Notice SSI LVNET
V1.14 du 24/07/2023
Notice SSI LVNET
V1.14 du 24/07/2023
ZAC EUREKA
302 rue de THOR
34000 MONTPELLIER
Site : www.alx34.com
Email : information@alx34.com
Tel. : 04 67 02 06 11
Notice SSI LVNET
V1.14 du 24/07/2023
Liste des modifications de cette documentation :
Date
Version
Page(s)
Nature de la modification
Intervenant
05/03/2014
1.0
Toutes
Creation du document
S.C
13/10/2016
1.1
4
Ajout connexion client en HTTPS
E.D
15/09/2017
1.2
7
Ajout conformite à l’article88 ( TVA)
S.C
03/04/2018
1.3
7
Prise en compte de la RGPD
S.C
07/06/2018
1.4
Toutes
Remise en forme du document
S.C
16/07/2018
1.5
6
RGPD : precision sur les donnees utilisateur
S.C
13/09/2018
1.6
7
RGPD : precision sur les sauvegardes
E.D
13/11/2018
1.7
6
RGPD : precision sur la gestion des mots de passe
E.D
07/01/2019
1.8
6
RGPD : Ajout gestion des mots de passe complexe
S.C
02/04/2019
1.9
8
MCO : nouvelle infrastructure
S.C
07/06/2019
1.10
8
MCO : precision sur le ticketing support
S.C
07/02/2020
1.11
9
SECURITE : Ajout filtre de securite applicatif
E.D
18/03/2021
1.12
9
SECURITE : Ajout des tests intrusifs
S.C
18/08/2022
1.13
Toutes
Remise Ă jour generale du document
S.C.
24/07/2023
1.14
Toutes
Precision sur les regles à charge de l’hebergeur
S.C
Approbation
Approval
FGA 14/07/2023
Revision
Overhaul
SC 24/07/2023
Creation
Creation
CS 05/03/2014
Services et lieux de diffusion :
âť‘ Clients ALX
âť‘ Direction & Management ALX
âť‘ Personnel ALX Technologies
Notice SSI LVNET
V1.14 du 24/07/2023
TABLE DES MATIERES
1. AVANT PROPOS ...................................................................................................................................... 1
2. PROTECTION DES DONNEES (RGPD) .................................................................................................. 1
3. MAINTIEN DES CONDITIONS OPERATIONNELLES ............................................................................ 4
4. SECURITE ................................................................................................................................................ 5
5. AUDITS ..................................................................................................................................................... 7
6. ANNEXES ................................................................................................................................................. 7
1 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
1. AVANT PROPOS
Cette documentation a pour but d’informer sur les dispositions mise en œuvre pour les solutions d’ALX technologies
en matiere de :
• Protection des donnees personnelles (RGPD selon Reglement (UE) 2016/679 du Parlement europeen et du
Conseil du 27 avril 2016, relatif Ă la protection des personnes physiques Ă l'egard du traitement des donnees
Ă caractere personnel et Ă la libre circulation de ces donnees),
• Maintien operationnel de la solution (MCO),
• Securite.
La solution proposee peut ĂŞtre hebergee par ALX Technologies ou par le client. De fait dans les tableaux ci-dessous
la colonne « n° » sera avec un fond en couleur des lors que la realisation de la regle est à la charge de l’hebergeur.
2. PROTECTION DES DONNEES (RGPD)
N°
Regle
Mise en Ĺ“uvre
1
Type de donnees personnelles.
Par conception, la solution recueille uniquement les donnees
necessaires Ă son strict fonctionnement.
2
Saisie des donnees personnelles.
L’utilisateur est libre de saisir les donnees qui lui semblent
necessaires pour la bonne exploitation de sa solution.
Par conception la solution ne met pas en Ĺ“uvre de systeme malicieux
de collecte de donnees du poste de travail du client (cookies,….)
3
Acces à l’application.
L’acces à l’application se fait via un navigateur web, ou par
application, pointant sur un domaine.
Les echanges entre les postes clients et les serveurs sont securises
HTTPS en TLS1.2 via certificat de domaine SSL approuve par une
autorite de confiance web.
Aucuns droits administrateurs ne sont necessaires sur le poste client
pour acceder à l’application.
4
Tracabilite.
Les actions utilisateurs sont enregistrees dans un journal avec des
conditions de stockage et de retention similaires aux donnees de
l’application et conformement aux exigences RGPD.
5
Utilisateurs de l’application.
Chaque utilisateur de l’application à un identifiant nominatif, un mot de
passe associe et des droits utilisateurs. Les droits utilisateurs sont
definis dans des groupes avec des niveaux hierarchiques.
6
Utilisation de l’application.
