Politique SMSI
1. Contexte et champ d’application
La GLAUX GROUP AG se certifie selon la norme ISO 27001:2013 et s'engage à respecter ces exigences. Le champ d'application de la certification englobe l'ensemble de l'entreprise GLAUX GROUP AG avec l'ensemble de ses employés, y compris le site distant de sa filiale à 100 %, Printcom Output-Management GmbH.
2. Objectifs de la politique SMSI
GLAUX GROUP s’est fixé les objectifs stratégiques suivants :
- garantir de façon appropriée la disponibilité, la confidentialité et l’intégrité des informations
- satisfaire aux exigences légales, contractuelles et internes en matière de sécurité de l’information
- et appliquer la norme ISO 27001 au quotidien afin de garantir l’assurance-qualité et le développement constant de l’entreprise
3. Le SMSI de GLAUX GROUP
Le système de management de la sécurité de l’information (SMSI) de GLAUX GROUP recense la totalité des processus et des règles dont s’est doté GLAUX GROUP afin de garantir la sécurité de l’information dont il doit faire preuve envers ses partenaires. GLAUX GROUP présente périodiquement son SMSI aux membres de son personnel et forme ceux-ci selon leur fonction et leur niveau de responsabilités. L’application des règles du SMSI ne souffre aucune exception. Notre SMSI se fonde sur le système de management de la qualité certifié conforme à la norme 9001:2015.
4. Amélioration continue
GLAUX GROUP révise périodiquement son SMSI pour l’adapter à l’évolution du contexte. Conformément à notre principe d’amélioration continue, nous renforçons constamment les compétences de toutes les unités concernées.
5. Organisation et responsabilité
5.1. Comité de direction
Organe décisionnel suprême sur le plan opérationnel, le comité de direction délègue au CISO des tâches, des responsabilités et des compétences dans le domaine de la sécurité de l’information.
5.2. Collaborateurs et collaboratrices internes / informations générales
Tous les collaborateurs et collaboratrices de GLAUX GROUP qui réalisent des activités dans le champ d’application du SMSI sont responsables de la sécurité de l’information dans leur domaine. Les responsables hiérarchiques de tous les échelons sont tenus de fournir les ressources et compétences requises à cette fin. Ils ont aussi l’obligation de mettre constamment en œuvre toutes les mesures de sécurité nécessaires dans le domaine qui relève de leur responsabilité ainsi que de donner les instructions et formations nécessaires à leurs collaborateurs et collaboratrices.
5.3. CISO (Chief Information Security Officer)
Le CISO a pour mission de formuler et de définir le SMSI ainsi que de le superviser, le piloter, le faire fonctionner et l’améliorer en continu. Il en fait rapport au comité de direction.
5.4. Responsables d’actifs
Les responsables d’actifs définissent, consignent et appliquent les règles d’utilisation des informations qu’ils fournissent et de leur contenu.
5.5. Responsables des risques
Les responsables des risques appliquent la procédure d’évaluation et de gestion des risques qui leur sont attribués en matière de sécurité de l’information. Ils analysent et évaluent ces risques et définissent les mesures qui s’imposent.
5.6. Autres rôles
Les rôles sont définis dans le système de management de la qualité (SMQ). Les principaux rôles en lien avec le SMSI sont les suivants :
Directeur ou directrice informatique
Il incombe au directeur ou à la directrice informatique de mettre en œuvre les mesures et, le cas échéant, d’évaluer les divers risques sur la base de ses connaissances.
Chef ou cheffe de projet
Le chef ou la cheffe de projet est responsable de l’application du SMSI dans le cadre des projets qu’il ou elle dirige.
Chef ou cheffe produit
Le chef ou la cheffe produit est responsable de l’application du SMSI dans la conception et la mise au point des produits.
Membres du personnel
Les membres du personnel doivent appliquer le SMSI et les mesures qui en relèvent.
Responsable fournisseurs
Le ou la responsable fournisseurs veille à la protection des actifs de l’entreprise auxquels ont accès les fournisseurs.
Gestionnaire de compte
Le ou la gestionnaire de compte applique les mesures du SMSI en tant qu’utilisateur.trice et sensibilise les clients aux enjeux de la sécurité de l’information.
5.7. Collaborateurs et collaboratrices externes / collaborateurs et collaboratrices de tiers
Les personnes qui réalisent des activités dans le champ d’application du SMSI en qualité de collaborateur·trice externe ou de collaborateur·trice de tiers sont aussi assujetties aux règles de GLAUX GROUP en matière de sécurité de l’information et sont donc tenues de les respecter.
6. Audits
GLAUX GROUP réalise à intervalles planifiés et réguliers des audits internes et externes pour contrôler l’application de sa politique SMSI. Elle exploite les résultats de ces audits dans le cadre de sa procédure d’amélioration continue.
7. Sanctions
Avec les tiers, GLAUX GROUP prévoit par contrat des peines conventionnelles qui peuvent être réclamées en cas d’infractions répétées ou graves aux prescriptions et directives en matière de sécurité. S’agissant des collaborateurs et collaboratrices internes, ce sont les sanctions prévues par le droit du travail qui s’appliquent.
8. Définitions
8.1. Sécurité de l’information
Le terme de « sécurité de l’information » regroupe l’ensemble du processus visant à garantir la confidentialité, l’intégrité et la disponibilité des informations, qui comprend l’adoption des mesures, puis leur application, leur contrôle et leur amélioration en continu. Ces mesures peuvent être notamment de nature organisationnelle, technique ou architecturale.
Confidentialité : seules les personnes autorisées doivent pouvoir accéder aux informations.
Intégrité : les informations et leurs méthodes de traitement doivent être complètes et intègres.
Disponibilité : les utilisateurs et utilisatrices autorisés doivent pouvoir accéder aux informations et au contenu de celles-ci en fonction de leurs besoins.
8.2. Système de management de la sécurité de l’information (SMSI)
Un SMSI englobe :
L’ensemble des règles, procédures et processus dans le périmètre du champ d’application servant à définir, piloter, appliquer, vérifier, garantir et améliorer en continu la sécurité de l’information.
Le SMSI est consigné au moyen du cadre SMSI et des contrôles de la déclaration d’applicabilité ainsi que des politiques, des aperçus des processus et des autres documents justificatifs qui s’y rapportent.
8.3. CISO (Chief Information Security Officer)
Le CISO est responsable de la sécurité de l’information dans le domaine qui lui est attribué
