1. Note explicative

Kymos dépend de systèmes TIC (technologies de l’information et de la communication) pour atteindre ses objectifs.

Ces systèmes doivent être gérés avec diligence, en prenant les mesures appropriées pour les protéger contre tout dommage accidentel ou délibéré susceptible d’affecter la disponibilité, l’intégrité et la confidentialité des informations traitées ou des services fournis.

L’objectif de la sécurité de l’information est de garantir la qualité de l’information et la continuité de la fourniture des services, en agissant de manière préventive, en surveillant l’activité quotidienne et en réagissant rapidement aux incidents.

Pour se prémunir contre ces menaces, une stratégie s’adaptant à l’évolution des conditions environnementales est nécessaire afin d’assurer la continuité de la fourniture des services.

Cela implique que les départements mettent en œuvre les mesures de sécurité requises par l’ISO 27001 et la directive NIS 2 (annexe I, point 5 « Secteur de la santé », en lien avec la NACE Rev.2, section C, point 21 « Fabrication de médicaments »), ainsi qu’un suivi continu des niveaux de prestation de services, le suivi, l’analyse et la correction des vulnérabilités signalées, et la préparation d’une réponse efficace aux incidents afin d’assurer la continuité des services fournis.

Les différents départements doivent veiller à ce que la sécurité des TIC fasse partie intégrante de chaque étape du cycle de vie du système, de sa conception à sa mise hors service, en passant par les décisions de développement ou d’acquisition et les activités opérationnelles.

Les exigences de sécurité et les financements doivent être identifiés et intégrés à la planification, aux appels d’offres et aux dossiers de consultation des projets TIC. Les départements doivent être prêts à prévenir, détecter, réagir et se rétablir après des incidents conformément à la directive NIS2, à son article 29.a.

2. Gestion des incidents de sécurité

2.1 Prévention

Les départements doivent éviter, ou à tout le moins prévenir autant que possible, que des informations ou des services soient compromis par des incidents de sécurité. L’ISO 27001 et la directive NIS2 indiquent toutes deux que les systèmes doivent être conçus et configurés pour garantir la sécurité par défaut, conformément au principe du moindre privilège « Need to Know ».

À cette fin, les départements doivent mettre en œuvre les mesures minimales de sécurité déterminées par l’ISO 27001, conformément aux exigences énoncées dans la directive NIS2, ainsi que tout contrôle supplémentaire identifié au moyen d’une évaluation des menaces et des risques. Ces contrôles, ainsi que les rôles et responsabilités en matière de sécurité de l’ensemble du personnel, doivent être clairement définis et documentés.

Pour assurer la conformité à la politique, les départements doivent :

• Établir des zones sécurisées pour les systèmes d’information critiques ou confidentiels.
• Autoriser les systèmes avant leur mise en exploitation.
• Évaluer régulièrement la sécurité, y compris l’évaluation des changements de configuration effectués au quotidien.
• Demander un examen périodique par des tiers afin d’obtenir une évaluation indépendante.

2.2 Détection

Étant donné que les services peuvent se dégrader rapidement en raison d’incidents, allant d’un simple ralentissement à un arrêt complet, les services doivent surveiller en continu leur fonctionnement afin de détecter les anomalies dans les niveaux de prestation de services et agir en conséquence, comme le prévoient l’ISO 27001 et NIS 2.

La surveillance est particulièrement pertinente lors de l’établissement des lignes de défense. Des mécanismes de détection, d’analyse et de signalement doivent être mis en place afin d’informer régulièrement les responsables et de les alerter en cas d’écart significatif par rapport à des paramètres préalablement définis comme normaux.

Les systèmes de détection d’intrusion surveillent et auditent principalement les ressources de l’organisation, en vérifiant que la politique de sécurité n’est pas enfreinte et en tentant d’identifier toute activité malveillante de manière précoce et efficace.

Les classifications suivantes devront être établies selon les besoins :

• Systèmes de détection d’intrusion au niveau du réseau.
• Systèmes de détection d’intrusion au niveau du système.

