Kymos d\u00e9pend de syst\u00e8mes TIC (technologies de l\u2019information et de la communication) pour atteindre ses objectifs.<\/p>\n
Ces syst\u00e8mes doivent \u00eatre g\u00e9r\u00e9s avec diligence, en prenant les mesures appropri\u00e9es pour les prot\u00e9ger contre tout dommage accidentel ou d\u00e9lib\u00e9r\u00e9 susceptible d\u2019affecter la disponibilit\u00e9, l\u2019int\u00e9grit\u00e9 et la confidentialit\u00e9 des informations trait\u00e9es ou des services fournis.<\/p>\n
L\u2019objectif de la s\u00e9curit\u00e9 de l\u2019information est de garantir la qualit\u00e9 de l\u2019information et la continuit\u00e9 de la fourniture des services, en agissant de mani\u00e8re pr\u00e9ventive, en surveillant l\u2019activit\u00e9 quotidienne et en r\u00e9agissant rapidement aux incidents.<\/p>\n
Pour se pr\u00e9munir contre ces menaces, une strat\u00e9gie s\u2019adaptant \u00e0 l\u2019\u00e9volution des conditions environnementales est n\u00e9cessaire afin d\u2019assurer la continuit\u00e9 de la fourniture des services.<\/p>\n
Cela implique que les d\u00e9partements mettent en \u0153uvre les mesures de s\u00e9curit\u00e9 requises par l\u2019ISO 27001 et la directive NIS 2 (annexe I, point 5 \u00ab Secteur de la sant\u00e9 \u00bb, en lien avec la NACE Rev.2, section C, point 21 \u00ab Fabrication de m\u00e9dicaments \u00bb)<\/strong>, ainsi qu\u2019un suivi continu des niveaux de prestation de services, le suivi, l\u2019analyse et la correction des vuln\u00e9rabilit\u00e9s signal\u00e9es, et la pr\u00e9paration d\u2019une r\u00e9ponse efficace aux incidents afin d\u2019assurer la continuit\u00e9 des services fournis.<\/p>\n Les diff\u00e9rents d\u00e9partements doivent veiller \u00e0 ce que la s\u00e9curit\u00e9 des TIC fasse partie int\u00e9grante de chaque \u00e9tape du cycle de vie du syst\u00e8me, de sa conception \u00e0 sa mise hors service, en passant par les d\u00e9cisions de d\u00e9veloppement ou d\u2019acquisition et les activit\u00e9s op\u00e9rationnelles.<\/p>\n Les exigences de s\u00e9curit\u00e9 et les financements doivent \u00eatre identifi\u00e9s et int\u00e9gr\u00e9s \u00e0 la planification, aux appels d\u2019offres et aux dossiers de consultation des projets TIC. Les d\u00e9partements doivent \u00eatre pr\u00eats \u00e0 pr\u00e9venir, d\u00e9tecter, r\u00e9agir et se r\u00e9tablir apr\u00e8s des incidents conform\u00e9ment \u00e0 la directive NIS2, \u00e0 son article 29.a. <\/p>\n Les d\u00e9partements doivent \u00e9viter, ou \u00e0 tout le moins pr\u00e9venir autant que possible, que des informations ou des services soient compromis par des incidents de s\u00e9curit\u00e9. L\u2019ISO 27001 et la directive NIS2 indiquent toutes deux que les syst\u00e8mes doivent \u00eatre con\u00e7us et configur\u00e9s pour garantir la s\u00e9curit\u00e9 par d\u00e9faut, conform\u00e9ment au principe du moindre privil\u00e8ge \u00ab Need to Know \u00bb. <\/p>\n \u00c0 cette fin, les d\u00e9partements doivent mettre en \u0153uvre les mesures minimales de s\u00e9curit\u00e9 d\u00e9termin\u00e9es par l\u2019ISO 27001, conform\u00e9ment aux exigences \u00e9nonc\u00e9es dans la directive NIS2, ainsi que tout contr\u00f4le suppl\u00e9mentaire identifi\u00e9 au moyen d\u2019une \u00e9valuation des menaces et des risques. Ces contr\u00f4les, ainsi que les r\u00f4les et responsabilit\u00e9s en mati\u00e8re de s\u00e9curit\u00e9 de l\u2019ensemble du personnel, doivent \u00eatre clairement d\u00e9finis et document\u00e9s. <\/p>\n Pour assurer la conformit\u00e9 \u00e0 la politique, les d\u00e9partements doivent :<\/p>\n \u00c9tant donn\u00e9 que les services peuvent se d\u00e9grader rapidement en raison d\u2019incidents, allant d\u2019un simple ralentissement \u00e0 un arr\u00eat complet, les services doivent surveiller en continu leur fonctionnement afin de d\u00e9tecter les anomalies dans les niveaux de prestation de services et agir en cons\u00e9quence, comme le pr\u00e9voient l\u2019ISO 27001 et NIS 2.