Mesures techniques et organisationnelles

Les présentes mesures techniques et organisationnelles s’appliquent à Netstream AG et à Netstream Cloud AG.

Objet du document

Le présent document résume les mesures techniques et organisationnelles au sens de l’art. 8, al. 1, LPD. Il décrit les mesures par lesquelles les responsables du traitement protègent les données personnelles.

Les mesures s’inscrivent dans un système de management de la sécurité de l’information (SMSI) certifié selon la norme ISO/IEC 27001:2022 et s’orientent vers les objectifs de protection que sont la confidentialité, l’intégrité, la disponibilité et la résilience.

1. Confidentialité

1.1 Contrôle de l’accès physique

Mesures empêchant les personnes non autorisées d’accéder aux installations de traitement de données.

• Système automatique de contrôle d’accès avec système de verrouillage électronique et gestion individuelle des autorisations
• Barrières d’accès biométriques dans les centres de données
• Vidéosurveillance dans les zones sensibles du point de vue de la sécurité
• Interphone avec caméra dans les locaux de bureau
• Directives d’accès restrictives et personnel de surveillance
• Réglementation des clés avec registre des clés documenté
• Accompagnement des visiteurs exclusivement par des membres du personnel autorisés
• Systèmes d’alarme à toutes les entrées concernées
• Garanties contractuelles avec les prestataires, y compris accords de confidentialité
• Sélection rigoureuse du personnel de nettoyage et garanties contractuelles
• Directive sur le télétravail avec exigences de sécurité définies

1.2 Contrôle de l’accès aux systèmes

Mesures empêchant l’utilisation des systèmes de traitement de données par des personnes non autorisées.

• Authentification personnelle par nom d’utilisateur et mot de passe selon une norme industrielle reconnue
• Directive centrale sur les mots de passe avec exigences de complexité et changement régulier
• Authentification à deux facteurs (2FA) pour tous les systèmes compatibles
• Gestionnaire de mots de passe central pour la gestion sécurisée de toutes les données d’accès
• Endpoint Detection and Response (EDR) sur tous les terminaux gérés
• Utilisation de pare-feu et segmentation du réseau
• Wi-Fi chiffré selon la norme actuelle avec réseau invités séparé
• VPN obligatoire pour tous les accès à distance
• Chiffrement intégral des supports de données mobiles et des ordinateurs portables
• Possibilité d’effacement à distance des terminaux mobiles en cas de perte ou de vol
• Verrouillage automatique de l’écran en cas d’inactivité
• Blocage automatique du compte après des tentatives de connexion infructueuses
• Désactivation des comptes inactifs
• Comptes séparés pour les tâches administratives

1.3 Contrôle de l’accès aux données

Mesures garantissant que seules les données pour lesquelles une autorisation existe peuvent être consultées.

• Contrôle d’accès basé sur les rôles avec concept d’autorisations documenté
• Attribution minimale des droits selon le principe du need-to-use
• Journalisation des accès aux applications, notamment lors de la saisie, de la modification et de la suppression de données
• Vérification régulière des autorisations d’accès
• Destruction professionnelle des supports de données et des dossiers
• Effacement physique des supports de données avant leur réutilisation
• Conservation sécurisée des supports de données conformément à la Clean Desk / Clear Desk Policy
• Retrait réglementé des droits d’accès en cas de départ ou de changement de fonction

1.4 Contrôle de la séparation

Mesures garantissant que les données collectées à des fins différentes sont traitées séparément.

• Séparation stricte des environnements de production et de test
• Séparation logique des mandants dans toutes les applications concernées
• Segmentation du réseau avec zones de sécurité définies
• Concept d’autorisations différencié avec définition des droits sur les bases de données

1.5 Pseudonymisation et minimisation des données

• Principe de minimisation des données lors de chaque collecte de données
• Anonymisation/pseudonymisation des données personnelles lors de leur communication ou à l’expiration du délai de conservation
• Masquage des données de test ; les exceptions sont documentées dans la gestion des exceptions

2. Intégrité

2.1 Contrôle de la transmission

Mesures garantissant que les données ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation lors de leur transmission ou de leur stockage.