2.3 Réponse

Les départements doivent :

• Mettre en place des mécanismes pour répondre efficacement aux incidents de sécurité.
• Désigner un point de contact pour les communications concernant les incidents détectés dans d’autres départements ou d’autres organismes.
• Établir des protocoles pour l’échange d’informations liées à l’incident.

2.4 Rétablissement

Afin d’assurer la disponibilité des services critiques, l’organisation veillera à l’existence d’un plan de continuité et des activités de rétablissement associées.

3. Champ d’application

Cette politique s’applique aux systèmes d’information qui soutiennent l’analyse, le contrôle qualité et la certification des produits pharmaceutiques, biotechnologiques et cosmétiques gérés par Kymos Group.

4. Mission et services fournis

Kymos, en tant qu’entreprise privée, veille à la gestion de ses intérêts et, dans le cadre de la fourniture de ses services à l’Administration publique et/ou à des entreprises privées du secteur pharmaceutique, sert avec objectivité les intérêts généraux en fournissant des services qui contribuent à satisfaire les besoins liés aux services fournis.

5. Cadre réglementaire

Le cadre juridique de la sécurité de l’information est établi par les éléments suivants :

• ISO/IEC 27001:2022, Sécurité de l’information, cybersécurité et protection de la vie privée.
• Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union (NIS 2) et la législation locale de transposition.

5.1 Protection des données à caractère personnel

• Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (Règlement général sur la protection des données).
• Loi 3/2018, du 5 décembre, relative à la protection des données à caractère personnel et à la garantie des droits numériques.

5.2 Administration électronique et signature électronique

• Règlement (UE) n° 910/2014 du Parlement européen et du Conseil (identification électronique et services de confiance pour les transactions électroniques au sein du marché intérieur).
• Loi 6/2020, du 11 novembre, réglementant certains aspects des services de confiance électroniques.
• COM (2001) 298 – final, de la Commission européenne – Sécurité des réseaux et de l’information : proposition d’une approche de politique européenne.
• Loi 6/2020, du 11 novembre, réglementant certains aspects des services de confiance électroniques.

5.3 Sécurité des réseaux et de l’information

• Lignes directrices de l’OCDE pour la sécurité des systèmes et réseaux d’information. Vers une culture de la sécurité. En complément de la législation en vigueur, il existe actuellement la norme internationale UNE ISO/IEC 27002 « Code de bonnes pratiques pour la gestion de la sécurité de l’information », devenue une référence pour l’audit des aspects liés à la sécurité de l’information dans les organisations.

6. Organisation de la sécurité : Comités, rôles et responsabilités

Le Comité de sécurité est l’organe qui coordonne la sécurité de l’information au niveau organisationnel.

Il est composé du Responsable de la sécurité de l’information et de représentants d’autres domaines concernés par l’ISO 27001 et NIS2.

Fonctions et responsabilités associées

• Responsabilités découlant du traitement des données à caractère personnel, en appui au Délégué à la protection des données (DPO) dans l’exercice de ses fonctions.
• Prendre en compte les préoccupations des organes supérieurs compétents et des différents départements.
• Rendre compte régulièrement de l’état de la sécurité de l’information aux responsables concernés.
• Promouvoir l’amélioration continue du Système de management de la sécurité de l’information (SMSI).
• Développer la stratégie de l’organisation pour l’évolution de la sécurité de l’information.
• Coordonner les efforts des différents domaines en matière de sécurité de l’information, afin de garantir la cohérence des actions, leur alignement sur la stratégie décidée dans ce domaine et d’éviter les doublons.
• Élaborer (et réviser régulièrement) la Politique de sécurité de l’information.
• Approuver les règlements internes de sécurité de l’information.
• Élaborer et approuver les exigences de formation et de qualification des administrateurs, opérateurs et utilisateurs du point de vue de la sécurité de l’information.
• Surveiller les principaux risques résiduels assumés par l’organisation et recommander les actions éventuelles à entreprendre.
• Surveiller la performance des processus de gestion des incidents de sécurité et recommander les actions éventuelles à cet égard. En particulier, assurer la coordination des différents domaines de sécurité dans la gestion des incidents de sécurité de l’information.
• Promouvoir des audits périodiques afin de vérifier le respect des obligations de sécurité de l’organisation.
• Approuver les plans d’amélioration de la sécurité de l’information de l’organisation.
• Veiller à ce que la sécurité de l’information soit prise en compte dans tous les projets, depuis leur spécification initiale jusqu’à leur mise en œuvre.
• Résoudre les conflits de responsabilité pouvant survenir entre les différentes personnes en charge et/ou entre différents domaines de l’organisation, en communiquant la situation aux responsables dans les cas où il ne dispose pas de l’autorité suffisante pour décider.

