Politique de sécurité de l'information

1

Objet

2

Champ d'application

3

Énoncé de la politique

4

Composantes principales

• 1. Architecture de sécurité de l'information : modèles de référence et composants selon la criticité des systèmes.
• 2. Gestion des actifs technologiques : gestion des actifs physiques et logiques internes et externes.
• 3. Classification de l'information : classification et protection selon la confidentialité et l'importance.
• 4. Sensibilisation à la sécurité de l'information : programmes développant des comportements sûrs et la vigilance.
• 5. Continuité et reprise d'activité : capacité opérationnelle minimale et reprise en cas de perturbation.
• 6. Protection des données : confidentialité, intégrité, disponibilité et droits des personnes concernées.
• 7. Travail à distance : contrôles pour un travail sûr hors des locaux de l'entreprise.
• 8. Gestion des identités et des accès : accès contrôlés, séparés et revus.
• 9. Gestion des risques : identification et traitement des risques pouvant affecter l'organisation.
• 10. Réponse aux incidents : réponse coordonnée, confinement, communication et rétablissement.
• 11. Indicateurs et rapports : suivi de l'exposition au risque de sécurité de l'information.
• 12. Sécurité des réseaux : protection de la transmission des données et de l'infrastructure.
• 13. Opérations de sécurité de l'information : exploitation des contrôles de sécurité et appui aux utilisateurs.
• 14. Confidentialité : protection de la confidentialité et des droits des personnes concernées.
• 15. Surveillance : détection et prévention des activités non autorisées ou nuisibles.
• 16. Développement sécurisé : pratiques de sécurité tout au long du développement des systèmes.
• 17. Stratégie de sécurité : alignement entre priorités de sécurité et stratégie de l'entreprise.
• 18. Gestion des tiers : évaluation des fournisseurs et partenaires au regard des exigences de sécurité.
• 19. Renseignement sur les menaces : identification des menaces pertinentes et action préventive.
• 20. Gestion des vulnérabilités : détection, priorisation et correction des vulnérabilités.
• 21. Sécurité du cloud : gouvernance de l'usage du cloud et exigences envers les fournisseurs.

5

Conformité et application

• ABNT NBR ISO/IEC 27001:2022 comme cadre de référence et base de la politique.
• LGPD, loi brésilienne 13.709/2018.

6

Rôles et responsabilités

• La direction générale définit et approuve la politique, alloue les ressources et promeut une culture de sécurité.
• Les responsables de département appliquent et font respecter la politique et veillent à la sensibilisation des équipes et à la protection des informations sensibles.
• L'informatique et la sécurité mettent en œuvre les mesures techniques, réalisent audits et analyses de risques, gèrent les contrôles d'accès et coordonnent la réponse aux incidents et la récupération des données.
• Les collaborateurs respectent la politique, signalent les incidents et participent aux formations.
• Les partenaires et fournisseurs respectent les exigences contractuelles et les normes de Quoretech.
• La direction juridique veille à ce que les contrats comportent des clauses appropriées de conformité, d'usage des données et de confidentialité.
• Les ressources humaines soutiennent la sensibilisation, informent l'informatique des changements de personnel et coordonnent la restitution des informations et des actifs technologiques.
• Le délégué à la protection des données suit la conformité en matière de protection des données, assure la liaison avec les autorités et soutient les droits des personnes concernées.