Centre de confiance VR Boost Agency

Gouvernance & assurance

• ISO/IEC 27001. VR Boost Agency dispose d’un système de management de la sécurité de l’information certifié. Notre certificat est disponible sur demande.
• Responsabilité. Une direction de la sécurité désignée supervise les politiques, la responsabilité des risques, les exceptions et les actions correctives, avec une revue de direction.
• Confidentialité. Notre politique de confidentialité et notre accord de traitement des données (DPA) décrivent la façon dont les informations personnelles sont traitées. Nous accompagnons nos clients dans leurs obligations de confidentialité et leurs évaluations de sécurité.
• Revue continue. Les audits internes, les évaluations des risques et les revues des politiques alimentent l’amélioration du programme de sécurité.

Résilience du service & reprise

• Des plans documentés de continuité d’activité et de reprise après sinistre définissent les responsabilités, les procédures de reprise et la communication.
• Des sauvegardes chiffrées et un accès contrôlé permettent la restauration des informations des clients.
• Des exercices de restauration valident les mécanismes de reprise et alimentent l’amélioration de nos procédures.
• Les plans de continuité sont revus régulièrement et après tout changement important. Les exigences de service et de reprise propres à chaque client sont traitées dans le contrat applicable.

Protection des données & chiffrement

• Chiffrement. Le chiffrement protège les informations des clients en transit et au repos, avec des clés gérées et un accès restreint.
• Identifiants. Les mots de passe sont hachés, et les secrets sont protégés séparément du code source des applications.
• Traitement de l’information. La classification, les restrictions d’accès et les contrôles de partage encadrent l’utilisation des informations sensibles.
• Conservation. Les exigences de conservation et de suppression sécurisée couvrent le cycle de vie de l’information, sous réserve des obligations contractuelles et des conservations légales.

Sécurité des terminaux & du réseau

• La protection des terminaux, la gestion des correctifs et des standards de configuration sécurisée encadrent les appareils du personnel.
• Les contrôles d’accès réseau limitent la connectivité et contribuent à protéger les informations des clients contre les accès non autorisés.
• Des contrôles de protection web et de prévention des abus protègent les services exposés aux clients.
• La journalisation, la surveillance et les alertes de sécurité permettent la détection, l’investigation et l’escalade.

Gestion des identités & des accès

• Des comptes nominatifs et des permissions par rôle garantissent un accès au moindre privilège aux systèmes et aux espaces de travail des clients.
• L’authentification multifacteur protège les accès à privilèges. Les options d’authentification des clients incluent la MFA et l’authentification unique.
• Les demandes et validations d’accès sont documentées, et les droits d’accès sont revus à mesure que les rôles et responsabilités évoluent.
• Les procédures de départ prévoient la suppression des accès. L’assistance à distance respecte les exigences d’autorisation et de consentement de l’utilisateur.

Traitement des données spatiales

• Les contenus spatiaux, documents et informations associées aux équipements sont traités selon les permissions de l’espace de travail et les finalités de traitement approuvées.
• Des contrôles d’accès logiques assurent la séparation entre les espaces de travail des clients.
• Les intégrations sont examinées au regard des accès autorisés, du traitement de l’information et des exigences applicables aux fournisseurs.

Développement sécurisé

• Notre cycle de développement sécurisé couvre les exigences de sécurité, la revue de code, les tests et des mises en production contrôlées.
• Les environnements de développement et de test sont séparés de la production, avec des restrictions sur l’usage des données de production.
• L’analyse du code et des dépendances permet d’identifier les vulnérabilités. Les résultats sont priorisés selon leur gravité, leur exposition et la criticité du système, et suivis jusqu’à leur correction.
• Les procédures de maîtrise des changements couvrent l’autorisation, les tests, la planification du retour arrière et la documentation.
• Des tests d’intrusion indépendants font partie de notre programme d’assurance sécurité.

Réponse aux incidents

• Un plan de réponse aux incidents documenté définit les responsabilités, l’escalade, la préservation des preuves, le confinement et la reprise.
• Des exercices sur table permettent aux équipes de pratiquer les procédures de réponse et d’identifier des améliorations.
• La communication avec les clients respecte les obligations contractuelles et légales de notification applicables.
• Les retours d’expérience sur les incidents alimentent les actions correctives et la mise à jour des procédures.

Sécurité des fournisseurs & confidentialité

• Les procédures de gestion des risques fournisseurs couvrent la due diligence, la confidentialité, les exigences de sécurité et la revue continue.
• Les contrats applicables encadrent la confidentialité, la notification des incidents et les obligations des sous-traitants en aval.
• Les informations sur les sous-traitants ultérieurs et les modalités de notification des changements sont fournies via le DPA applicable et le processus de revue client.

Collaborateurs & sensibilisation à la sécurité

• La sensibilisation à la sécurité couvre le traitement de l’information, l’hameçonnage, l’usage responsable de l’IA et le signalement des incidents.
• Les politiques RH définissent les exigences de vérification, les obligations de confidentialité, l’usage acceptable et la suppression des accès.
• Les développeurs reçoivent des consignes de développement sécurisé, y compris pour la revue du code assisté par IA.

IA responsable

Gouvernance & responsabilité

• Notre politique d’usage de l’IA et nos procédures de gouvernance définissent des responsables identifiés, un inventaire des usages de l’IA et des exigences de validation fondées sur les risques.
• Les usages de l’IA sont classés par niveau de risque, avec des exigences de revue et de supervision renforcées pour les fonctions les plus sensibles.

Informations des clients & usages approuvés

• Le recours à des fournisseurs d’IA est soumis à une revue de sécurité et de confidentialité et aux exigences contractuelles applicables.
• Nos politiques interdisent la saisie d’informations clients, de secrets et de données personnelles dans des outils d’IA non approuvés.
• Les fonctions d’IA sont soumises aux finalités de traitement approuvées et aux permissions d’accès des clients.

Supervision humaine & limites d’accès

• Les permissions de l’espace de travail et des outils définissent ce qu’une fonction d’IA est autorisée à consulter ou à faire.
• Les résultats de l’IA doivent être vérifiés de manière appropriée avant d’être utilisés, en particulier pour les actions à conséquences.
• Les consignes destinées aux utilisateurs et aux opérateurs couvrent l’usage prévu, les limites connues, le traitement sûr de l’information et le signalement des problèmes.

Évaluation, surveillance & réponse

• Des procédures d’évaluation de l’IA documentées traitent la fiabilité, la sécurité, les risques d’injection de prompt et les usages abusifs.
• Les procédures de gouvernance couvrent la surveillance, les retours, la réponse aux incidents et la revue après tout changement important.
• Les informations générées par l’IA peuvent être inexactes ou incomplètes. Les utilisateurs doivent vérifier les sources pertinentes avant d’agir.