En cas d’inactivite sur l’application, un delai de deconnexion est
parametrable.
7
Regle de mots de passe
utilisateur pour l’acces Ă
l’application.
Par conception l’application peut exiger une demande de
renouvellement du mot de passe utilisateur (Nb de jours configurable)
ainsi qu’une activation du mode « Mot de passe complexe obligatoire
».
Le mot de passe utilisateur de l’application est stocke crypte.
L’utilisateur est libre de changer son mot de passe à tout moment.
8
Liaisons externes pour echanges
automatiques des donnees.
Pour un besoin metier client un lien exterieur peut ĂŞtre etabli. Dans ce
cas, une analyse technique conjointe est realisee au prealable en
conformite avec les exigences securitaires liees à l’hebergement.
Dans le cas de l’hebergement par ALX Technologies, des serveurs
2 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
sont dedies Ă cette tache pour assurer un cloisonnement physique
avec le reste de l’infrastructure d’hebergement.
9
Duree de conservation des
donnees.
La conservation des donnees est definie par l’exploitant en fonction de
ses besoins metiers et en conformite avec les exigences de la RGPD
Parametrable dans la solution :
-Temps avant archivages des journaux
-Temps avant suppression des journaux (suppression logique avec
methode conforme aux exigences securitaires).
10
Utilisation des donnees.
Conformement à la « Charte informatique ALX technologies », les
donnees du systeme sont à usage strict de l’exploitant. Le fournisseur
de la solution ne fait aucun usage de ces donnees ni ne les
communique Ă quelques tiers que ce soit.
11
Personnels intervenants.
Seuls les personnels habilites Ă realiser les operations de support client
et de maintenance sont autorises Ă acceder aux donnees.
Les personnels sont signataire de la « Charte informatique ALX
Technologies » qui concerne le bon usage des materiels, d’internet, des
supports de stockage, des liens reseaux, des mots de passe, de la
messagerie.
Les habilitations definies dans le registre « Acces ressources logiques
et physiques ».
Les personnels sont sensibilite Ă la securite informatique via les IT :
-Livret premiers pas en securite,
-Livret d’accueil securite physique et logique.
12
Maitrise des sous-traitants.
La maitrise des sous-traitants est regie par :
-Habilitations definies dans le registre « Acces ressources logiques et
physiques »,
-Une « Charte informatique à l’usage des prestataires »,
-Une certification est exigee concernant le domaine d’intervention
technique.
13
Telemaintenance.
Les personnels du support technique sont amenes apres accord du
client Ă utiliser le logiciel de telemaintenance TeamViewer lors des
interventions Ă distance. Ils doivent, dans ce cas, limiter leurs actions
aux seuls besoins de l’intervention avec les mêmes obligations de
gestion de la securite des donnees qu’en interne. En fin d’intervention
le technicien s’engage à supprimer les donnees. (Suppression logique
avec methode conforme aux exigences securitaires).
14
Politique de sauvegarde des
donnees.
Selon « IT de Management des sauvegardes » et « IT de management
AZURE » avec sauvegarde et controle d’integrite :
-journaliere et retentions 7 jours,
-hebdomadaire et retention 4 semaines,
-Mensuelle et retention 12 mois,
-Annuelle et retention 10 ans.
Les sauvegardes sont physiquement placees sur une infrastructure
geographiquement distincte de l’infrastructure de production.
15
Gestion de la restauration des
donnees.
Selon « IT de Management des donnees » et « IT de management
AZURE » avec restauration au dernier point de donnees integre.
16
Securisation des donnees et des
sauvegardes.
Selon « Politique Securite ALX Technologies » definissant les :
-roles et responsabilites,
-la securite physique,
-la securite logique,
-la securite en production,
-la gestion des risques,
-le controle interne,
-les revues de direction,
3 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
-les procedures d’alerte.
17
Cloisonnement des donnees
clients.
Selon « IT de management AZURE », les donnees sont separees par
client sans lien logique possible.
18
Localisation des donnees.
Selon « IT de management AZURE » les donnees sont stockees en
France metropolitaine et les sauvegardes dans un pays de l’Union
europeenne.
19
Donnees comptables et fiscales
La solution est conforme aux exigences de la loi de finance n° 2015-
1785 du 29 decembre 2015 de finances pour 2016 et notamment
l’article 88 concernant les logiciels de comptabilite ou de caisse. Si votre
application inclut les aspects facturation/encaissement Ă des clients une
attestation individuelle est editable par l’exploitant depuis la solution.
20
Compromission et fuite de
donnees.
Selon « IT Maitrise des compromissions » le client est informe en cas
d’incident sur la portee de la compromission. Le nom de l’interlocuteur
chez le client est defini Ă la signature du contrat.