• Transmission chiffrée des données selon les normes industrielles actuelles
• Chiffrement des données au repos selon des normes cryptographiques reconnues
• Tunnels VPN pour les accès à distance aux ressources internes
• Mise à disposition des données exclusivement via des connexions chiffrées
• Aucune transmission de données sensibles par e-mail ; utilisation de plateformes de partage de fichiers sécurisées
• Documentation des destinataires des données et des délais de conservation
• Gestion des fournisseurs selon la norme ISO 27001 avec vérification régulière
• Surveillance automatisée des configurations cryptographiques

2.2 Contrôle de la saisie

Mesures garantissant qu’il est possible de vérifier a posteriori si des données ont été saisies, modifiées ou supprimées, et par qui.

• Journalisation de la saisie, de la modification et de la suppression de données
• Traçabilité grâce à des noms d’utilisateur individuels
• Infrastructure de journalisation centrale avec stockage inviolable
• Délais minimaux de conservation définis pour les journaux
• Accès aux journaux exclusivement réservé aux personnes autorisées
• Contrôle et analyse réguliers des journaux

3. Disponibilité et résilience

3.1 Contrôle de la disponibilité

Mesures garantissant que les données personnelles sont protégées contre la destruction ou la perte accidentelle.

• Centres de données dont la conception s’oriente vers la norme Tier IV, avec redondance complète
• Installations de détection d’incendie et de fumée ainsi qu’installations d’extinction automatiques
• Surveillance de la climatisation dans les salles de serveurs
• Alimentation sans interruption (ASI) avec groupe électrogène de secours
• Raccordements réseau redondants
• Architecture redondante pour tous les services critiques pour l’activité
• Surveillance et planification des capacités des systèmes afin d’éviter les goulets d’étranglement
• Sauvegardes automatisées régulières avec stockage chiffré
• Conservation des sauvegardes de données dans un lieu sécurisé et externalisé
• Concept de sauvegarde et de restauration documenté avec tests réguliers
• Systèmes de surveillance automatisés avec alerte précoce et processus d’escalade
• Organisation de piquet pour une réaction rapide aux dérangements des systèmes
• Plan d’urgence documenté avec tests réguliers
• Processus de gestion des incidents avec niveaux d’escalade définis

4. Procédures de vérification, d’appréciation et d’évaluation régulières

4.1 Sécurité de l’information et protection des données

• SMSI certifié selon la norme ISO/IEC 27001:2022
• Responsable interne de la sécurité de l’information (CISO)
• Conseiller externe en protection des données
• Obligation de tous les membres du personnel au secret des données
• Formations régulières en protection des données et en sécurité de l’information
• Campagnes de sensibilisation régulières, y compris tests d’hameçonnage simulés
• Tenue d’un registre des activités de traitement (art. 12 LPD)
• Gestion systématique des risques avec analyse et traitement des risques documentés
• Classification de toutes les informations selon un schéma défini
• Directive sur l’utilisation sécurisée des systèmes d’IA
• Audits internes et externes réguliers
• Revue de direction annuelle avec définition des objectifs et mesure des KPI
• Respect des devoirs d’information selon les art. 19 ss LPD

4.2 Gestion de la réponse aux incidents

• Gestion des incidents documentée avec niveaux d’escalade définis
• Processus d’annonce des violations de la sécurité des données au PFPDT (art. 24, al. 1, LPD) et aux personnes concernées (art. 24, al. 4, LPD)
• Implication du conseiller en protection des données lors d’incidents de protection des données
• Endpoint Detection and Response (EDR) sur les terminaux gérés
• Pare-feu avec segmentation du réseau
• Mise à jour régulière de tous les systèmes et applications
• Gestion des vulnérabilités avec recensement, évaluation et correction systématiques
• Conservation des éléments de preuve dans un environnement inviolable
• Lessons learned après des incidents de sécurité

4.3 Paramètres par défaut respectueux de la protection des données

• Formation du personnel à la Privacy by Design et à la Privacy by Default
• Collecte de données limitée au minimum nécessaire à la finalité
• Exigences en matière de développement logiciel sécurisé et de revue de code
• Masquage et anonymisation des données de test

4.4 Contrôle de la sous-traitance

• Instructions écrites aux mandataires au moyen de contrats de sous-traitance
• Sélection rigoureuse des mandataires avec évaluation documentée
• Vérification continue et audit régulier des fournisseurs
• Accords de confidentialité pour les fournisseurs ayant accès à des informations confidentielles
• Garantie de la destruction des données après la fin du mandat
• Obligation des mandataires au secret des données