Pour l’entrée en vigueur de la RGPD découvrez les projets en cours avec cette série de questions-réponses adressées à Xavier Vanmeerbeck, notre directeur de la sécurité.
Quelles sont vos responsabilités en tant que Chef de la sécurité ?
Je dois m’assurer que les données que nous traitons, y compris les données personnelles utilisées dans l’organisation de rendez-vous, soient bien protégées. Ces actions sont situées à différents niveaux :
- Mise en place de politiques et procédures de sécurité
- Formation continue et sensibilisation des employés à la sécurité
- Analyse de risque et conception de mesures de sécurité
- Audits, monitoring et tests de l’application des mesures de sécurité
Pouvez-vous donner quelques exemples de mesures prises par votre équipe pour assurer la protection des données de vos utilisateurs ?
Nous avons mis en place des mesures techniques comme le découpage du service en plusieurs applications indépendantes ou encore le chiffrement des données stockées en base de données.
Nous avons également mis en place des mesures de suivi et d’amélioration de la sécurité de l’authentification interne en mettant en place un système de single sign-on associé à une authentification à 2 facteurs.
Quels sont les principaux changements dûs à l’entrée en vigueur du RGPD ?
Sur la partie sécurité, assez peu ! Notre référentiel jusqu’à présent, la norme ISO 27001, couvrait déjà la plupart des problématiques de sécurité du RGPD.
Les plus gros changements ont eu lieu sur la partie contractuelle et communication envers nos utilisateurs. Il a fallu s’assurer que nous avions des contrats compatibles avec le RGPD avec tous nos fournisseurs, que nous communiquions bien la finalité du traitement à nos utilisateurs et que nos process étaient compatibles notamment sur la clarification du consentement des utilisateurs au traitement de leurs données. Nos process étaient déjà en place donc pas de révolution mais un travail assez important de pédagogie et de description plus fine.
Comment assurez-vous la sécurité des données, utilisez-vous des outils ?
Je dirais que la sécurité passe par un point essentiel : savoir ce qu’il se passe. Pour cela :
- Nous faisons de la veille sur les actualités et alertes de sécurité.
- Nous faisons du monitoring de l’infrastructure notamment l’utilisation des ressources serveurs, les logs, les traces d’audit ainsi que les exceptions générées par le code.
- Nous testons, testons et testons encore avec des outils d’intégration continue que ce soit automatiquement ou manuellement.
- Nous déployons de façon standardisé nos configurations et nouvelles versions à l’aide d’un système de déploiement centralisé.
Quels sont les projets en cours pour assurer que les données de vos utilisateurs restent protégées ?
Nous sommes toujours dans un process d’amélioration continue de la sécurité. Nous avons, entre autres, quelques projets sur l’amélioration du suivi du monitoring (plus de details dans les métriques pour des alertes et un suivi plus précis) ou encore sur la transformation des tests de vulnérabilités ponctuels en tests continus.
Êtes-vous fort pour garder un secret ?
Je ne répondrai pas à cette question 😉
Merci Xavier pour ce petit aperçu de la sécurité chez Julie Desk ! Pour plus d’informations, découvrez notre page dédiée à la sécurité.