Politique de sécurité de l’information
Objet
Le Groupe Mapal (sociétés énumérées à l’Annexe A) s’engage à protéger la confidentialité, l’intégrité et la disponibilité des informations, y compris des données à caractère personnel, ainsi que des systèmes et services qui soutiennent ses activités et la fourniture de ses produits et services. La sécurité de l’information est essentielle pour préserver la confiance des clients, fournir des produits et services logiciels sûrs et fiables, garantir la résilience des activités et permettre une croissance durable.
Engagements de la politique
Le Groupe Mapal maintient un Système de Management de la Sécurité de l’Information (SMSI) adapté aux objectifs métier de l’organisation, à son profil de risque et aux obligations légales, réglementaires et contractuelles applicables. À cette fin, le Groupe Mapal s’engage à :
- Établir, maintenir et améliorer en continu un cadre documenté de sécurité de l’information, composé de la présente politique ainsi que des normes, procédures, lignes directrices et enregistrements qui la mettent en œuvre.
- Organiser les exigences et les contrôles de sécurité de l’information en domaines de sécurité définis, afin de favoriser une gouvernance, une gestion des risques, une mise en œuvre et une amélioration continue cohérentes.
- Définir des exigences de sécurité de l’information thématiques au moyen de normes de sécurité approuvées par le RSSI.
- Identifier, évaluer, traiter et surveiller les risques liés à la sécurité de l’information selon la méthodologie approuvée d’appréciation et de traitement des risques.
- Protéger les actifs informationnels par des mesures de contrôle administratives, techniques et physiques appropriées.
- Intégrer les exigences de sécurité de l’information dans les processus métier, les produits, les services et les projets.
- Respecter les obligations légales, réglementaires et contractuelles applicables en matière de sécurité de l’information, de protection des données et de vie privée.
- Promouvoir la sensibilisation et la responsabilisation en matière de sécurité dans l’ensemble de l’organisation.
- Surveiller, réexaminer et améliorer en continu l’efficacité du programme de sécurité de l’information et du SMSI.
Autorité et gouvernance
Le Directeur général (CEO) assure le parrainage exécutif de la sécurité de l’information et approuve la présente politique.
Le Responsable de la sécurité des systèmes d’information (RSSI) est habilité à établir, maintenir et approuver le cadre de sécurité de l’information, y compris les normes de sécurité, procédures, lignes directrices et mesures de contrôle nécessaires à la mise en œuvre de la présente politique et au fonctionnement du SMSI.
Le Comité de sécurité de l’information est consulté et apporte un regard critique sur les politiques et normes de sécurité de l’information nouvelles ou modifiées de manière significative, les exceptions importantes, la posture de risque de sécurité et les questions stratégiques de gouvernance de la sécurité. Le Comité ne se substitue pas au pouvoir d’approbation des normes délégué au RSSI, sauf si une question est remontée conformément au processus approuvé de gouvernance ou de gestion des risques.
Gouvernance des normes
Les normes de sécurité sont des exigences de sécurité de l’information obligatoires et thématiques. Chaque norme doit être approuvée, publiée, communiquée aux publics concernés, faire l’objet d’un accusé de réception le cas échéant, et être réexaminée à intervalles planifiés ainsi qu’après tout changement significatif.
Rôles et responsabilités
Le Responsable de la sécurité des systèmes d’information (RSSI) est chargé d’établir et de maintenir le cadre de sécurité de l’information, de superviser et de surveiller l’efficacité des mesures de sécurité de l’information et de rendre compte de la posture de sécurité de l’organisation.
Les managers sont chargés de veiller au respect des exigences de sécurité de l’information applicables dans leur périmètre de responsabilité.
Les propriétaires de systèmes, de services et de données sont responsables de la gestion sécurisée des actifs et des informations qui leur sont confiés, ainsi que de la mise en œuvre, de l’exploitation et du maintien des mesures de contrôle applicables.
L’ensemble du personnel et les tiers autorisés doivent respecter les exigences de sécurité de l’information applicables et signaler sans délai tout incident de sécurité suspecté, toute vulnérabilité ou toute dérogation à la politique.
Acceptation des risques
Les autorités habilitées à accepter les risques sont définies dans la Méthodologie approuvée d’appréciation et de traitement des risques et ne sont pas redéfinies par la présente politique.
Gouvernance et réexamen
La présente politique est réexaminée au moins une fois par an ou à la suite de changements significatifs d’ordre commercial, juridique, réglementaire, technologique, organisationnel ou liés aux risques. Les dérogations à la présente politique et aux normes associées doivent être documentées, faire l’objet d’une appréciation des risques, être approuvées par l’autorité compétente et être réexaminées périodiquement.