<\/p>\n La surveillance est particuli\u00e8rement pertinente lors de l\u2019\u00e9tablissement des lignes de d\u00e9fense. Des m\u00e9canismes de d\u00e9tection, d\u2019analyse et de signalement doivent \u00eatre mis en place afin d\u2019informer r\u00e9guli\u00e8rement les responsables et de les alerter en cas d\u2019\u00e9cart significatif par rapport \u00e0 des param\u00e8tres pr\u00e9alablement d\u00e9finis comme normaux. <\/p>\n Les syst\u00e8mes de d\u00e9tection d\u2019intrusion surveillent et auditent principalement les ressources de l\u2019organisation, en v\u00e9rifiant que la politique de s\u00e9curit\u00e9 n\u2019est pas enfreinte et en tentant d\u2019identifier toute activit\u00e9 malveillante de mani\u00e8re pr\u00e9coce et efficace.<\/p>\n Les classifications suivantes devront \u00eatre \u00e9tablies selon les besoins :<\/p>\n Les d\u00e9partements doivent :<\/p>\n Afin d\u2019assurer la disponibilit\u00e9 des services critiques, l\u2019organisation veillera \u00e0 l\u2019existence d\u2019un plan de continuit\u00e9 et des activit\u00e9s de r\u00e9tablissement associ\u00e9es.<\/p>\n Cette politique s\u2019applique aux syst\u00e8mes d\u2019information qui soutiennent l\u2019analyse, le contr\u00f4le qualit\u00e9 et la certification des produits pharmaceutiques, biotechnologiques et cosm\u00e9tiques g\u00e9r\u00e9s par Kymos Group.<\/p>\n Kymos, en tant qu\u2019entreprise priv\u00e9e, veille \u00e0 la gestion de ses int\u00e9r\u00eats et, dans le cadre de la fourniture de ses services \u00e0 l\u2019Administration publique et\/ou \u00e0 des entreprises priv\u00e9es du secteur pharmaceutique, sert avec objectivit\u00e9 les int\u00e9r\u00eats g\u00e9n\u00e9raux en fournissant des services qui contribuent \u00e0 satisfaire les besoins li\u00e9s aux services fournis.<\/p>\n Le cadre juridique de la s\u00e9curit\u00e9 de l\u2019information est \u00e9tabli par les \u00e9l\u00e9ments suivants :<\/p>\n Le Comit\u00e9 de s\u00e9curit\u00e9 est l\u2019organe qui coordonne la s\u00e9curit\u00e9 de l\u2019information au niveau organisationnel.<\/p>\n Il est compos\u00e9 du Responsable de la s\u00e9curit\u00e9 de l\u2019information et de repr\u00e9sentants d\u2019autres domaines concern\u00e9s par l\u2019ISO 27001 et NIS2.<\/p>\n <\/a>Fonctions et responsabilit\u00e9s associ\u00e9es<\/u><\/strong><\/p>\n Il approuve le Plan d\u2019am\u00e9lioration de la s\u00e9curit\u00e9, avec l\u2019allocation budg\u00e9taire correspondante. Le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information n\u2019est pas un comit\u00e9 technique, mais il sollicitera r\u00e9guli\u00e8rement, aupr\u00e8s de son propre personnel technique ou de personnel technique externe, les informations pertinentes pour la prise de d\u00e9cision. Le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information sollicitera des avis sur les sujets sur lesquels il doit d\u00e9cider ou \u00e9mettre un avis. Ces avis seront d\u00e9termin\u00e9s au cas par cas et pourront prendre diff\u00e9rentes formes : <\/p>\n Le Responsable de la s\u00e9curit\u00e9 de l\u2019information est le secr\u00e9taire du Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information et, \u00e0 ce titre :<\/p>\n La Politique de s\u00e9curit\u00e9 doit identifier clairement les responsables du respect de la conformit\u00e9 et doit \u00eatre connue de tous les membres de l\u2019organisation administrative.