Stratégie de sécurité des informations

HCLSoftware est une division de HCL Technologies qui développe et fournit un portefeuille de nouvelle génération d'offres logicielles d'entreprise avec des modèles de consommation flexibles, couvrant les logiciels traditionnels sur site, le PaaS basé sur le cloud, le SaaS et les services gérés groupés.

HCLSoftware s'engage à protéger les actifs informationnels critiques en mettant en œuvre et en maintenant un système de gestion de la sécurité de l'information (ISMS), afin de garantir que ses objectifs de sécurité de l'information applicables soient atteints et que l'ISMS puisse s'adapter aux changements internes et externes.

L'objectif de l'ISMS est de protéger les actifs informationnels de HCLSoftware et de ses clients contre les menaces identifiées, qu'elles soient internes ou externes, intentionnelles ou accidentelles.

Les objectifs de la sécurité de l'information sont :

• Préserver la confidentialité des informations de sorte que seules les personnes autorisées y aient accès.
• Assurer l'intégrité des informations.
• Veiller à ce que les informations soient disponibles de manière à ce que seules les personnes autorisées puissent accéder aux informations, aux actifs et aux systèmes lorsque cela est nécessaire.

Le logiciel HCL est conforme à la norme de sécurité de base ISO/IEC 27001:2022 et s'étend à d'autres normes de sécurité, par exemple ISO 27017, ISO 27018, SOC 2 Type II, PCI et HIPAA.

Le logiciel HCL dispose d'une structure de gouvernance de la sécurité de l'information établie, permettant de gérer l'ISMS de manière efficace et efficiente, comprenant notamment :

• Identification des actifs informationnels.
• Gestion des risques à un niveau acceptable par la conception, la mise en œuvre et la maintenance de plans de traitement des risques.
• Communication des objectifs de sécurité des informations et des performances pour atteindre ces objectifs.
• Développement de programmes de sensibilisation à la sécurité et de formations, le cas échéant.
• Respect des lois et réglementations locales et des obligations contractuelles en matière de sécurité des informations.

Cette stratégie de sécurité de l'information est soutenue par des politiques internes spécifiques couvrant les aspects suivants de la gestion de la sécurité :

• Gestion des risques : les risques sont gérés selon un cycle de vie standard et leur statut est signalé à la direction générale à intervalles réguliers.
• Ressources humaines : comprend des contrôles liés à la culture, aux formations annuelles obligatoires, à la communication, au processus d'évaluation des performances et au processus de départ.
• Sécurité physique et environnementale : inclut la sécurité du périmètre du bâtiment ainsi que des mécanismes de protection sécurisés pour les bureaux internes, l'infrastructure et les centres de données/salles de serveurs.
• Gestion des fournisseurs : inclut l'évaluation des risques fournisseurs et les accords formels avec les détails des SLA requis sur le produit ou service fourni.
• Gestion de la continuité des activités : inclut les détails utilisés pour prendre en charge la sauvegarde, la reprise des activités et la continuité des activités.
• Audit interne et conformité : une équipe dédiée pour gérer l'audit interne et la gestion de la conformité.
• Gestion des actifs : registre géré formellement pour tous les actifs dans les environnements HCLSoftware. Chaque actif dispose d'un ensemble structuré d'attributs comme définition.
• Contrôles d'accès : inclut la définition d'ID utilisateur unique et de contrôles formels des mots de passe.
• Cryptographie : les normes de chiffrement sont appliquées.
• Contrôles de communication (réseaux et pare-feu) : inclut des détails sur les niveaux de protection définis et les contrôles restreints de ces ressources vitales.
• Acquisition des systèmes, développement et maintenance : l'acquisition des systèmes et le développement et la maintenance des produits et des environnements sont gérés conformément à la politique.
• Gestion des incidents de sécurité des informations : les incidents de sécurité sont capturés et gérés dans un cycle de vie structuré.
• Norme de préparation à la sécurité, provisionnement et déprovisionnement : une norme de sécurité minimale est en place pour tous les appareils provisionnés ou déprovisionnés à partir de leur infrastructure.
• Gestion des correctifs : les correctifs sont appliqués à un délai en fonction de la gravité de la vulnérabilité.
• Surveillance et consignation de la sécurité : les journaux sont collectés et examinés par l'équipe du centre des opérations de sécurité (SOC) dédiée pour identifier les alertes d'activité non autorisée.
• Analyse des vulnérabilités/tests d'effraction : des tests d'effraction indépendants sont effectués au moins une fois par an.
• Contrôle d'intégrité des environnements/périphériques : basé sur les contrôles Benchmarks CIS.

---