Les op\u00e9rations de l\u2019organisation d\u00e9pendent en grande partie de l\u2019information qui est trait\u00e9e, produite et communiqu\u00e9e. Cette information est tr\u00e8s vaste et peut exister sur support papier ou technologique. Elle comprend, entre autres, les renseignements personnels des clients et des membres du personnel, la propri\u00e9t\u00e9 intellectuelle produite par les d\u00e9veloppeurs, ainsi que la documentation interne strat\u00e9gique et administrative.<\/p>\n
Comme toute autre organisation, Unicorne fait face \u00e0 une multitude de menaces pouvant porter atteinte \u00e0 la confidentialit\u00e9, l\u2019int\u00e9grit\u00e9 et la disponibilit\u00e9 de nos informations. Ces menaces, dont la nature est en constante \u00e9volution, comprennent, entre autres, le vol d\u2019identit\u00e9 et d\u2019informations confidentielles, la fraude, l\u2019espionnage industriel et le vol de propri\u00e9t\u00e9 intellectuelle, l\u2019utilisation, la divulgation et la destruction d\u2019information, les d\u00e9faillances techniques, les \u00e9v\u00e9nements naturels et l\u2019erreur humaine.<\/p>\n
Dans ce contexte, Unicorne met en \u0153uvre, maintient \u00e0 jour et assure l\u2019application d\u2019une politique de s\u00e9curit\u00e9 de l\u2019information qui \u00e9tablit la mise en \u0153uvre de processus formels de s\u00e9curit\u00e9 de l\u2019information permettant, notamment, d\u2019assurer la gestion des risques, la gestion de l\u2019acc\u00e8s \u00e0 l\u2019information et la gestion des incidents.<\/p>\n
L\u2019organisation s\u2019engage \u00e0 aviser la Commission d\u2019acc\u00e8s \u00e0 l\u2019information du Qu\u00e9bec (CAI) ainsi que toutes personnes touch\u00e9es si elle s\u2019av\u00e8re vis\u00e9e par une cyberattaque ou tout autre incident similaire. De plus, une personne responsable de la s\u00e9curit\u00e9 est nomm\u00e9e afin de s\u2019assurer du respect de cette politique ainsi que du suivi des actions n\u00e9cessaires en cas de probl\u00e8me.<\/p>\n
Personne responsable<\/b>:\u00a0Patrice Naud,\u00a0Vice-pr\u00e9sident op\u00e9rations<\/i><\/p>\nObjectif<\/b><\/h2>\n
L\u2019objectif principal de cette politique est d\u2019affirmer la d\u00e9termination et l\u2019engagement de l\u2019organisation de g\u00e9rer avec efficacit\u00e9 et efficience les risques \u00e0 la s\u00e9curit\u00e9 de l\u2019information. L\u2019approche pr\u00e9conis\u00e9e vise l\u2019identification des intervenants et la d\u00e9finition de leurs r\u00f4les, la sensibilisation des utilisateurs aux risques et la conception et l\u2019implantation de mesures qui assurent efficacement la s\u00e9curit\u00e9 de l\u2019information tout au long de son cycle de vie.<\/p>\n
La s\u00e9curit\u00e9 de l\u2019information est l\u2019affaire de tous. Cette politique s\u2019applique \u00e0 toute personne physique (d\u00e9veloppeurs, gestionnaires, personnel administratif, consultants et visiteurs), ou \u00e0 toute personne morale qui utilise ou acc\u00e8de aux ressources informationnelles de l\u2019organisation.<\/p>\n
Cette politique s\u2019applique \u00e0 toute l\u2019information que d\u00e9tient l\u2019organisation dans l\u2019exercice de ses fonctions ou dont elle a la garde, durant tout son cycle de vie, peu importe sa forme, son support et son emplacement.<\/p>\n
Il n\u2019y a pas de restriction quant \u00e0 l\u2019utilisation de l\u2019ordinateur d\u2019Unicorne \u00e0 des fins personnelles par un employ\u00e9. Par contre, toute activit\u00e9 et installation de logiciel doit \u00eatre faite en suivant les recommandations de cette politique.<\/p>\n