En cas d’incident de sécurité de l’information

Il approuve le Plan d’amélioration de la sécurité, avec l’allocation budgétaire correspondante. Le Comité de sécurité de l’information n’est pas un comité technique, mais il sollicitera régulièrement, auprès de son propre personnel technique ou de personnel technique externe, les informations pertinentes pour la prise de décision. Le Comité de sécurité de l’information sollicitera des avis sur les sujets sur lesquels il doit décider ou émettre un avis. Ces avis seront déterminés au cas par cas et pourront prendre différentes formes :

• Groupes de travail spécialisés internes, externes ou mixtes.
• Conseil externe.
• Participation à des cours ou à d’autres types de formation ou d’environnements de partage d’expérience.

Le Responsable de la sécurité de l’information est le secrétaire du Comité de sécurité de l’information et, à ce titre :

• Convoque les réunions du Comité de sécurité de l’information.
• Prépare les sujets à discuter lors des réunions du Comité, en fournissant en temps utile les informations nécessaires à la prise de décision.
• Rédige les procès-verbaux des réunions.
• Est responsable de la mise en œuvre directe ou déléguée des décisions du Comité.

6.1 Définition des rôles

La Politique de sécurité doit identifier clairement les responsables du respect de la conformité et doit être connue de tous les membres de l’organisation administrative.

Les rôles suivants sont établis au sein de l’organisation en lien avec la sécurité de l’information.

6.1.1 Responsable de l’information

Il correspond au niveau d’un organe de gouvernance de haut niveau qui comprend la mission de l’organisation, détermine les objectifs qu’elle entend atteindre et est responsable de veiller à leur réalisation.

Ses fonctions peuvent être attribuées à une personne physique ou au Comité de sécurité de l’information.

La personne ou l’organe qui l’assume doit être identifié pour chaque information traitée par l’organisation.

Fonctions et responsabilités associées

• Définit les exigences de sécurité de l’information.
• Assume la responsabilité ultime de l’utilisation des informations critiques et, par conséquent, de leur protection.
• Détermine les niveaux de sécurité dans chaque dimension de l’information.
• Bien que l’approbation formelle des niveaux d’information relève du Responsable de l’information, celui-ci peut solliciter une proposition du Responsable de la sécurité de l’information, du Responsable du SMSI et de l’Administration de la sécurité des systèmes, le cas échéant.

Compatibilité avec d’autres rôles

Ce rôle peut coïncider avec celui de Responsable de service.

Ce rôle ne doit pas coïncider avec celui de Responsable de la sécurité de l’information, de Responsable du SMSI ou d’Administrateur de la sécurité des systèmes, le cas échéant.

6.1.2 Responsable de service

Lorsqu’il est différent du Responsable de l’information, il peut se situer au niveau d’un organe de gouvernance de haut niveau, comme le Responsable de l’information, ou au niveau d’une direction exécutive ou d’un management, qui comprend ce que fait chaque département et comment les départements se coordonnent pour atteindre les objectifs fixés par les organes supérieurs compétents.

Ses fonctions peuvent être attribuées à une personne physique ou au Comité de sécurité de l’information.

La personne ou l’organe qui l’assume doit être identifié pour chaque service fourni par l’organisation.

