POLITIQUE DE SÉCURITÉ DES INFORMATIONS DE SIP SHIELD

1. Objectif et portée

1.1 Cette politique résume l’approche générale du fournisseur en matière de sécurité des informations pour les services.

1.2 Cette politique s'applique aux services et au personnel ou aux tiers autorisés à administrer ou à prendre en charge les services.

2. Définitions

Aux fins de cette politique :

« Client » désigne toute personne physique ou morale qui s'abonne, achète, accède ou utilise les Services.

« Données client » désigne toutes les données, données opérationnelles liées à la boîte aux lettres, données de compte, données d'assistance, données de configuration, données techniques, données personnelles et autres informations soumises par, pour ou au nom du Client, ou traitées dans le cadre des Services.

« Services » désigne l'accès au site Web SIP Shield, le tableau de bord, l'agent de bureau, l'intégration, l'assistance, la maintenance, les mises à jour et les services associés mis à disposition par le fournisseur.

3. Objectifs de sécurité

Les objectifs de sécurité du fournisseur sont de prendre en charge :

un. confidentialité des informations;

b. l'intégrité des systèmes et des données ;

c. disponibilité et résilience des services ;

d. la responsabilité en matière d'accès et d'actions administratives ;

e. réponse rapide aux incidents et aux vulnérabilités ; et

f. traitement licite et responsable des données client.

4. Principes de sécurité

Le fournisseur vise à fonctionner conformément aux principes suivants :

un. accès au moindre privilège ;

b. accès aux données nécessaires ;

c. défense en profondeur;

d. configuration sécurisée et contrôle des modifications ;

e. minimisation des données ;

f. journalisation et responsabilité;

g. préparation aux incidents ; et

h. amélioration continue.

5. Contrôle d'accès

5.1 L'accès aux systèmes, tableaux de bord, outils internes et environnements opérationnels doit être limité au personnel autorisé ayant un besoin commercial légitime.

5.2 L'accès administratif doit être limité, basé sur les rôles lorsque cela est possible, et révisé périodiquement.

5.3 Les informations d'identification partagées doivent être évitées lorsque cela est raisonnablement possible, et l'accès doit être révoqué ou mis à jour rapidement lorsqu'il n'est plus nécessaire.

6. Gestion des informations d'identification

6.1 Le fournisseur reconnaît que les informations d'identification, les secrets et les jetons d'accès de la boîte aux lettres sont sensibles.

6.2 Lorsque les Services sont conçus pour utiliser la gestion du bureau local pour l'accès aux boîtes aux lettres, le Fournisseur vise à maintenir cette architecture de manière à réduire le stockage inutile des informations d'identification sur les systèmes centralisés.

6.3 Lorsque les informations d'identification, les jetons, les secrets ou les artefacts de configuration doivent être traités de manière opérationnelle, le fournisseur vise à appliquer des mesures de sécurité appropriées, un accès limité et une conservation contrôlée.

7. Sécurité et renforcement du système

Le fournisseur vise à appliquer des mesures techniques et organisationnelles raisonnables, qui peuvent inclure :

un. normes de configuration sécurisées ;

b. processus d'application de correctifs et de mises à jour ;

c. protection contre les logiciels malveillants et protections des points finaux, le cas échéant ;

d. séparation des environnements lorsque cela est possible ;

e. des parcours administratifs restreints ;

f. journalisation et surveillance des événements système importants ; et

g. mesures destinées à réduire les accès non autorisés, les utilisations abusives ou les interruptions de service.

8. Protection des données

Le fournisseur cherche à protéger les données client et les données personnelles d'une manière conforme à la politique de confidentialité et à la loi applicable.

Le fournisseur vise à :

un. collecter uniquement les données raisonnablement nécessaires au fonctionnement, au support, à la sécurité et à l'amélioration des Services ;

b. limiter l'accès interne aux données client ;

c. utiliser des pratiques de transmission et de stockage sécurisées, le cas échéant ;

d. conserver les données uniquement dans la mesure raisonnablement nécessaire ou légalement requise ; et

e. supprimer, anonymiser ou éliminer en toute sécurité les données lorsqu'elles ne sont plus nécessaires.

9. Journalisation, surveillance et auditabilité

9.1 Le Fournisseur peut conserver des journaux, des alertes et des enregistrements opérationnels nécessaires pour prendre en charge la sécurité, le dépannage, la prévention de la fraude, l'intégrité du système et la conformité.

9.2 L'accès à ces dossiers doit être limité au personnel autorisé.

10. Gestion des vulnérabilités et des incidents

10.1 Le fournisseur vise à identifier, évaluer, hiérarchiser et corriger les vulnérabilités et les faiblesses de sécurité dans un délai raisonnable en fonction de la gravité, du risque opérationnel et de la faisabilité technique.

10.2 Le Fournisseur vise à enquêter sur les événements de sécurité crédibles et à prendre des mesures raisonnables de confinement, de remédiation et de récupération.

10.3 Lorsque la loi, le contrat ou les circonstances d'un incident important l'exigent, le fournisseur peut informer les clients concernés ou les autorités compétentes.

11. Continuité des activités et résilience

Le fournisseur cherche à maintenir des mesures raisonnables pour soutenir la continuité du service et la résilience opérationnelle, qui peuvent inclure des pratiques de sauvegarde, des procédures de récupération, une planification de redondance, une escalade des incidents et des activités de maintenance contrôlées.

12. Responsabilités du client

La sécurité est une responsabilité partagée. Le client doit :

un. maintenir des appareils et des environnements d'exploitation sécurisés ;

b. protéger ses propres informations d'identification et comptes d'administrateur ;

c. garantir l'autorité légale pour toute boîte aux lettres ou système connecté aux services ;

d. signaler rapidement toute utilisation abusive, toute compromission ou tout comportement anormal ; et

e. suivre le déploiement, le support et les conseils opérationnels, le cas échéant.

13. Limites

Aucun cadre de sécurité, environnement logiciel, pile d'infrastructure ou service basé sur Internet ne peut garantir une sécurité absolue. En conséquence, bien que le Fournisseur s'efforce d'appliquer des garanties raisonnables, le Fournisseur ne garantit pas que les Services seront à l'abri de toutes vulnérabilités, attaques, pannes ou actes non autorisés.

14. Signaler des problèmes de sécurité

Les problèmes de sécurité, les vulnérabilités suspectées ou les notifications d'incidents peuvent être adressés à :

15. Relation avec d'autres documents

Cette politique doit être lue conjointement avec les conditions générales de SIP Shield, la politique de confidentialité de SIP Shield, la politique d'éthique et d'utilisation responsable de SIP Shield et la politique anti-corruption, anti-collusion et anti-gratuités de SIP Shield.

16. Modifications de cette politique

Le fournisseur peut modifier cette politique de temps à autre. Les versions mises à jour entrent en vigueur dès leur publication, sauf indication contraire.