Afin d\u2019assurer le respect de cette politique, la personne responsable s\u2019engage \u00e0 effectuer un audit interne aupr\u00e8s des employ\u00e9s au moins une fois par ann\u00e9e civile.<\/p>\n
En cas de contravention \u00e0 la pr\u00e9sente politique :<\/p>\n
L\u2019utilisateur ou l\u2019utilisatrice engage sa responsabilit\u00e9 personnelle en cas de contravention \u00e0 la pr\u00e9sente politique ; il en est de m\u00eame pour la personne qui, par n\u00e9gligence ou par omission, fait en sorte que l\u2019information n\u2019est pas prot\u00e9g\u00e9e ad\u00e9quatement.<\/p>\n
Tout membre de l\u2019organisation qui contrevient au cadre l\u00e9gal, \u00e0 la pr\u00e9sente politique et\/ou aux mesures de s\u00e9curit\u00e9 de l\u2019information qui en d\u00e9coulent, s\u2019expose \u00e0 des sanctions selon la nature, la gravit\u00e9 et les cons\u00e9quences de la contravention, en vertu de la loi ou des r\u00e8gles disciplinaires internes applicables.<\/p>\n
De m\u00eame, toute contravention par un fournisseur, un partenaire, un invit\u00e9, un consultant ou un organisme externe l\u2019expose aux sanctions pr\u00e9vues au contrat le liant \u00e0 l\u2019organisation ou en vertu des dispositions de la l\u00e9gislation applicable en la mati\u00e8re.<\/p>\n
Lorsqu\u2019une v\u00e9rification ou une enqu\u00eate donne lieu de croire qu\u2019une infraction \u00e0 une loi ou un r\u00e8glement a \u00e9t\u00e9 commise, la personne responsable de la s\u00e9curit\u00e9 peut aussi r\u00e9f\u00e9rer le dossier \u00e0 toute autre autorit\u00e9 comp\u00e9tente pour v\u00e9rifier notamment s\u2019il y a mati\u00e8re \u00e0 poursuite. Il peut alors transmettre \u00e0 cette autorit\u00e9 les informations collig\u00e9es au cours de cette v\u00e9rification ou de cette enqu\u00eate. Toute contravention \u00e0 la pr\u00e9sente politique peut entra\u00eener, en plus des mesures pr\u00e9vues aux lois, r\u00e8glements, politiques ou ententes, les cons\u00e9quences suivantes, en fonction de la nature, de la gravit\u00e9 et des r\u00e9percussions du geste ou de l\u2019omission :<\/p>\n
Les renseignements confidentiels recueillis ne doivent pas \u00eatre divulgu\u00e9s \u00e0 l\u2019occasion de discussions ou de conversations informelles. La communication de renseignements doit se faire de fa\u00e7on objective, sans formuler de jugement et sans pr\u00e9jug\u00e9s. Toutes les informations sur les projets clients doivent \u00eatre consid\u00e9r\u00e9es comme des renseignements confidentiels \u00e0 prot\u00e9ger.<\/p>\n
Chaque personne doit veiller \u00e0 la s\u00e9curit\u00e9 des renseignements qu\u2019elle a recueilli. Les renseignements confidentiels doivent \u00eatre conserv\u00e9s dans un endroit s\u00e9curis\u00e9 lorsque la personne qui en a le d\u00e9p\u00f4t est absente. Cette responsabilit\u00e9 s\u2019applique \u00e9galement aux renseignements apparaissant sur un \u00e9cran d\u2019ordinateur.<\/p>\n
Tous les membres du personnel doivent prot\u00e9ger tous les renseignements (dossiers) dont ils ont la charge. Le non-respect des dispositions de la pr\u00e9sente politique sur la confidentialit\u00e9 peut entra\u00eener des mesures disciplinaires pouvant aller jusqu\u2019au cong\u00e9diement.<\/p>\n
Tous les membres du personnel, consultants, clients ou partenaires doivent avertir la personne responsable de la s\u00e9curit\u00e9 s\u2019ils remarquent une situation qui pourrait nuire \u00e0 la s\u00e9curit\u00e9 ou \u00e0 la confidentialit\u00e9 des renseignements.<\/p>\n