Fonctions et responsabilités associées

• Établit les exigences de sécurité des services.
• Assume la responsabilité ultime de l’utilisation de certains services et, par conséquent, de leur protection. En cas d’existence d’un prestataire de services, il est responsable de la gestion et de l’atténuation des erreurs ou actions négligentes sous son contrôle susceptibles d’entraîner des incidents de disponibilité du service.
• Détermine les niveaux de sécurité dans chaque dimension du service.
• Bien que l’approbation formelle des niveaux relève du Responsable de service, celui-ci peut solliciter une proposition du Responsable de la sécurité de l’information, du Responsable du SMSI et de l’Administrateur de la sécurité des systèmes, le cas échéant.
• La fourniture d’un service doit toujours satisfaire aux exigences de sécurité des informations qu’il traite, ainsi qu’aux exigences de sécurité du service, en y ajoutant des exigences de disponibilité et d’autres, telles que l’accessibilité et l’interopérabilité.

Compatibilité avec d’autres rôles

Ce rôle peut coïncider avec celui de Responsable de l’information.

Ce rôle ne doit pas coïncider avec celui de Responsable de la sécurité de l’information, de Responsable du SMSI ou d’Administrateur de la sécurité des systèmes, le cas échéant.

6.1.3 Responsable de la sécurité de l’information / CISO

Il correspond au niveau d’une direction exécutive ou d’un management.

Une seule personne au sein de l’organisation doit être formellement désignée comme Responsable de la sécurité de l’information, bien que celui-ci puisse déléguer une partie de ses fonctions à d’autres personnes appelées délégués.

Fonctions et responsabilités associées

• Rend compte directement au Comité de sécurité de l’information.
• Agit en tant que secrétaire du Comité de sécurité de l’information.
• Convoque le Comité de sécurité de l’information.
• Maintient la sécurité des informations utilisées, des services fournis et des systèmes d’information.
• Promeut la formation et la sensibilisation à la sécurité de l’information.
• Recueille les exigences de sécurité des Responsables de l’information et des services, avec le Responsable du SMSI, et détermine la criticité du système.
• Réalise l’analyse des risques.
• Établit une Déclaration d’applicabilité sur la base des mesures de sécurité requises selon l’ISO 27001 et NIS2, et du résultat de l’analyse des risques.
• Fournit à la direction et aux autres membres du Comité des informations sur le niveau de risque résiduel attendu après la mise en œuvre des options de traitement sélectionnées dans l’analyse des risques et des mesures de sécurité requises.
• Coordonne la préparation de la documentation de sécurité du système.
• Participe à l’élaboration, dans le cadre du Comité de sécurité de l’information, de la Politique de sécurité de l’information, pour approbation par la direction.
• Participe à la rédaction et à l’approbation des politiques, procédures et règlements internes de sécurité de l’information de l’organisation dans le cadre du Comité de sécurité de l’information
• Élabore, maintient et approuve les procédures opérationnelles de sécurité de l’information.
• Fournit régulièrement au Comité de sécurité un résumé des actions de sécurité, des incidents de sécurité de l’information et de l’état de sécurité du système.
• Élabore, avec le Responsable du SMSI, des Plans d’amélioration de la sécurité pour approbation par le Comité de sécurité de l’information.
• Promeut la formation et la sensibilisation et élabore des Plans de formation et de sensibilisation à la sécurité de l’information pour le personnel, qui doivent être approuvés par le Comité de sécurité de l’information.
• Valide les Plans de continuité des systèmes élaborés par le Responsable du SMSI, qui doivent être approuvés par le Comité de sécurité de l’information et testés périodiquement par le Responsable du SMSI.
• Approuve les lignes directrices proposées par le Responsable du SMSI afin de prendre en compte la sécurité de l’information tout au long du cycle de vie des actifs et des processus : spécification, architecture, développement, exploitation et changements.

En cas d’incident de sécurité de l’information

Le Responsable de la sécurité de l’information analyse et propose des mesures de protection afin d’éviter que des incidents similaires ne se reproduisent à l’avenir.

Compatibilité avec d’autres rôles

Ce rôle ne peut pas coïncider avec celui de Responsable du SMSI et d’Administrateur de la sécurité des systèmes, le cas échéant.

Délégation de fonctions

Pour certains systèmes d’information qui, en raison de leur complexité, de leur distribution, de la séparation physique de leurs éléments ou du nombre d’utilisateurs, nécessitent du personnel supplémentaire pour exercer les fonctions du Responsable de la sécurité de l’information, les Responsables de sécurité délégués jugés nécessaires peuvent être nommés par le Responsable de la sécurité de l’information, avec l’approbation préalable du Comité de sécurité de l’information.