<\/p>\n Les r\u00f4les suivants sont \u00e9tablis au sein de l\u2019organisation en lien avec la s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Il correspond au niveau d\u2019un organe de gouvernance de haut niveau qui comprend la mission de l\u2019organisation, d\u00e9termine les objectifs qu\u2019elle entend atteindre et est responsable de veiller \u00e0 leur r\u00e9alisation.<\/p>\n Ses fonctions peuvent \u00eatre attribu\u00e9es \u00e0 une personne physique ou au Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information.<\/p>\n La personne ou l\u2019organe qui l\u2019assume doit \u00eatre identifi\u00e9 pour chaque information trait\u00e9e par l\u2019organisation.<\/p>\n Ce r\u00f4le peut co\u00efncider avec celui de Responsable de service.<\/p>\n Ce r\u00f4le ne doit pas co\u00efncider avec celui de Responsable de la s\u00e9curit\u00e9 de l\u2019information, de Responsable du SMSI ou d\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes, le cas \u00e9ch\u00e9ant.<\/p>\n Lorsqu\u2019il est diff\u00e9rent du Responsable de l\u2019information, il peut se situer au niveau d\u2019un organe de gouvernance de haut niveau, comme le Responsable de l\u2019information, ou au niveau d\u2019une direction ex\u00e9cutive ou d\u2019un management, qui comprend ce que fait chaque d\u00e9partement et comment les d\u00e9partements se coordonnent pour atteindre les objectifs fix\u00e9s par les organes sup\u00e9rieurs comp\u00e9tents.<\/p>\n Ses fonctions peuvent \u00eatre attribu\u00e9es \u00e0 une personne physique ou au Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information.<\/p>\n La personne ou l\u2019organe qui l\u2019assume doit \u00eatre identifi\u00e9 pour chaque service fourni par l\u2019organisation.<\/p>\n Ce r\u00f4le peut co\u00efncider avec celui de Responsable de l\u2019information.<\/p>\n Ce r\u00f4le ne doit pas co\u00efncider avec celui de Responsable de la s\u00e9curit\u00e9 de l\u2019information, de Responsable du SMSI ou d\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes, le cas \u00e9ch\u00e9ant.<\/p>\n Il correspond au niveau d\u2019une direction ex\u00e9cutive ou d\u2019un management.<\/p>\n Une seule personne au sein de l\u2019organisation doit \u00eatre formellement d\u00e9sign\u00e9e comme Responsable de la s\u00e9curit\u00e9 de l\u2019information, bien que celui-ci puisse d\u00e9l\u00e9guer une partie de ses fonctions \u00e0 d\u2019autres personnes appel\u00e9es d\u00e9l\u00e9gu\u00e9s.<\/p>\n Ce r\u00f4le ne peut pas co\u00efncider avec celui de Responsable du SMSI et d\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes, le cas \u00e9ch\u00e9ant.<\/p>\n Pour certains syst\u00e8mes d\u2019information qui, en raison de leur complexit\u00e9, de leur distribution, de la s\u00e9paration physique de leurs \u00e9l\u00e9ments ou du nombre d\u2019utilisateurs, n\u00e9cessitent du personnel suppl\u00e9mentaire pour exercer les fonctions du Responsable de la s\u00e9curit\u00e9 de l\u2019information, les Responsables de s\u00e9curit\u00e9 d\u00e9l\u00e9gu\u00e9s jug\u00e9s n\u00e9cessaires peuvent \u00eatre nomm\u00e9s par le Responsable de la s\u00e9curit\u00e9 de l\u2019information, avec l\u2019approbation pr\u00e9alable du Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Par la d\u00e9signation de d\u00e9l\u00e9gu\u00e9s, les fonctions sont d\u00e9l\u00e9gu\u00e9es. La responsabilit\u00e9 ultime demeure celle du Responsable de la s\u00e9curit\u00e9 de l\u2019information. <\/p>\n Les Responsables de s\u00e9curit\u00e9 d\u00e9l\u00e9gu\u00e9s sont charg\u00e9s de l\u2019ensemble des fonctions d\u00e9l\u00e9gu\u00e9es par le Responsable de la s\u00e9curit\u00e9 de l\u2019information et rendent compte directement au Responsable de la s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Correspond au niveau d\u2019une direction op\u00e9rationnelle.