La sécurité de vos données est au cœur de notre démarche qualité. Nous mettons en œuvre un ensemble de mesures techniques et organisationnelles pour garantir la confidentialité, l’intégrité et la disponibilité de vos informations.
Notre objectif est d’offrir un environnement conforme aux standards reconnus du marché, tout en assurant une transparence totale sur notre niveau d’avancement.
Démarche de certification ISO/IEC 27001
Nous avons engagé une démarche structurée visant à obtenir la certification ISO/IEC 27001:2022, la norme internationale de référence en matière de management de la sécurité de l’information (SMSI).
Où en sommes-nous aujourd’hui ?
Nous sommes en cours d’audit interne, dernière étape avant l’audit externe conduit par un organisme certificateur indépendant.
Ce que couvre notre futur périmètre de certification
Le périmètre visé comprend :
- la plateforme logicielle ISKernel,
- les environnements d’hébergement et d’exploitation,
- les processus de développement, support et maintenance,
- la gestion des risques et des actifs informationnels.
Nos engagements ISO 27001 déjà en place
- Gestion structurée des risques de sécurité
- Politiques et procédures de sécurité formalisées
- Journalisation, supervision et alerting
- Gestion des accès basée sur le principe du moindre privilège
- Chiffrement des données en transit et au repos
- Revue régulière des vulnérabilités
- Sensibilisation continue des équipes
Démarche de conformité HDS (Hébergeur de Données de Santé)
Dans le cadre de certains projets impliquant des données de santé à caractère personnel, nous avons engagé la démarche pour obtenir la certification HDS, conformément au référentiel de l’ASIP Santé.
Notre situation actuelle
Nous menons actuellement l’audit interne HDS, préalable obligatoire avant l’audit externe certifiant.
Activités HDS visées
Les activités couvertes par le périmètre visé incluent :
- Activité 3 : Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle du système d’information utilisé pour le traitement des données de santé (virtualisation, VMs, ressources virtuelles, hyperviseurs, etc.).
- Activité 4 : Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications du système d’information — c’est-à-dire l’infrastructure logicielle, middleware, services nécessaires pour exécuter les applications hébergeant des données de santé.
- Activité 5 : Administration et exploitation du système d’information contenant les données de santé : gestion des accès, maintenance, exploitation opérationnelle, supervision, interventions, gestion des droits, etc.
Nos mesures de sécurité techniques & organisationnelles
Gestion opérationnelle
- Supervision temps réel des infrastructures
- Journalisation avancée et centralisée
- Mises à jour de sécurité régulières
- Tests de résilience et scénarios de reprise
Protection des données
- Chiffrement AES-256 au repos
- Chiffrement TLS 1.2+ en transit
- Cloisonnement logique des environnements
- Sauvegardes chiffrées et redondées
Localisation & transfert des données
Aucun transfert de données de santé à caractère personnel vers un pays tiers à l’Espace Économique Européen (EEE) n’est réalisé. Toutes les données sont hébergées et traitées exclusivement au sein de l’EEE, conformément aux exigences du référentiel HDS et au RGPD.
Protection applicative
- Analyse statique et dynamique du code
- Politique de révision systématique des développements
- Tests d’intrusion réguliers (internes et externes)
Gouvernance & conformité
- Registre RGPD et minimisation des données
- Délégué à la Protection des Données (DPO)
- Processus de gestion des incidents et notifications
- Traçabilité complète des accès et actions sensibles
Transparence et documentation
Nous mettrons à disposition :
- nos certificats ISO 27001 et HDS une fois délivrés
- notre Politique de Sécurité,
- les périmètres certifiés et dates de validité,
- des guides de sécurité à destination de nos clients.
Une démarche d’amélioration continue
L’obtention de la certification n’est qu’une étape : nous appliquons une logique d’amélioration continue fondée sur :
- la revue régulière des risques,
- l’analyse post-incident,
- la mise en conformité permanente avec les standards de sécurité,
- l’évolution proactive de nos dispositifs techniques.