Il est n\u00e9cessaire d\u2019obtenir un consentement \u00e9crit avant de divulguer des renseignements \u00e0 un tiers qui ne fait pas partie de l\u2019entreprise.<\/p>\n
Pour limiter les acc\u00e8s non-autoris\u00e9s, nous demandons d\u2019activer\u00a0l\u2019authentification \u00e0 double facteur<\/i><\/b>\u00a0sur tous les comptes o\u00f9 cette fonctionnalit\u00e9 est possible. (AWS, GitLab, Google, GitHub, Bitbucket, Jira, Confluence, 1Password).\u00a0Utiliser un outil tel que Google Authenticator ou Authy pour conserver vos MFA<\/p>\nMises \u00e0 jour de logiciel et de syst\u00e8me d\u2019exploitation<\/h3>\n
Pour assurer une meilleure s\u00e9curit\u00e9 des \u00e9quipements et de l\u2019information, toutes les options de mise \u00e0 jour automatiques doivent \u00eatre activ\u00e9es sur les postes de travail et serveurs.\u00a0Activer les mises \u00e0 jour automatiques de vos syst\u00e8mes d\u2019exploitation et de vos navigateurs. Pour tout autre logiciel qui ne poss\u00e8de pas ces options, les mises \u00e0 jour doivent \u00eatre faites \u00e0 l\u2019int\u00e9rieur de 48h suivant une notification.<\/p>\n
Pour limiter les acc\u00e8s non-autoris\u00e9s, nous demandons d\u2019activer les pare-feu des syst\u00e8mes d\u2019exploitation des postes de travail et des serveurs.<\/p>\n
Afin de s\u00e9curiser les informations de connexion, nous demandons d\u2019utiliser le gestionnaire de mot de passe fourni par l\u2019organisation 1Password uniquement.\u00a0\u00c9vitez d\u2019utiliser les gestionnaires de mot de passe int\u00e9gr\u00e9s \u00e0 votre navigateur.<\/i><\/b><\/p>\nPartage de mots de passe<\/h3>\n
Si des informations de connexions doivent \u00eatre partag\u00e9es, elles doivent l\u2019\u00eatre de mani\u00e8re s\u00e9curitaire. L\u2019\u00e9change de mots de passe par courriel ou texto, par exemple, est \u00e0 proscrire. Le gestionnaire de mots de passe 1password poss\u00e8de une option pour le partage de ce type d\u2019information.<\/p>\n
Utilisez des r\u00e9seaux WiFi s\u00e9curis\u00e9s. Assurez-vous de l\u2019activation du WPA2, des mises \u00e0 jour des routeurs et que les mots de passe soient s\u00e9curis\u00e9s.\u00a0Un VPN doit \u00eatre utilis\u00e9 pour les r\u00e9seaux publics comme par exemple les espaces de coworking, les conf\u00e9rences, r\u00e9seaux clients ou autres. Si vous n\u2019avez pas de VPN personnel, vous pouvez utiliser celui fourni par Unicorne.<\/p>\n
Si vous utilisez votre cellulaire pour des communications en lien avec le travail (Slack, Email, etc\u2026), activez le code de s\u00e9curit\u00e9 avec 6 caract\u00e8res minimum.<\/p>\n
\u00c9vitez l\u2019impression des documents. Si n\u00e9cessaire, assurez-vous de les traiter avec le bon niveau de s\u00e9curit\u00e9 et de les d\u00e9truire correctement lorsque n\u00e9cessaire.<\/p>\n
Cryptez le disque dur de votre ordinateur pour \u00e9viter le vol de donn\u00e9es en cas de perte ou de vol de votre ordinateur.<\/p>\n
Lorsque vous travaillez dans un lieu public, comme un espace cowork par exemple, assurez-vous de toujours verrouiller votre ordinateur lorsque vous n\u2019\u00eates plus pr\u00e9sent. Aussi, l\u2019ordinateur ne devrait jamais \u00eatre laiss\u00e9 seul sans surveillance.<\/p>\n