Par la désignation de délégués, les fonctions sont déléguées. La responsabilité ultime demeure celle du Responsable de la sécurité de l’information.

Les Responsables de sécurité délégués sont chargés de l’ensemble des fonctions déléguées par le Responsable de la sécurité de l’information et rendent compte directement au Responsable de la sécurité de l’information.

6.1.4 Responsable du SMSI

Correspond au niveau d’une direction opérationnelle.

Une personne physique doit être formellement désignée comme Responsable du SMSI.

Fonctions et responsabilités associées

Ses fonctions sont les suivantes :

• Établir, réviser et maintenir la politique de sécurité de l’information de l’organisation.
• Coordonner l’identification, l’analyse et le traitement des risques.
• Assurer l’application des contrôles et mesures de sécurité.
• Coordonner les audits internes du SMSI et les actions correctives qui en découlent.
• Gérer la documentation du SMSI, y compris la Déclaration d’applicabilité (SoA), en collaboration avec le Responsable de la sécurité de l’information.
• Collaborer avec le Responsable de la sécurité de l’information, le DPO et d’autres rôles clés afin d’assurer l’intégration de la sécurité et de la protection de la vie privée au sein de l’organisation.

En cas d’incident de sécurité de l’information

Planifie la mise en œuvre des mesures de protection dans le système et met en œuvre le plan de sécurité approuvé.

Compatibilité avec d’autres rôles

Ce rôle ne doit pas coïncider avec celui d’Administrateur de la sécurité des systèmes et de Responsable de la sécurité de l’information.

6.1.5 Administrateur de la sécurité des systèmes

Correspond au niveau d’un employé qualifié en sécurité des systèmes informatiques.

L’Administrateur de la sécurité des systèmes est nommé par le Responsable du SMSI, auquel il rend compte de toutes les questions relatives à la sécurité de l’information des systèmes gérés.

Fonctions et responsabilités associées

• La mise en œuvre, la gestion et la maintenance des mesures de sécurité applicables au Système d’information.
• Veiller à ce que les contrôles de sécurité établis soient strictement mis en œuvre.
• Veiller à ce que les pistes d’audit et les journaux de sécurité requis soient activés, conservés et surveillés conformément aux exigences de sécurité de l’information de l’organisation.
• Mettre en œuvre, exploiter et maintenir les procédures, mécanismes et contrôles de sécurité requis pour les systèmes, les utilisateurs et les actifs internes et externes associés.
• Veiller à l’application des procédures approuvées de gestion du système d’information et des mécanismes et services de sécurité requis.
• La gestion, la configuration et la mise à jour, le cas échéant, du matériel et des logiciels sur lesquels reposent les mécanismes et services de sécurité du Système d’information.
• Surveiller les installations, modifications et mises à niveau du matériel et des logiciels afin de s’assurer que la sécurité n’est pas compromise.
• Approuver les changements de la configuration actuelle du Système d’information, en veillant à ce que les mécanismes et services de sécurité en place restent opérationnels.
• Signaler au Responsable du SMSI toute anomalie, compromission ou vulnérabilité liée à la sécurité.
• Surveiller l’état de sécurité du système.

En cas d’incident de sécurité de l’information

• Journalisation, comptabilisation et gestion des incidents de sécurité dans les systèmes dont il a la responsabilité.
• Mettre en œuvre le plan de sécurité approuvé.
• Isoler l’incident afin d’empêcher sa propagation à d’autres éléments non compromis par l’incident.
• Prendre des décisions à court terme si des informations ont été compromises d’une manière susceptible d’avoir de graves conséquences (ces actions doivent être documentées).
• Assurer l’intégrité des éléments critiques du Système si leur disponibilité a été affectée.
• Maintenir et récupérer les informations stockées par le Système et ses services associés.
• Enquêter sur l’incident : déterminer les caractéristiques, les moyens, les motivations et l’origine de l’incident.

Compatibilité avec d’autres rôles

Ce rôle ne doit pas coïncider avec celui de Responsable du SMSI et de Responsable de la sécurité de l’information.