<\/p>\n Une personne physique doit \u00eatre formellement d\u00e9sign\u00e9e comme Responsable du SMSI.<\/p>\n Ses fonctions sont les suivantes :<\/p>\n Ce r\u00f4le ne doit pas co\u00efncider avec celui d\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes et de Responsable de la s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Correspond au niveau d\u2019un employ\u00e9 qualifi\u00e9 en s\u00e9curit\u00e9 des syst\u00e8mes informatiques.<\/p>\n L\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes est nomm\u00e9 par le Responsable du SMSI, auquel il rend compte de toutes les questions relatives \u00e0 la s\u00e9curit\u00e9 de l\u2019information des syst\u00e8mes g\u00e9r\u00e9s.<\/p>\n Ce r\u00f4le ne doit pas co\u00efncider avec celui de Responsable du SMSI et de Responsable de la s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Pour certains syst\u00e8mes d\u2019information qui, en raison de leur complexit\u00e9, de leur distribution, de la s\u00e9paration physique de leurs \u00e9l\u00e9ments ou du nombre d\u2019utilisateurs, n\u00e9cessitent du personnel suppl\u00e9mentaire pour exercer les fonctions de l\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes, les Administrateurs de la s\u00e9curit\u00e9 des syst\u00e8mes d\u00e9l\u00e9gu\u00e9s jug\u00e9s n\u00e9cessaires peuvent \u00eatre nomm\u00e9s par l\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes, avec l\u2019approbation pr\u00e9alable du Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Par la d\u00e9signation de d\u00e9l\u00e9gu\u00e9s, les fonctions sont d\u00e9l\u00e9gu\u00e9es. La responsabilit\u00e9 ultime demeure celle de l\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes. <\/p>\n Les Administrateurs de la s\u00e9curit\u00e9 des syst\u00e8mes d\u00e9l\u00e9gu\u00e9s sont charg\u00e9s de l\u2019ensemble des fonctions d\u00e9l\u00e9gu\u00e9es par l\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes et rendent compte directement \u00e0 l\u2019Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes.<\/p>\n Le D\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es est un r\u00f4le pr\u00e9vu par le RGPD (R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es) et par la loi organique espagnole 3\/2018 applicable sur la protection g\u00e9n\u00e9rale des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n Ce r\u00f4le doit \u00eatre assum\u00e9 par une personne physique.<\/p>\n Les principales responsabilit\u00e9s sont pr\u00e9sent\u00e9es ci-dessous en corr\u00e9lation avec les mesures de s\u00e9curit\u00e9 :<\/p>\n \u00c0 cet \u00e9gard, voir le document suivant : \u00ab REG-03 RACI \u00bb.<\/p>\n Kymos traite des donn\u00e9es \u00e0 caract\u00e8re personnel ; l\u2019organisation dispose donc du Registre des activit\u00e9s de traitement <\/em><\/strong>correspondant, conform\u00e9ment aux dispositions du RGPD.<\/p>\n Tous les syst\u00e8mes d\u2019information de Kymos Group doivent respecter les niveaux de s\u00e9curit\u00e9 requis par la r\u00e9glementation, au regard de la nature et de la finalit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel collect\u00e9es.