Chez HALO, la sécurité et la confidentialité des données constituent nos priorités absolues. Le développement de nos logiciels et la prestation de nos services s’appuient sur des politiques rigoureuses en matière de sécurité et de confidentialité des données. En proposant un service fondé sur ces principes, nous sommes en mesure de garantir une haute disponibilité, la confidentialité et l’intégrité de vos données.

‍

HALO a pour politique de sensibiliser l'ensemble de son organisation et de ses fournisseurs à l'importance de la protection des informations, quelle que soit la forme que celles-ci puissent revêtir. Nous y parviendrons notamment grâce à des programmes réguliers de formation et de sensibilisation à la sécurité de l'information (SI).

Rester à la pointe des évolutions en matière de systèmes d'information (SI). Pour ce faire, nous resterons attentifs à l'environnement en constante évolution des SI en favorisant une culture d'amélioration continue (AC). Traiter de manière approfondie toute non-conformité liée aux SI. Nous veillerons à ce que cet objectif soit atteint en mettant en place un système solide de signalement des non-conformités, qui fera l'objet d'un examen régulier.

‍

Mettre à disposition les ressources nécessaires et proportionnées afin de respecter nos obligations en matière de sécurité de l'information. Nous veillerons à disposer des ressources appropriées en procédant à des évaluations et à un suivi réguliers de notre système de gestion de la sécurité de l'information (SGSI).

‍

Chiffrer les données et les appareils dans la mesure du possible et mettre en place un système pragmatique de classification des informations.

Adopter une approche fondée sur les risques en matière de sécurité de l'information. Nous mettrons cela en œuvre en tenant à jour une évaluation des risques et un plan de traitement des risques, qui feront l'objet d'une révision au moins une fois par an.

‍

Fixer chaque année des objectifs S.M.A.R.T. en matière de sécurité de l'information (S.I.) et les réexaminer régulièrement, notamment lors de nos réunions de revue de la gestion de la sécurité de l'information. Ces objectifs seront communiqués à l'ensemble des collaborateurs dans le cadre de nos programmes de formation et de sensibilisation.

‍

Notre fournisseur d'hébergement sécurisé

Toutes les applications cloud HALO sont déployées sur Amazon Web Services (AWS), leader du secteur dans la fourniture d'infrastructures cloud hautement sécurisées et évolutives.

‍

Sécurité physique

AWS fait figure de référence dans la mise en place de centres de données à la pointe de la technologie. L'accès physique est strictement réservé au personnel dont la présence sur site est indispensable, et les droits d'accès sont révoqués dès que ceux-ci ne sont plus nécessaires. Le personnel de sécurité utilise à la fois des caméras de surveillance et des badges d'identification, ainsi que plusieurs niveaux d'authentification à deux facteurs. Tout accès accordé est limité en fonction du rôle de la personne et de la zone concernée du centre de données. Les centres d’opérations de sécurité d’AWS surveillent en permanence les entrées non autorisées à l’aide des journaux d’accès, de la vidéosurveillance et des systèmes de détection d’intrusion.

AWS met à jour et continue d'améliorer ses rapports SOC et ses certifications, notamment SOC, PCI, ISO et bien d'autres encore. Vous trouverez plus d'informations à ce sujet dans la section « Conformité » du site web d'AWS.

‍

Continuité des activités

Tous les centres de données AWS sont soigneusement implantés afin de limiter les risques environnementaux, tels que les inondations, les phénomènes météorologiques extrêmes et l'activité sismique. Les centres de données sont équipés de systèmes automatiques de détection et d'extinction des incendies et des inondations. HALO utilise six régions AWS : Londres, Virginie du Nord, Francfort, Montréal, Le Cap et Sydney. Chaque région comporte plusieurs zones de disponibilité, toutes physiquement séparées les unes des autres, ce qui garantit une haute disponibilité.

Le climat et la température sont contrôlés avec précision par le personnel et les systèmes afin de garantir des performances optimales des serveurs et des autres équipements. Tous les systèmes et équipements font l'objet d'une surveillance et d'une maintenance préventive afin d'assurer leur bon fonctionnement en continu.

‍

Sécurité environnementale

L'infrastructure d'Amazon offre un haut niveau de disponibilité et met à la disposition des clients les fonctionnalités nécessaires au déploiement d'une architecture informatique résiliente. AWS a conçu ses systèmes pour qu'ils puissent supporter les pannes système ou matérielles tout en minimisant leur impact sur les clients. La gestion de la continuité d'activité des centres de données chez AWS est placée sous la responsabilité de l'Amazon Infrastructure Group.

Les applications principales sont déployées selon une configuration N+1, de sorte qu'en cas de panne d'un centre de données, la capacité disponible soit suffisante pour permettre la répartition de la charge vers les sites restants.

‍

Fabrication sécurisée des produits

Responsabilité produit

Chez HALO, chaque produit dispose d'un responsable chargé de la mise en œuvre et du développement sécurisé de l'application. Ce responsable examine régulièrement la feuille de route du produit et hiérarchise les correctifs de sécurité en conséquence.

