Sécurité

Introduction

Les politiques et pratiques de sécurité de The Latent visent à assurer la conformité avec l’ensemble des lois, réglementations et obligations contractuelles applicables. Elles visent aussi à garantir la confidentialité et l’intégrité de nos données ainsi que la disponibilité des services que nous fournissons.

Politiques

Les politiques de sécurité de The Latent s’appliquent à tous les salariés (à temps plein ou partiel), stagiaires et prestataires. Toutes les politiques sont approuvées par la direction et revues chaque année. Elles couvrent notamment la gestion des changements, les fournisseurs tiers, l’usage acceptable et la gestion des risques.

Authentification et autorisation

Tous les comptes utilisateurs exigent un mot de passe complexe (10 caractères minimum) et une authentification multifacteur.

L’accès aux ressources repose sur le principe du moindre privilège et est accordé via un processus de gestion des changements. Les accès qui ne sont pas nécessaires à long terme sont retirés.

Formations

Chaque nouvelle recrue suit une formation initiale à la sécurité. Tous les salariés reçoivent chaque mois des micro-formations sur des sujets tournants. Des simulations pédagogiques de phishing sont menées mensuellement. D’autres formations ont lieu en continu.

Environnements

Les environnements de test et de production sont logiquement séparés. Les utilisateurs internes n’ont accès ni au test ni à la production. Chaque frontière est protégée par un pare-feu qui limite les ports et services au strict nécessaire. L’accès aux environnements dépend du besoin métier.

Gestion des changements

Toutes les modifications en production et les attributions d’accès sensibles passent par un processus de gestion des changements, avec séparation des tâches. Toutes les demandes sont examinées quel que soit leur statut d’approbation. Un processus d’urgence existe pour les changements urgents hors horaires.

Sécurité des e-mails

Un pare-feu de messagerie analyse les pièces jointes à la recherche de logiciels malveillants et bloque les messages suspects. Les serveurs de messagerie tentent de négocier un chiffrement si le serveur de l’expéditeur le prend en charge. La messagerie dispose d’un bouton « signaler un phishing » qui permet aux salariés d’alerter l’équipe sécurité de tout message ayant franchi le pare-feu.

Analyse des vulnérabilités

L’infrastructure de production est analysée chaque mois. Les vulnérabilités identifiées sont traitées selon leur niveau de criticité.

Chiffrement

Toutes les données de niveau confidentiel ou supérieur sont chiffrées au repos (AES-256) et en transit (TLS 1.2 ou supérieur).

Gestion des fournisseurs

Les fournisseurs qui stockent, traitent ou transmettent des données de niveau confidentiel ou supérieur font l’objet d’une évaluation des risques par l’équipe sécurité.

La posture de sécurité, les conditions de service et les pratiques de confidentialité des fournisseurs sont évaluées.