Le logiciel \u201cTime machine\u201d de Apple doit \u00eatre utilis\u00e9 avec un disque dur externe afin d\u2019effectuer des copies de sauvegarde\u00a0crypt\u00e9es<\/b>\u00a0du disque dur. Les sauvegardes peuvent \u00eatre faites automatiquement si le disque externe est connect\u00e9, sinon, elles doivent \u00eatre faites au minimum une fois par semaine. Tout cela est configurable dans les param\u00e8tres de l\u2019ordinateur.<\/p>\nEmbauche employ\u00e9s\/ sous-traitants<\/h3>\n
Assurez-vous de vous coordonner avec la personne responsable des ressources humaines pour faire une v\u00e9rification des ant\u00e9c\u00e9dents pour chaque nouveaux employ\u00e9s ou sous-traitants ayant acc\u00e8s \u00e0 des donn\u00e9es sensibles.<\/p>\n
La configuration des acc\u00e8s doit toujours se faire avec le minimum d\u2019acc\u00e8s n\u00e9cessaire \u00e0 la r\u00e9alisation de la t\u00e2che.<\/p>\n
Exemple :<\/p>\n
Chez Unicorne, nous nous engageons \u00e0 garantir la s\u00e9curit\u00e9 des donn\u00e9es et de l\u2019infrastructure de nos clients. En tant que partenaire AWS, nous respectons les normes de s\u00e9curit\u00e9 de l\u2019industrie et les meilleures pratiques pour prot\u00e9ger vos informations sensibles et maintenir l\u2019int\u00e9grit\u00e9 de vos syst\u00e8mes.<\/p>\n
Dans le cadre de notre engagement en mati\u00e8re de s\u00e9curit\u00e9, nous veillons \u00e0 ce que nos clients comprennent les processus de s\u00e9curit\u00e9 et les technologies fournies par Amazon Web Services (AWS). AWS propose un ensemble complet de services et de fonctionnalit\u00e9s de s\u00e9curit\u00e9 con\u00e7us pour prot\u00e9ger les donn\u00e9es, les syst\u00e8mes et l\u2019infrastructure h\u00e9berg\u00e9s sur la plateforme AWS.<\/p>\n
Nous suivons les directives \u00e9nonc\u00e9es dans le Pilier de S\u00e9curit\u00e9 du Cadre de R\u00e9f\u00e9rence AWS Well-Architected. Ce cadre fournit les meilleures pratiques et des conseils pour concevoir, construire et maintenir des environnements AWS s\u00e9curis\u00e9s. En tirant parti du Pilier de S\u00e9curit\u00e9, nous aidons nos clients \u00e0 mettre en \u0153uvre des mesures de s\u00e9curit\u00e9 conformes aux normes de l\u2019industrie et aux exigences r\u00e9glementaires.<\/p>\n
Nous mettons en \u0153uvre des m\u00e9canismes robustes de chiffrement des donn\u00e9es et de contr\u00f4le d\u2019acc\u00e8s pour garantir la confidentialit\u00e9 et l\u2019int\u00e9grit\u00e9 de vos donn\u00e9es.<\/p>\n
Principe du moindre privil\u00e8ge<\/strong><\/p>\n Lors de l\u2019octroi d\u2019autorisations dans AWS Identity and Access Management (IAM), il est imp\u00e9ratif de suivre le principe du moindre privil\u00e8ge. Cela signifie que les utilisateurs et les r\u00f4les IAM ne doivent se voir attribuer que les autorisations n\u00e9cessaires pour accomplir leurs t\u00e2ches sp\u00e9cifiques.<\/p>\n Directives<\/strong><\/p>\n \u00c9vitez d\u2019utiliser des caract\u00e8res g\u00e9n\u00e9riques tels que les ast\u00e9risques (*) dans les \u00e9l\u00e9ments d\u2019action et de ressource autant que possible;<\/p>\n<\/li>\n Limitez les autorisations aux actions et aux ressources sp\u00e9cifiques requises par chaque principal IAM.<\/p>\n<\/li>\n<\/ul>\n Utilisation d\u2019identifiants d\u00e9di\u00e9es<\/strong><\/p>\n Tout individu n\u00e9cessitant un acc\u00e8s \u00e0 un compte AWS doit utiliser des identifiants d\u00e9di\u00e9s \u00e0 cette fin. Cette pratique garantit la tra\u00e7abilit\u00e9 et la s\u00e9curit\u00e9 des acc\u00e8s.<\/p>\n Les identifiants d\u2019acc\u00e8s attribu\u00e9s aux partenaires doivent \u00eatre exclusivement d\u00e9di\u00e9s \u00e0 leur collaboration avec notre organisation;<\/p>\n<\/li>\n Il est strictement interdit de partager des identifiants entre les individus ou les entit\u00e9s, m\u00eame au sein de la m\u00eame organisation.