21
Fin d’exploitation de la solution.
Dans le cas d’une fin de contrat les donnees sont mises à la disposition
du client au format souhaite et de facon securisee. A l’accuse de
reception de la bonne reception des donnees, ALX s’engage à detruire
les donnees et les sauvegardes associees sous 30 jours (Suppression
logique avec methode conforme aux exigences securitaires).
4 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
3. MAINTIEN DES CONDITIONS OPERATIONNELLES
N°
Regle
Mise en Ĺ“uvre
1
Infrastructure, Machines virtuelles,
stockage, service de donnees.
Dans le cas d’un hebergement par ALX, L’infrastructure est fournie par
la plateforme Microsoft AZURE selon les conditions indiquees dans
« Contrat de Niveau de Service pour les Services en Ligne Microsoft1
mai 2022 »
https://azure.microsoft.com/fr-fr/support/legal/sla/summary/
2
Machine virtuelles
Dans le cas d’un hebergement par ALX, Une solution de surveillance
24h24h des ressources (RAM, espace disque, CPU, instance SQL) et
alerte mail et mise en Ĺ“uvre.
3
Continuite d’activite
La continuite d’activite est assuree par le « plan de continuite d’activite
ALX technologies » et est prise en charge selon :
-Une analyse des risques periodique. (Tableau d’analyse des risque)
-Une maitrise des risques (fiche de risque),
-une Gestion des incidents (IT Gestion des incidents),
-Les controle permanents,
-Les controles periodiques.
Une revue annuelle est realisee pour faire un etat des lieux.
4
Veille securitaire
Selon la liste des moyens mis en Ĺ“uvre au chapitre securite.
5
Disfonctionnement
Tout debut ou fin de disfonctionnement pouvant entrainer une gĂŞne
dans l’utilisation de la solution est signale à un interlocuteur designe
chez le client. Le nom de l’interlocuteur chez le client est defini à la
signature du contrat.
6
Maintenance corrective
Un service de ticketing assure par le support technique est disponible
pour assister ou relever les anomalies de fonctionnement de la solution.
La duree de la resolution de l’anomalie est dependante du niveau de
complexite de l’anomalie.
7
Evolution du SI
Les evolutions du SI en matiere :
-d’architecture,
-de regle de fonctionnement,
-d’entree sortie de personnel,
-de mise à jour, …
donnent lieu Ă des rapports geres et enregistres par le Security
Manager.
8
Formation des personnels
Un plan de formation assure le maintien Ă niveau des competences et
des connaissances optimum des personnels.
5 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
4. SECURITE
N°
Regle
Mise en Ĺ“uvre
1
Personne responsable de la
securite
Un groupe de personnes physiques ayant le titre de « Security
manager » est garant du maintien des conditions optimums de
fonctionnement du SI.
Le responsable tournant du groupe est remplace chaque annee : son
identite est communiquee aux clients.
2
Risques lies aux secrets
Les secrets du SI (Mots de passe, cles, badges, documents) sont
repartis aux differents personnels selon les besoins et de sorte qu’un
seule personne ne puisse pas proceder Ă des malversations remettant
en cause la securite du SI..
3
Administration des systemes
Une authentification forte est mise en place pour l’administration des
systemes. Les flux d’administration sont proteges par un algorithme de
chiffrement securise (HTTPS).
4
Logiciels informatiques
Seul l’usage des logiciels repertories dans « Liste des logiciels
approuves chez ALX Technologies » est autorise.
5
Identification des postes de travail
Selon IT « Management Active Directory », la gestion des postes de
travail autorises est realisee via une authentification MAC par active
directory pour sur les VLAN designes comme critiques.
6
Maitrise des flux
La maitrise des flux est definie dans « procedure de securite logique »
dont les flux sont repertories et pour lesquels un controle permanent est
realise. Cette maitrise des flux inclus une cartographie reseau avec un
decoupage par VLAN selon les services et les besoins de securite.
7
Materiels informatique
Selon « IT gestion du materiel informatique », les materiels (Serveurs,
poste de travail et support de stockage) sont repertories et leur cycle de
vie est suivi jusqu’à la mise hors service. Pour les materiels disposant
de donnees sensibles, les supports de stockages sont cryptes et en fin
de vie, une procedure de neutralisation est definie avec fourniture d’un
PV par un organisme specialise.
8
Malware
Tous les systemes d’exploitation disposent d’une solution de detection
de code malveillant maintenue à jour selon « IT de management
AZURE ».
9
Monitoring de la securite
Un controle permanent est realise sur les logs des systemes du SI selon
« Procedure de securite logique ».
Un logiciel centralise les journaux/logs des systemes et alerte le
« security manager ».
