
INFORMATIONS EN MATIÈRE SOCIALE, ENVIRONNEMENTALE ET SOCIÉTALE
Enjeux éthiques et de gouvernance
informatiques (messageries sécurisées, impressions
sécurisées, sonde de prévention d’intrusion, implémentation
d’un scanneur de vulnérabilité (en France, Suisse,
déploiement en cours au Maroc)…), traitement des incidents
de sécurité, sensibilisation des collaborateurs à la sécurité
de l’information, maintien à jour du parc informatique,
déploiement d’un IDS/IPS (système de détection d’intrusion
et de prévention d’intrusion) sur le système d’information
SQLI (France), mise en place d’un gestionnaire de mots de
passe sécurisé sur certains projets sensibles, audits clients
cybersécurité, pilotage et réalisation d’audits internes
de sécurité/conformité. En 2022, des audits sécurité et
conformité ainsi que des analyses de risques ont été menés
par la DSSI au sein des agences suivantes : l’ISC Maroc
(Rabat), l’établissement de Pessac et le siège de SQLI
(Levallois-Perret) et les plans de remédiation associés ont
été mis en œuvre (ISO 27001/2/5).
Comité de sécurité (COSEC)
Le Groupe SQLI a mis en place en 2022 un Comité COSEC.
Ce comité permet la coordination et la coopération de
la sécurité des systèmes d’information du Groupe. Ses
objectifs principaux sont de communiquer et de s’assurer
de l’application de la PGSSI (Politique générale de sécurité
des systèmes d’information), participer à l’élaboration des
directives et des règles de sécurité, prendre en considération
des évènements et des exceptions à la SSI, échanger sur les
sujets impactant la sécurité de l’information, suivre et vérifier
la prise en charge de la sécurité intégrée dans les projets,
suivre le plan d’action du SMSI (système de management
de la sécurité de l’information), présenter les indicateurs
sécurité, les incidents sécurité et les retours d’expérience
associés. Le Comité COSEC est composé de la DSSI, de l’IT
Groupe, du Responsable SI et de l’IT Maroc. Ce comité se
réunit mensuellement.
Certification ISO 27001
Dans le cadre de la stratégie de développement
du Groupe, la Direction générale, la DSI et la
Direction cybersécurité ont entrepris une démarche
de certification ISO 27001 depuis janvier 2021. Les
établissements SQLI Pessac (Bordeaux) et Levallois-Perret
ont ainsi été les premiers établissements du Groupe à être
certifiés ISO 27001 pour l’année 2021-2022, cette
certification a par ailleurs été renouvelée pour l’année 2022-
2023. La certification ISO 27001, émise par AFNOR
Certification, vient reconnaître officiellement l’engagement
et les actions mises en place par SQLI (France) en matière
de Cybersécurité sur ses activités de production et de
support (périmètre Levallois-Perret et Bordeaux). En
obtenant la certification ISO 27001, SQLI (France) est
désormais officiellement identifiée comme partenaire de
confiance en matière de gestion des données clients. Gage
maximal de garantie, la certification atteste de la
confidentialité et de la traçabilité des éléments confiées,
ainsi que de la mise en œuvre de moyens nécessaires afin
de les protéger d’éventuelles cyberattaques.
Conformément à la démarche d’homologation ISO 27001,
SQLI (France) a déployé un nouveau standard de
sécurisation des postes. Les objectifs de ce nouveau
standard sont de répondre aux exigences des clients en
matière de protection des données, protéger le patrimoine
informationnel en réduisant la surface d’attaque et
pérenniser le parc informatique en homogénéisant la
configuration de l’ensemble des postes de travail. Dans
le cadre de ce nouveau pack de sécurité, les mesures
suivantes sont en cours d’implémentation : suppression
des droits administrateurs pour les profils non techniques,
VPN sécurisé, verrouillage de la session après 5 minutes
d’inactivité, chiffrement des postes de travail, mot de passe
BIOS…
Politiques sécurité
Dans le cadre de la certification ISO 27001, deux nouvelles
politiques sécurité ont été déployées au sein du Groupe
SQLI :
une politique de conformité réglementaire : cette
politique vise à décrire le processus de gestion de la
conformité réglementaire du Groupe en matière de
données personnelles, politique contractuelle, sécurité
de l’information et propriété intellectuelle ;
une politique générale de sécurité des systèmes
d’information (PGSSI) : cette politique constitue le cadre
de référence et de cohérence en matière de sécurité des
systèmes d’information du Groupe SQLI.
Il a par ailleurs été rappelé aux collaborateurs l’ensemble
des politiques et process de sécurité en vigueur au sein du
Groupe en vue de leur respect et bonne application.
Sensibilisation aux enjeux de cybersécurité
Dans le cadre de ses actions en matière de sensibilisation,
la DSSI a mis en place courant 2019 une plateforme de
sensibilisation « E-learning » ayant pour objectif de rappeler
aux collaborateurs les bonnes pratiques en matière de
sécurité informatique. Ainsi, chaque mois, les collaborateurs
sont invités par courriel à réaliser en ligne un parcours de
sensibilisation sur les thèmes suivants : le phishing, les
SPAM, les ransomwares, les mots de passe, la protection
de l’information, la sécurité physique… L’outil mis en place
s’est enrichi en 2020 d’une nouvelle fonctionnalité puisqu’il
intègre désormais un reporting automatisé auprès des
managers, permettant un suivi de la participation et une
relance des collaborateurs par leur manager en l’absence
de suivi du module d’e-learning.
Plan assurance sécurité
Les fournisseurs et sous-traitants critiques pour SQLI
(France) (c’est-à-dire ayant un impact sur le système
d’information SQLI) doivent se conformer aux exigences du
plan assurance sécurité (PAS) SQLI. Chaque PAS complété
et communiqué par le fournisseur/sous-traitant critique
fait ainsi l’objet, préalablement à toute collaboration, d’une
validation auprès de la DSSI de SQLI sur la base du PAS
SQLI. Si le fournisseur/sous-traitant n’offre pas de garantie
suffisante en termes de sécurité, il ne pourra pas être
référencé auprès du Groupe SQLI.
Des PAS sont également mis en place avec les clients de
SQLI. Le PAS décrit l’ensemble des dispositions spécifiques
que SQLI s’engage à mettre en œuvre afin de garantir le
respect des exigences de sécurité du client, dans le cadre
de l’exécution du contrat. Il définit en particulier l’organisation
mise en place, la méthodologie suivie afin de gérer la
sécurité de la prestation telle que défini au sein du contrat
ainsi que les mesures techniques et organisationnelles mises
en œuvre.
Charte d’utilisation des moyens informatiques
Afin d’assurer la sécurité de son système d’information,
SQLI (France) a implémenté en 2018, au sein de ses
agences françaises, une Charte d’utilisation des moyens
informatiques régissant strictement l’utilisation des
85SQLI GROUP
DOCUMENT D'ENREGISTREMENT UNIVERSEL 2022