<\/p>\n Tous les syst\u00e8mes soumis \u00e0 la pr\u00e9sente Politique devront r\u00e9aliser une analyse des risques, en \u00e9valuant les menaces et les risques auxquels ils sont expos\u00e9s.<\/p>\n L\u2019analyse des risques constituera la base pour d\u00e9terminer les mesures de s\u00e9curit\u00e9 \u00e0 prendre, qui seront d\u00e9taill\u00e9es dans l\u2019analyse des risques et sa D\u00e9claration d\u2019applicabilit\u00e9.<\/p>\n Afin d\u2019harmoniser la m\u00e9thodologie d\u2019analyse des risques, le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information \u00e9tablira une \u00e9valuation de r\u00e9f\u00e9rence pour les diff\u00e9rents types d\u2019informations trait\u00e9es et les diff\u00e9rents services fournis.<\/p>\n Les crit\u00e8res d\u00e9taill\u00e9s d\u2019\u00e9valuation des risques seront pr\u00e9cis\u00e9s dans la m\u00e9thodologie d\u2019\u00e9valuation des risques \u00e0 \u00e9laborer par l\u2019organisation, sur la base de normes et pratiques reconnues.<\/p>\n Tous les risques susceptibles d\u2019entraver gravement la capacit\u00e9 op\u00e9rationnelle de l\u2019organisation ou l\u2019accomplissement de sa mission doivent \u00eatre trait\u00e9s.<\/p>\n Une priorit\u00e9 particuli\u00e8re sera accord\u00e9e aux risques impliquant une interruption de la fourniture des services rendus.<\/p>\n Le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information rationalisera la disponibilit\u00e9 des ressources afin de r\u00e9pondre aux besoins de s\u00e9curit\u00e9 des diff\u00e9rents syst\u00e8mes, en favorisant les investissements horizontaux.<\/p>\n Les risques r\u00e9siduels seront d\u00e9termin\u00e9s par le Responsable de la s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Les niveaux de risque r\u00e9siduel attendus pour chaque information apr\u00e8s la mise en \u0153uvre des options de traitement (y compris la mise en \u0153uvre des mesures de s\u00e9curit\u00e9 pr\u00e9vues dans l\u2019ISO 27002 et dans la directive NIS2) seront accept\u00e9s par le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information.<\/p>\n Les niveaux de risque r\u00e9siduel seront soumis par le Responsable de la s\u00e9curit\u00e9 de l\u2019information au Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information (ISC), qui \u00e9valuera, approuvera ou rectifiera les options de traitement propos\u00e9es, selon le cas.<\/p>\n L\u2019analyse des risques et leur traitement doivent \u00eatre une activit\u00e9 r\u00e9guli\u00e8re, comme l\u2019exigent l\u2019ISO 27001 et la directive NIS2. Cette analyse sera r\u00e9p\u00e9t\u00e9e : <\/p>\n Tous les membres de l\u2019organisation sont tenus de conna\u00eetre et de respecter la pr\u00e9sente Politique de s\u00e9curit\u00e9 de l\u2019information et les R\u00e8glements de s\u00e9curit\u00e9 qui leur sont applicables, et il incombe au Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information de fournir les moyens n\u00e9cessaires pour que l\u2019information parvienne aux personnes concern\u00e9es.<\/p>\n Le respect de la pr\u00e9sente Politique de s\u00e9curit\u00e9 est obligatoire pour l\u2019ensemble du personnel interne et externe impliqu\u00e9 dans les processus de l\u2019organisation, et le non-respect de celle-ci constitue une faute grave \u00e0 des fins d\u2019emploi, conform\u00e9ment \u00e0 la convention collective de travail.<\/p>\n \u00c0 cet \u00e9gard, l\u2019organisation dispose du document \u00ab IT-REGU-04 R\u00e8glement de s\u00e9curit\u00e9 des devoirs et r\u00f4les du personnel \u00bb.