‍

Contrôle de version

Un référentiel central est utilisé pour gérer le code, et l'accès à ce référentiel est basé sur les rôles. Il est intégré à l'environnement de développement et aux systèmes de contrôle de version. Chaque modification apportée au code est consignée et mise à la disposition du client sous forme de notes de mise à jour.

‍

Assurance qualité

Chaque version fait l'objet d'une procédure rigoureuse d'assurance qualité, qui consiste à tester ses fonctionnalités, ses performances, sa configuration, son expérience utilisateur et sa stabilité. Ce n'est qu'une fois ces tests réussis que la version est mise à disposition des utilisateurs.

‍

Architecture

Sauvegarde des données

Les tests mensuels de restauration des sauvegardes permettent de s'assurer que le processus de restauration fonctionne comme prévu et que les sauvegardes sont effectuées dans de bonnes conditions. Ces sauvegardes comprennent : des sauvegardes horaires de la base de données transactionnelle, des sauvegardes complètes quotidiennes et des sauvegardes complètes mensuelles, conservées respectivement pendant 3 jours, 2 semaines et 3 mois. Les sauvegardes sont stockées dans différents centres de données Amazon.

‍

Mise à l'échelle automatique

Répartir automatiquement le trafic des applications entre plusieurs zones de disponibilité, ce qui garantit une haute disponibilité, une mise à l'échelle automatique et une sécurité robuste.

‍

Gestion des incidents

Des procédures rigoureuses de gestion des incidents permettant de signaler ces derniers et d'en assurer le suivi jusqu'à leur résolution. Conformément au référentiel ITIL, les incidents sont classés par ordre de priorité et les accords de niveau de service (SLA) font l'objet d'un suivi.

‍

Certification et conformité

Halo s'engage à fournir une solution sécurisée sur le plan informatique et à respecter en interne les protocoles et normes en vigueur.

Halo Service Solutions a obtenu la certification Cyber Essentials.

Halo Service Solutions Ltd est conforme à la norme SOC 2 Type 2 ; des informations détaillées peuvent être fournies sur simple demande.

Halo Service Solutions Ltd est certifiée ISO 27001 ; des informations détaillées peuvent être fournies sur simple demande.

Pour plus d'informations, veuillez envoyer un e-mail à security@imaginehalo.com.

Vous pouvez également y accéder via notre portail dédié : https://trust.usehalo.com/

Déclaration relative à la divulgation d'une vulnérabilité

Objectif

Halo Service Solutions s'engage à garantir la sécurité et l'intégrité de sa plateforme, de ses produits et de ses services. Nous encourageons la divulgation responsable des failles de sécurité et nous nous efforçons de traiter tous les signalements de manière transparente, rapide et coordonnée.

‍

Champ d'application

Cette politique s'applique à toutes les plateformes Halo, notamment :

• Applications SaaS et API
• Composants tiers intégrés
• Infrastructure hébergée dans le cloud
• Déploiements chez les clients sur site
• Systèmes internes prenant en charge la plateforme

Comment signaler un incident

Veuillez nous signaler les failles de sécurité potentielles par e-mail ou via notre portail d'assistance.

Veuillez inclure une description du problème, les étapes permettant de le reproduire et tout élément de preuve pertinent. Si des données sensibles sont concernées, veuillez demander à bénéficier de notre procédure de soumission sécurisée.

‍

Accueil et triage

Nous accusons réception de tous les signalements dans un délai de 3 jours ouvrables

Les signalements sont triés et classés par niveau de gravité selon des cadres de référence standard en matière de risques

‍

Coordination et mesures correctives

• Les responsables des risques et les responsables produit sont impliqués dès le début
• La priorité des correctifs et des mesures d'atténuation est déterminée en fonction de leur gravité :
  Critique/Élevée : les clients sont informés dans les 48 heures suivant la confirmation de l'impact
  Moyenne/Faible : traitée dans le prochain correctif prévu ou dans la prochaine déclaration de sécurité
• Les clients utilisant une solution sur site bénéficient de mesures d'atténuation temporaires et de conseils si l'application immédiate d'un correctif n'est pas possible

Coordination avec des tiers

Lorsque des vulnérabilités affectent des composants tiers, nous coordonnons leur divulgation avec les fournisseurs, convenons des dates de divulgation publique et faisons appel aux autorités compétentes.

‍

Information publique

Des avis au public sont publiés une fois que les correctifs coordonnés ont été déployés

Si vous agissez de bonne foi et respectez la présente politique de divulgation, Halo n'engagera aucune poursuite judiciaire à votre encontre. N'accédez pas aux données des clients, ne perturbez pas les services et n'exploitez pas les vulnérabilités au-delà des tests de validation de concept.

‍

Contacts

E-mail : security@imaginehalo.com

Responsable de la sécurité des systèmes d'information (RSSI) / Responsable de la sécurité : autorité suprême en matière de divulgation publique et de communication externe

‍

Bilan et mises à jour

Cette politique fait l'objet d'une révision annuelle ou à la suite d'incidents majeurs afin de garantir qu'elle reste conforme aux meilleures pratiques en matière de sécurité.

‍