<\/p>\n<\/li>\n<\/ul>\n Nous utilisons une surveillance proactive, des journaux et des alertes pour d\u00e9tecter et r\u00e9pondre aux incidents de s\u00e9curit\u00e9 de mani\u00e8re proactive.<\/p>\n Nous mettons en \u0153uvre une segmentation r\u00e9seau, des pare-feux et d\u2019autres contr\u00f4les de s\u00e9curit\u00e9 pour prot\u00e9ger l\u2019infrastructure AWS contre les acc\u00e8s non autoris\u00e9s et les menaces cybern\u00e9tiques.<\/p>\n Nous avons \u00e9tabli des proc\u00e9dures de gestion des incidents pour r\u00e9pondre efficacement aux incidents de s\u00e9curit\u00e9 et minimiser leur impact sur vos op\u00e9rations commerciales.<\/p>\n La s\u00e9curit\u00e9 est un processus continu, et nous nous engageons \u00e0 am\u00e9liorer continuellement nos pratiques de s\u00e9curit\u00e9 pour r\u00e9pondre aux menaces et vuln\u00e9rabilit\u00e9s \u00e9mergentes. Nous examinons et mettons \u00e0 jour r\u00e9guli\u00e8rement nos politiques, proc\u00e9dures et contr\u00f4les de s\u00e9curit\u00e9 pour garantir leur efficacit\u00e9 dans la r\u00e9duction des risques.<\/p>\n Nous croyons que la s\u00e9curit\u00e9 est une responsabilit\u00e9 partag\u00e9e, et nous travaillons en \u00e9troite collaboration avec nos clients pour les sensibiliser aux meilleures pratiques de s\u00e9curit\u00e9 et les aider \u00e0 prendre des d\u00e9cisions \u00e9clair\u00e9es concernant leurs environnements AWS. Nous fournissons des formations, des ressources et des conseils pour aider nos clients \u00e0 comprendre et \u00e0 mettre en \u0153uvre efficacement les mesures de s\u00e9curit\u00e9.<\/p>\n En choisissant Unicorne comme votre partenaire AWS de confiance, vous pouvez \u00eatre s\u00fbr que vos donn\u00e9es et votre infrastructure sont prot\u00e9g\u00e9es par des mesures et des pratiques de s\u00e9curit\u00e9 de premier plan de l\u2019industrie. Nous sommes d\u00e9termin\u00e9s \u00e0 maintenir les normes les plus \u00e9lev\u00e9es en mati\u00e8re de s\u00e9curit\u00e9 et \u00e0 vous aider \u00e0 atteindre vos objectifs commerciaux en toute s\u00e9curit\u00e9 sur la plateforme AWS. Pour plus d\u2019informations sur nos pratiques de s\u00e9curit\u00e9 ou pour discuter de vos besoins sp\u00e9cifiques en mati\u00e8re de s\u00e9curit\u00e9, veuillez nous contacter \u00e0 info@unicorne.cloud.<\/p>\n","protected":false},"excerpt":{"rendered":" Introduction Les op\u00e9rations de l\u2019organisation d\u00e9pendent en grande partie de l\u2019information qui est trait\u00e9e, produite et communiqu\u00e9e. Cette information est tr\u00e8s vaste et peut exister sur support papier ou technologique. Elle comprend, entre autres, les renseignements personnels des clients et des membres du personnel, la propri\u00e9t\u00e9 intellectuelle produite par les d\u00e9veloppeurs, ainsi que la documentation […]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":8,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_acf_changed":false,"footnotes":""},"class_list":["post-176","page","type-page","status-publish","hentry"],"acf":[],"yoast_head":"\n\n
Directives<\/strong><\/h3>\n
\n
D\u00e9tection et R\u00e9ponse<\/strong><\/h3>\n
Protection de l\u2019Infrastructure<\/strong><\/h3>\n
Gestion des Incidents<\/strong><\/h3>\n
Am\u00e9lioration Continue<\/h2>\n
Sensibilisation et \u00c9ducation des Clients<\/h2>\n
Conclusion<\/h2>\n