Politique de sécurité

Dernière mise à jour : 19 mars 2024

Larinstamb s'engage à protéger la sécurité des informations de ses utilisateurs et de ses systèmes. La présente politique de sécurité décrit les mesures techniques et organisationnelles mises en place pour garantir la confidentialité, l'intégrité et la disponibilité des données traitées dans le cadre de nos services de traitement de la paie et de calcul des charges sociales.

1. Périmètre d'application

Cette politique s'applique à l'ensemble des systèmes, infrastructures, applications et processus exploités par Larinstamb pour fournir ses services en ligne. Elle concerne tous les utilisateurs, collaborateurs, sous-traitants et partenaires ayant accès aux environnements techniques de la plateforme.

2. Gouvernance de la sécurité

La sécurité de l'information est pilotée par une responsabilité clairement définie au sein de l'organisation. Des révisions périodiques de cette politique sont effectuées afin de tenir compte de l'évolution des menaces, des technologies et des pratiques du secteur.

• Désignation d'un responsable de la sécurité des systèmes d'information
• Revue annuelle de la politique de sécurité
• Sensibilisation régulière du personnel aux enjeux de sécurité
• Documentation et traçabilité des décisions relatives à la sécurité

3. Sécurité de l'infrastructure

3.1 Hébergement et disponibilité

Les services sont hébergés sur des infrastructures disposant de certifications reconnues en matière de sécurité physique et logique. Des mécanismes de redondance et de basculement automatique sont mis en œuvre pour assurer la continuité de service.

3.2 Sécurité réseau

L'infrastructure réseau est protégée par plusieurs couches de défense :

• Pare-feu applicatifs et réseau configurés selon le principe du moindre privilège
• Systèmes de détection et de prévention des intrusions
• Segmentation des réseaux internes et isolation des environnements de production
• Surveillance continue du trafic réseau
• Protection contre les attaques par déni de service distribué (DDoS)

3.3 Gestion des accès à l'infrastructure

L'accès aux systèmes d'infrastructure est strictement contrôlé. Seul le personnel autorisé peut accéder aux environnements de production, via des connexions sécurisées et après authentification renforcée.

4. Chiffrement des données

4.1 Données en transit

Toutes les communications entre les utilisateurs et la plateforme sont chiffrées à l'aide du protocole TLS dans sa version courante et recommandée. Les connexions non sécurisées sont automatiquement redirigées vers une connexion chiffrée.

4.2 Données au repos

Les données stockées sur nos systèmes font l'objet d'un chiffrement au niveau du stockage. Les sauvegardes sont également chiffrées avant leur transfert et leur conservation.

4.3 Gestion des clés cryptographiques

Les clés cryptographiques sont gérées selon des procédures formalisées incluant leur génération sécurisée, leur rotation périodique et leur révocation en cas de compromission suspectée.

5. Contrôle des accès

5.1 Principes généraux

L'attribution des droits d'accès repose sur les principes du moindre privilège et de la séparation des responsabilités. Les accès sont accordés en fonction des besoins opérationnels et font l'objet de révisions régulières.

5.2 Authentification

• Exigence de mots de passe répondant à des critères de complexité définis
• Disponibilité de l'authentification à deux facteurs pour les comptes utilisateurs
• Verrouillage automatique des sessions après une période d'inactivité
• Journalisation des tentatives de connexion réussies et échouées

5.3 Gestion des comptes

Les comptes utilisateurs inactifs font l'objet d'une désactivation selon des délais définis. La suppression des accès est effectuée sans délai en cas de fin de relation contractuelle ou de changement de fonction.

6. Sécurité applicative

6.1 Développement sécurisé

Le développement des fonctionnalités de la plateforme intègre la sécurité à chaque étape du cycle de vie logiciel. Les pratiques de développement sécurisé incluent notamment :

• Revues de code orientées sécurité
• Tests de sécurité intégrés au processus de livraison
• Gestion des dépendances et surveillance des vulnérabilités connues
• Séparation stricte des environnements de développement, de test et de production

6.2 Tests et audits

Des évaluations de sécurité sont conduites périodiquement, incluant des tests d'intrusion et des analyses de vulnérabilités. Les résultats donnent lieu à des plans de remédiation priorisés selon le niveau de risque identifié.

6.3 Gestion des correctifs

Les mises à jour de sécurité sont appliquées selon un processus formalisé tenant compte de la criticité des vulnérabilités. Les correctifs critiques font l'objet d'un traitement prioritaire.

7. Protection des données personnelles

Les mesures de sécurité décrites dans la présente politique contribuent directement à la protection des données personnelles traitées dans le cadre de nos services. La sécurité des traitements est assurée conformément aux obligations applicables en matière de protection des données.

Pour toute question relative au traitement de vos données personnelles, nous vous invitons à consulter notre politique de confidentialité.

8. Continuité d'activité et reprise après sinistre

8.1 Sauvegardes

Des sauvegardes régulières des données et configurations critiques sont effectuées selon une fréquence adaptée aux exigences de continuité. La restauration des sauvegardes fait l'objet de tests périodiques pour en vérifier l'intégrité et l'efficacité.

8.2 Plan de continuité

Un plan de continuité d'activité définit les procédures à suivre en cas d'incident majeur. Les objectifs de temps de reprise et de point de reprise sont définis et régulièrement testés.

9. Gestion des incidents de sécurité

9.1 Détection et réponse

Des mécanismes de surveillance et d'alerte sont en place pour détecter les événements de sécurité anormaux. Une procédure de réponse aux incidents définit les étapes de qualification, de confinement, d'éradication et de rétablissement.

9.2 Notification

En cas d'incident susceptible d'affecter la sécurité des données des utilisateurs, Larinstamb s'engage à notifier les parties concernées dans les délais requis et à fournir les informations nécessaires sur la nature de l'incident et les mesures prises.

9.3 Signalement

Tout utilisateur ou tiers ayant connaissance d'une vulnérabilité ou d'un incident de sécurité potentiel est invité à le signaler sans délai à l'adresse suivante : [email protected]

10. Gestion des tiers et des sous-traitants

Les prestataires et sous-traitants ayant accès aux systèmes ou aux données de Larinstamb sont soumis à des exigences de sécurité contractuelles. Une évaluation de leur niveau de sécurité est réalisée avant tout engagement et périodiquement par la suite.

11. Sécurité physique

Les centres de données hébergeant l'infrastructure sont soumis à des contrôles d'accès physiques stricts, incluant des systèmes de surveillance, des procédures d'identification et des journaux d'accès. L'accès aux équipements est limité au personnel habilité.

12. Formation et sensibilisation

L'ensemble du personnel intervenant sur les systèmes bénéficie de formations régulières sur les enjeux de la sécurité de l'information, les bonnes pratiques à adopter et les procédures internes à respecter. La sensibilisation aux risques liés à l'ingénierie sociale et au hameçonnage fait partie intégrante de ces formations.

13. Conformité et audits

Larinstamb veille à ce que ses pratiques de sécurité soient conformes aux normes et référentiels reconnus du secteur. Des audits internes et, le cas échéant, externes sont conduits pour évaluer l'efficacité des mesures en place et identifier les axes d'amélioration.

14. Mise à jour de la politique

La présente politique de sécurité est révisée au minimum une fois par an ou à la suite de tout changement significatif affectant les systèmes, les processus ou le contexte réglementaire. La version en vigueur est accessible à tout moment sur notre site.

15. Contact

Pour toute question relative à la présente politique de sécurité ou pour signaler un incident, vous pouvez nous contacter :