH (Secure Socket Shell) autorisées.
- Inconnu: Accès aux applications de production restreintL’accès au système est limité aux accès autorisés.
- Inconnu: Accès aux bases de données de production restreintL’entreprise limite l’accès privilégié aux bases de données aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Accès au système d’exploitation de production restreintL’entreprise limite l’accès privilégié au système d’exploitation aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Accès au réseau de production restreintL’entreprise limite l’accès privilégié au réseau de production aux utilisateurs autorisés qui en ont un besoin métier.
- Inconnu: Authentification unique imposée pour les systèmes réseauL’entreprise exige que l’accès au réseau de production utilise des noms d’utilisateur et des mots de passe uniques ou des clés SSH (Secure Socket Shell) autorisées.
- Inconnu: MFA imposée pour l’accès à distanceSeuls les employés autorisés disposant d’une méthode d’authentification multifacteur (MFA) valide peuvent accéder à distance aux systèmes de production de l’entreprise.
- Inconnu: Chiffrement imposé pour l’accès à distanceSeuls les employés autorisés peuvent accéder à distance aux systèmes de production de l’entreprise, et uniquement par une connexion chiffrée approuvée.
Sécurité organisationnelle
- Inconnu: Technologie anti-malware utiliséeL’entreprise déploie une technologie anti-malware dans les environnements exposés aux attaques malveillantes et la configure pour qu’elle soit mise à jour régulièrement, journalisée et installée sur tous les systèmes concernés.
- Inconnu: Vérification des antécédents des employés effectuéeL’entreprise vérifie les antécédents des nouveaux employés.
- Inconnu: Accord de confidentialité signé par les employésL’entreprise exige que les employés signent un accord de confidentialité lors de leur intégration.
Sécurité du produit
- Inconnu: Chiffrement des données utiliséLes magasins de données de l’entreprise contenant des données clients sensibles sont chiffrés au repos.
- Inconnu: Autoévaluations des contrôles réaliséesL’entreprise évalue elle-même ses contrôles au moins une fois par an pour s’assurer qu’ils sont en place et fonctionnent efficacement. Des actions correctives sont menées selon les constats pertinents. Si l’entreprise s’est engagée sur un SLA pour un constat, l’action corrective est réalisée dans ce délai.
- Inconnu: Tests d’intrusion réalisésL’entreprise réalise des tests d’intrusion au moins une fois par an. Un plan de remédiation est élaboré et des changements sont mis en œuvre pour corriger les vulnérabilités conformément aux SLA.
- Inconnu: Procédures de gestion des vulnérabilités et de supervision établiesLes politiques formelles de l’entreprise définissent les exigences des fonctions suivantes liées à l’informatique et à l’ingénierie : gestion des vulnérabilités et supervision des systèmes.
Procédures de sécurité internes
- Inconnu: Assurance cybersécurité souscriteL’entreprise dispose d’une assurance cybersécurité pour limiter l’impact financier des interruptions d’activité.
- Inconnu: Système de gestion de la configuration établiL’entreprise dispose d’une procédure de gestion de la configuration qui garantit un déploiement cohérent des configurations système dans tout l’environnement.
- Inconnu: SOC 2 – Description du systèmeRédiger une description du système pour la section III du rapport d’audit
- Inconnu: Politique de lancement d’alerte établieL’entreprise a formalisé une politique de lancement d’alerte et met à disposition un canal de communication anonyme pour signaler d’éventuels problèmes ou soupçons de fraude.
- Inconnu: Points de supervision du conseil réalisésLa direction informe le conseil d’administration, ou un comité compétent, au moins une fois par an de l’état des risques de cybersécurité et de confidentialité de l’entreprise. Le conseil donne son avis et ses orientations à la direction si nécessaire.
- Inconnu: Charte du conseil documentéeLe conseil d’administration de l’entreprise dispose d’une charte documentée qui définit ses responsabilités de supervision du contrôle interne.
- Inconnu: Expertise du conseil développéeLes membres du conseil disposent d’une expertise suffisante pour superviser la capacité de la direction à concevoir, mettre en œuvre et exploiter des contrôles de sécurité de l’information. Le conseil fait appel à des experts et consultants externes en sécurité de l’information si nécessaire.
- Inconnu: Réunions du conseil tenuesLe conseil d’administration se réunit au moins une fois par an et tient des procès-verbaux formels. Il compte des administrateurs indépendants de l’entreprise.
- Inconnu: Changements système communiqués à l’externeL’entreprise informe ses clients des changements système critiques susceptibles d’affecter leurs traitements.
- Inconnu: Rôles et responsabilités définisLes rôles et responsabilités liés à la conception, au développement, à la mise en œuvre, à l’exploitation, à la maintenance et à la supervision des contrôles de sécurité de l’information sont formellement attribués dans les fiches de poste ou la politique des rôles et responsabilités.
- Inconnu: Système de support disponibleL’entreprise dispose d’un système de support externe qui permet aux utilisateurs de signaler au personnel compétent les pannes, incidents, préoccupations et autres réclamations.
- Inconnu: Changements système communiquésL’entreprise communique les changements système aux utilisateurs internes autorisés.
- Inconnu: Demandes d’accès requisesL’entreprise s’assure que l’accès des utilisateurs aux composants du système dans le périmètre repose sur leur poste et leur fonction, ou nécessite une demande d’accès documentée et l’approbation d’un responsable avant d’être accordé.
- Inconnu: Engagements de l’entreprise communiqués à l’externeLes engagements de sécurité de l’entreprise sont communiqués aux clients dans les contrats-cadres de services (MSA) ou les conditions d’utilisation (TOS).
- Inconnu: Ressources de support externe disponiblesL’entreprise fournit à ses clients des guides et des ressources de support technique sur l’exploitation du système.
- Inconnu: Description du service communiquéeL’entreprise fournit une description de ses produits et services aux utilisateurs internes et externes.
- Inconnu: Objectifs de l’évaluation des risques définisL’entreprise définit ses objectifs afin de permettre l’identification et l’évaluation des risques qui s’y rapportent.
- Inconnu: Évaluations des risques réaliséesL’entreprise réalise des évaluations des risques au moins une fois par an. Les menaces et les changements (environnementaux, réglementaires et technologiques) touchant les engagements de service y sont identifiés, et les risques sont formellement évalués. L’évaluation prend en compte le risque de fraude et son impact possible sur l’atteinte des objectifs.
Données et confidentialité
- Inconnu: Données clients supprimées au départLorsqu’un client quitte le service, l’entreprise purge ou supprime de l’environnement applicatif les données clients contenant des informations confidentielles, conformément aux bonnes pratiques.
Rapports
Sous-traitants
Données
Hacktron collecte les informations personnelles identifiables des clients et les informations de carte bancaire. Il ne collecte pas les informations de santé personnelles.