<\/p>\n La Direction s\u2019engage en faveur de la formation professionnelle et de la sensibilisation du personnel de Kymos Group.<\/p>\n L\u2019objectif de Kymos est de sensibiliser en continu les employ\u00e9s \u00e0 la cybers\u00e9curit\u00e9 et, \u00e0 cette fin, l\u2019organisation r\u00e9alise :<\/p>\n Lorsque des services sont fournis ou que des informations sont g\u00e9r\u00e9es par d\u2019autres organisations, celles-ci doivent \u00eatre inform\u00e9es de la pr\u00e9sente Politique de s\u00e9curit\u00e9 de l\u2019information ; des canaux de signalement et de coordination doivent \u00eatre \u00e9tablis pour les Comit\u00e9s de s\u00e9curit\u00e9 de l\u2019information respectifs, et des proc\u00e9dures doivent \u00eatre mises en place pour r\u00e9agir aux incidents de s\u00e9curit\u00e9.<\/p>\n Lorsque des services de tiers sont utilis\u00e9s ou que des informations sont fournies \u00e0 des tiers, ceux-ci seront inform\u00e9s de la pr\u00e9sente Politique de s\u00e9curit\u00e9 et des r\u00f4les et devoirs du personnel applicables \u00e0 ces services ou informations. Ce tiers sera soumis aux obligations \u00e9nonc\u00e9es dans la pr\u00e9sente politique et pourra \u00e9laborer ses propres proc\u00e9dures op\u00e9rationnelles afin de satisfaire \u00e0 ces obligations. <\/p>\n Des proc\u00e9dures sp\u00e9cifiques de signalement et de r\u00e9solution des incidents doivent \u00eatre \u00e9tablies. Il doit \u00eatre garanti que le personnel des tiers dispose d\u2019un niveau de sensibilisation \u00e0 la s\u00e9curit\u00e9 au moins \u00e9quivalent \u00e0 celui d\u00e9fini dans la pr\u00e9sente Politique. <\/p>\n Lorsqu\u2019un aspect de la Politique ne peut pas \u00eatre satisfait par un tiers comme l\u2019exigent les paragraphes ci-dessus, un rapport du Responsable de la s\u00e9curit\u00e9 de l\u2019information pr\u00e9cisant les risques encourus et la mani\u00e8re dont ils seront trait\u00e9s sera requis. Ce rapport sera examin\u00e9 par le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information et approuv\u00e9 par les Responsables de l\u2019information et des services, conjointement avec la Direction. <\/p>\n La Politique de s\u00e9curit\u00e9 de l\u2019information doit \u00eatre r\u00e9vis\u00e9e par le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information \u00e0 des intervalles planifi\u00e9s, n\u2019exc\u00e9dant pas un an, ou chaque fois que des changements significatifs surviennent, afin de garantir le maintien de sa pertinence, de son ad\u00e9quation et de son efficacit\u00e9.<\/p>\n Toute modification de la Politique de s\u00e9curit\u00e9 de l\u2019information doit \u00eatre r\u00e9vis\u00e9e par le Comit\u00e9 de s\u00e9curit\u00e9 de l\u2019information et approuv\u00e9e par la Direction.<\/p>\n La Direction veillera \u00e0 ce que l\u2019ensemble du personnel comprenne et assume ses responsabilit\u00e9s en mati\u00e8re de s\u00e9curit\u00e9 de l\u2019information, et promouvra le respect des politiques, proc\u00e9dures et contr\u00f4les de s\u00e9curit\u00e9 de l\u2019information, tout en fournissant le soutien et les ressources n\u00e9cessaires \u00e0 leur mise en \u0153uvre.<\/p>\n Enfin, la Politique de s\u00e9curit\u00e9 de l\u2019information sera communiqu\u00e9e et mise \u00e0 la disposition de l\u2019ensemble du personnel et des parties prenantes de Kymos Group.<\/p>\n<\/div><\/div><\/div><\/div><\/div><\/p>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":8,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"open","template":"100-width.php","meta":{"_acf_changed":false,"footnotes":""},"categories":[],"tags":[],"class_list":["post-40060","page","type-page","status-publish","hentry"],"acf":[],"yoast_head":"\n2. Gestion des incidents de s\u00e9curit\u00e9<\/h2>\n