Délégation de fonctions

Pour certains systèmes d’information qui, en raison de leur complexité, de leur distribution, de la séparation physique de leurs éléments ou du nombre d’utilisateurs, nécessitent du personnel supplémentaire pour exercer les fonctions de l’Administrateur de la sécurité des systèmes, les Administrateurs de la sécurité des systèmes délégués jugés nécessaires peuvent être nommés par l’Administrateur de la sécurité des systèmes, avec l’approbation préalable du Comité de sécurité de l’information.

Par la désignation de délégués, les fonctions sont déléguées. La responsabilité ultime demeure celle de l’Administrateur de la sécurité des systèmes.

Les Administrateurs de la sécurité des systèmes délégués sont chargés de l’ensemble des fonctions déléguées par l’Administrateur de la sécurité des systèmes et rendent compte directement à l’Administrateur de la sécurité des systèmes.

6.1.6 Délégué à la protection des données

Le Délégué à la protection des données est un rôle prévu par le RGPD (Règlement général sur la protection des données) et par la loi organique espagnole 3/2018 applicable sur la protection générale des données à caractère personnel.

Ce rôle doit être assumé par une personne physique.

Fonctions et responsabilités associées

• Rendre compte directement au plus haut niveau hiérarchique des recommandations, évaluations ou conseils concernant la protection des données à caractère personnel.
• Collaborer avec le Responsable de la sécurité de l’information en cas d’incidents de sécurité susceptibles d’affecter des données à caractère personnel.
• Superviser la conformité à la législation applicable en matière de protection de la vie privée, tant en interne qu’en externe vis-à-vis des prestataires.
• Aider à l’évaluation des risques liés aux données à caractère personnel et aux mesures de protection associées.
• Participer aux activités de sensibilisation et de formation liées à la protection des données.

6.2 Responsabilités au titre de l’ISO 27001 et de NIS 2

Les principales responsabilités sont présentées ci-dessous en corrélation avec les mesures de sécurité :

À cet égard, voir le document suivant : « REG-03 RACI ».

7. Données à caractère personnel

Kymos traite des données à caractère personnel ; l’organisation dispose donc du Registre des activités de traitement correspondant, conformément aux dispositions du RGPD.

Tous les systèmes d’information de Kymos Group doivent respecter les niveaux de sécurité requis par la réglementation, au regard de la nature et de la finalité des données à caractère personnel collectées.

8. Gestion des risques

8.1 Justification

Tous les systèmes soumis à la présente Politique devront réaliser une analyse des risques, en évaluant les menaces et les risques auxquels ils sont exposés.

L’analyse des risques constituera la base pour déterminer les mesures de sécurité à prendre, qui seront détaillées dans l’analyse des risques et sa Déclaration d’applicabilité.

8.2 Critères d’évaluation des risques

Afin d’harmoniser la méthodologie d’analyse des risques, le Comité de sécurité de l’information établira une évaluation de référence pour les différents types d’informations traitées et les différents services fournis.

Les critères détaillés d’évaluation des risques seront précisés dans la méthodologie d’évaluation des risques à élaborer par l’organisation, sur la base de normes et pratiques reconnues.

Tous les risques susceptibles d’entraver gravement la capacité opérationnelle de l’organisation ou l’accomplissement de sa mission doivent être traités.

Une priorité particulière sera accordée aux risques impliquant une interruption de la fourniture des services rendus.

8.3 Lignes directrices de traitement

Le Comité de sécurité de l’information rationalisera la disponibilité des ressources afin de répondre aux besoins de sécurité des différents systèmes, en favorisant les investissements horizontaux.

8.4 Processus d’acceptation du risque résiduel

Les risques résiduels seront déterminés par le Responsable de la sécurité de l’information.

Les niveaux de risque résiduel attendus pour chaque information après la mise en œuvre des options de traitement (y compris la mise en œuvre des mesures de sécurité prévues dans l’ISO 27002 et dans la directive NIS2) seront acceptés par le Comité de sécurité de l’information.

Les niveaux de risque résiduel seront soumis par le Responsable de la sécurité de l’information au Comité de sécurité de l’information (ISC), qui évaluera, approuvera ou rectifiera les options de traitement proposées, selon le cas.