10
Filtrage applicatif
Un filtre securite applicatif est deploye pour securiser le service (WAF :
Web application Firewall). Il est maintenu Ă jour en temps reel.
11
Autorisations des personnels liees
au SI
Les autorisations logiques et physiques sont definies dans un registre
« Acces ressources logiques et physiques ».
Un controle periodique des droits d’acces physiques et logique des
personnels assure la conformite des autorisations delivrees sur le SI et
sur les locaux.
6 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
La « procedure de securite logique » et la « procedure de securite
physique » prennent en charge les entrees sorties de personnels avec
signature d’une lettre d’engagement desengagement des secrets lies Ă
l’entreprise.
12
Veille technique sur l’infrastructure
Les mise Ă jours des elements du SI ( routeurs, switch, pare-feu, OS
des serveurs, OS des postes de travail,…) sont regis par un controle
periodique incluant une veille technique fournie par les fabricants des
solutions hardware et software mis en œuvre ainsi qu’une analyse des
publications faites par les specialistes en securite du secteur
informatique. (ex : www.cert.ssi.gouv.fr)
13
Veille technique sur les
composants logiciels
Les mise Ă jours des composants logiciels ( Moteur de base de
donnees, Framework) sont regis par un controle periodique incluant une
veille technique fournie par les editeurs ainsi qu’une analyse des
publications faites par les specialistes en securite du secteur
informatique. (ex : www.cert.ssi.gouv.fr)
14
Droits utilisateurs dans
l’application
Par conception l’application offre une notion de groupe utilisateur avec
differents niveaux d’autorisation parametrables.
15
Tentative de connexion
frauduleuse à l’application
Par conception l’application peut desactiver un compte utilisateur au
bout de 3 tentatives d’acces.
16
Attaque force brute
Ce type d’attaque est anticipe dans le « tableau d’analyse des risques »
avec un plan de reprise d’activite afin de limiter l’indisponibilite du
systeme.
17
Communication avec les materiels
stations
Les equipements stations (Automates, pupitres) n’acceptent aucune
communication entrante. Les connexions sont etablies dans le sens
station->serveur avec un niveau de cryptage eleve. SSL, 3DES,… selon
les materiels.
18
Entrees sur l’application
Par conception l’application limite les caracteres d’entree pour eviter les
attaques de type HTML/ injection SQL.
19
Test intrusif
La « procedure de securite logique » inclut un test d’intrusion à realiser
Ă minima une fois par an par une societe specialisee mandatee par
ALX.
20
Controle d’acces physique
Selon la « procedure de securite physique », les bâtiments disposent
d’un systeme anti-intrusion, de controles d’acces, de video surveillance.
Les acces sont journalises en conformite avec les exigences de la
RGPD.
21
Cloisonnement des applications
clients.
Selon « IT de management AZURE », les applications sont separees
par client sans lien logique possible.
7 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
5. AUDITS
N°
Regle
Mise en Ĺ“uvre
1
Maintien de la qualite de service
ALX Technologies s’engage à realiser un audit annuel selon son SMQ.
Le rapport d’audit donne lieu à une revue de direction decidant des
actions futures Ă mener.
2
Appel telephoniques
Une analyse du taux de reponse et des temps de reponse moyen est
realisee chaque annee.
Le rapport d’audit donne lieu à une revue de direction decidant des
actions futures Ă mener.
3
Bugs applicatifs
Une analyse du ratio nombre d’evolutions / nombre de regressions est
realisee chaque annee.
Le rapport d’audit donne lieu à une revue de direction decidant des
actions futures Ă mener.
6. ANNEXES
Le tableau ci-dessous liste les documents utilises en support et leur niveau de communication.
Document
Diffusion
Groupe
Security
manager
Autres
Managers
Salaries
Clients
Charte informatique ALX technologies.
Livret premiers pas en securite.
Livret d’accueil securite physique et logique.
Contrat de Niveau de Service pour les
Services en Ligne Microsoft1 mai 2022
Charte informatique à l’usage des
prestataires.
Liste des logiciels approuves chez ALX
Technologies
IT Gestion du materiel informatique
Fiches de risque
IT gestion des incidents
8 / 8 Notice SSI LVNET
V1.14 du 24/07/2023
IT de management azure.
IT de management des sauvegardes.
IT Maitrise des compromissions.
Procedure de securite physique
Procedure de securite logique
Politique de securite ALX technologies.
Plan de continuite d’activite
Tableau d’analyse des risques
Revue annuelle
Acces ressources logiques et physiques.
ZAC EUREKA
302 rue de THOR
34000 MONTPELLIER
Site : www.alx34.com
Email : information@alx34.com
Tel. : 04 67 02 06 11