<\/a><\/h1>\n
2.1 Pr\u00e9vention<\/h3>\n
<\/a><\/h2>\n
\n
<\/a><\/a>2.2 D\u00e9tection<\/h3>\n
\n
<\/a><\/a>2.3 R\u00e9ponse<\/h3>\n
\n
<\/a><\/a>2.4 R\u00e9tablissement<\/h3>\n
<\/a>3. Champ d\u2019application<\/h2>\n
<\/a><\/a>4. Mission et services fournis<\/h2>\n
<\/a><\/a>5. Cadre r\u00e9glementaire<\/h2>\n
\n
<\/a><\/a>5.1 Protection des donn\u00e9es \u00e0 caract\u00e8re personnel<\/h3>\n
\n
<\/a><\/a>5.2 Administration \u00e9lectronique et signature \u00e9lectronique<\/h3>\n
\n
<\/a><\/a>5.3 S\u00e9curit\u00e9 des r\u00e9seaux et de l\u2019information<\/h3>\n
\n
<\/a><\/a>6. Organisation de la s\u00e9curit\u00e9 : <\/a>Comit\u00e9s, r\u00f4les et responsabilit\u00e9s<\/h2>\n
\n
<\/a><\/a>En cas d\u2019incident de s\u00e9curit\u00e9 de l\u2019information<\/u><\/h3>\n
\n
\n
<\/a><\/a>6.1 D\u00e9finition des r\u00f4les<\/h3>\n
<\/a>6.1.1 Responsable de l\u2019information<\/u><\/h4>\n
<\/a>Fonctions et responsabilit\u00e9s associ\u00e9es<\/h4>\n
\n
<\/a>Compatibilit\u00e9 avec d\u2019autres r\u00f4les<\/h4>\n
<\/a>6.1.2 Responsable de service<\/u><\/h4>\n
Fonctions et responsabilit\u00e9s associ\u00e9es<\/h4>\n
\n
<\/a>Compatibilit\u00e9 avec d\u2019autres r\u00f4les<\/h4>\n
<\/a><\/a>6.1.3 Responsable de la s\u00e9curit\u00e9 de l\u2019information \/ CISO<\/u><\/h4>\n
<\/a>Fonctions et responsabilit\u00e9s associ\u00e9es<\/h4>\n
\n
En cas d\u2019incident de s\u00e9curit\u00e9 de l\u2019information<\/h4>\n
Le Responsable de la s\u00e9curit\u00e9 de l\u2019information analyse et propose des mesures de protection afin d\u2019\u00e9viter que des incidents similaires ne se reproduisent \u00e0 l\u2019avenir.<\/h4>\n
<\/a>Compatibilit\u00e9 avec d\u2019autres r\u00f4les<\/h4>\n
D\u00e9l\u00e9gation de fonctions<\/h4>\n
<\/a>6.1.4 Responsable du SMSI<\/u><\/h4>\n
Fonctions et responsabilit\u00e9s associ\u00e9es<\/h4>\n
\n
<\/a>En cas d\u2019incident de s\u00e9curit\u00e9 de l\u2019information<\/h4>\n
Planifie la mise en \u0153uvre des mesures de protection dans le syst\u00e8me et met en \u0153uvre le plan de s\u00e9curit\u00e9 approuv\u00e9.<\/h4>\n
Compatibilit\u00e9 avec d\u2019autres r\u00f4les<\/h4>\n
<\/a><\/a>6.1.5 Administrateur de la s\u00e9curit\u00e9 des syst\u00e8mes<\/u><\/h4>\n
Fonctions et responsabilit\u00e9s associ\u00e9es<\/h4>\n
\n
<\/a>En cas d\u2019incident de s\u00e9curit\u00e9 de l\u2019information<\/h4>\n
\n
Compatibilit\u00e9 avec d\u2019autres r\u00f4les<\/h4>\n
<\/a>D\u00e9l\u00e9gation de fonctions<\/h4>\n
<\/a><\/a>6.1.6 D\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es<\/u><\/h4>\n
Fonctions et responsabilit\u00e9s associ\u00e9es<\/h4>\n
\n
<\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a>6.2 Responsabilit\u00e9s au titre de l\u2019ISO 27001 et de NIS 2<\/h3>\n
<\/a>7. Donn\u00e9es \u00e0 caract\u00e8re personnel<\/h2>\n
<\/a><\/a>8. Gestion des risques<\/h2>\n
<\/a><\/a>8.1 Justification<\/h3>\n
<\/a><\/a>8.2 Crit\u00e8res d\u2019\u00e9valuation des risques<\/h3>\n
<\/a><\/a>8.3 Lignes directrices de traitement<\/h3>\n
<\/a><\/a>8.4 Processus d\u2019acceptation du risque r\u00e9siduel<\/h3>\n
<\/a><\/a>8.5 N\u00e9cessit\u00e9 de r\u00e9aliser ou de mettre \u00e0 jour les \u00e9valuations des risques<\/h3>\n
\n
<\/a><\/a>9. Obligations du personnel<\/h2>\n
<\/a>10. Formation et sensibilisation du personnel<\/h2>\n
\n
<\/a><\/a>11. Tiers<\/h2>\n
<\/a><\/a>12. R\u00e9vision et approbation de la Politique de s\u00e9curit\u00e9<\/h2>\n