8.5 Nécessité de réaliser ou de mettre à jour les évaluations des risques

L’analyse des risques et leur traitement doivent être une activité régulière, comme l’exigent l’ISO 27001 et la directive NIS2. Cette analyse sera répétée :

• Régulièrement, au moins une fois par an.
• Lorsqu’il y a des changements significatifs dans les informations traitées.
• Lorsqu’il y a des changements significatifs dans les services fournis.
• Lorsque des changements significatifs surviennent dans les systèmes qui traitent des informations et interviennent dans la fourniture des services.
• Lorsqu’un incident de sécurité grave se produit.
• Lorsque des vulnérabilités graves sont signalées.

9. Obligations du personnel

Tous les membres de l’organisation sont tenus de connaître et de respecter la présente Politique de sécurité de l’information et les Règlements de sécurité qui leur sont applicables, et il incombe au Comité de sécurité de l’information de fournir les moyens nécessaires pour que l’information parvienne aux personnes concernées.

Le respect de la présente Politique de sécurité est obligatoire pour l’ensemble du personnel interne et externe impliqué dans les processus de l’organisation, et le non-respect de celle-ci constitue une faute grave à des fins d’emploi, conformément à la convention collective de travail.

À cet égard, l’organisation dispose du document « IT-REGU-04 Règlement de sécurité des devoirs et rôles du personnel ».

10. Formation et sensibilisation du personnel

La Direction s’engage en faveur de la formation professionnelle et de la sensibilisation du personnel de Kymos Group.

L’objectif de Kymos est de sensibiliser en continu les employés à la cybersécurité et, à cette fin, l’organisation réalise :

• La diffusion en temps utile de capsules d’information sur la cybersécurité, en réponse à des situations à risque.
• Une formation annuelle de remise à niveau en cybersécurité pour l’ensemble du personnel.
• Des campagnes ponctuelles de simulation de phishing, au moins tous les deux ans.

11. Tiers

Lorsque des services sont fournis ou que des informations sont gérées par d’autres organisations, celles-ci doivent être informées de la présente Politique de sécurité de l’information ; des canaux de signalement et de coordination doivent être établis pour les Comités de sécurité de l’information respectifs, et des procédures doivent être mises en place pour réagir aux incidents de sécurité.

Lorsque des services de tiers sont utilisés ou que des informations sont fournies à des tiers, ceux-ci seront informés de la présente Politique de sécurité et des rôles et devoirs du personnel applicables à ces services ou informations. Ce tiers sera soumis aux obligations énoncées dans la présente politique et pourra élaborer ses propres procédures opérationnelles afin de satisfaire à ces obligations.

Des procédures spécifiques de signalement et de résolution des incidents doivent être établies. Il doit être garanti que le personnel des tiers dispose d’un niveau de sensibilisation à la sécurité au moins équivalent à celui défini dans la présente Politique.

Lorsqu’un aspect de la Politique ne peut pas être satisfait par un tiers comme l’exigent les paragraphes ci-dessus, un rapport du Responsable de la sécurité de l’information précisant les risques encourus et la manière dont ils seront traités sera requis. Ce rapport sera examiné par le Comité de sécurité de l’information et approuvé par les Responsables de l’information et des services, conjointement avec la Direction.

12. Révision et approbation de la Politique de sécurité

La Politique de sécurité de l’information doit être révisée par le Comité de sécurité de l’information à des intervalles planifiés, n’excédant pas un an, ou chaque fois que des changements significatifs surviennent, afin de garantir le maintien de sa pertinence, de son adéquation et de son efficacité.

Toute modification de la Politique de sécurité de l’information doit être révisée par le Comité de sécurité de l’information et approuvée par la Direction.

La Direction veillera à ce que l’ensemble du personnel comprenne et assume ses responsabilités en matière de sécurité de l’information, et promouvra le respect des politiques, procédures et contrôles de sécurité de l’information, tout en fournissant le soutien et les ressources nécessaires à leur mise en œuvre.

Enfin, la Politique de sécurité de l’information sera communiquée et mise à la disposition de l’ensemble du personnel et des parties prenantes de Kymos Group.