Plan de réponse aux incidents
Introduction
Le plan de réponse aux incidents (IRP) du Groupe Altus décrit les méthodes et procédures en place permettant au Groupe Altus de répondre aux incidents qui pourraient avoir un impact significatif sur le fonctionnement de l'entreprise, quelle que soit leur classification et leur origine.
Reflétant les normes de sécurité en vigueur publiées par le National Institute of Standards and Technology (NIST) des États-Unis et d'autres sources industrielles, le Groupe Altus a mis en œuvre une grande variété de contrôles de sécurité préventifs, de détection et correctifs dans le but de protéger les actifs informationnels..
Portée
La portée de l'IRP inclut tout incident susceptible d'avoir un impact important sur les activités d'Altus et quelle qu'en soit la source, mais une attention particulière est accordée aux éléments suivants.
Incidents de service majeurs ayant un impact sur la disponibilité et les performances des applications et services critiques où des périodes de panne prolongées pourraient nuire à la capacité opérationnelle, à la réputation, à la capacité à générer des revenus et à respecter les obligations réglementaires.
Incidents de cybersécurité où la sécurité du Groupe Altus a été ou menace d'être compromise en raison d'acteurs de menace externes ou internes et/ou de vulnérabilités critiques qui présentent un risque substantiel d'exploitation.
Événements de violation de données lorsque les données détenues par Altus ont été utilisées à mauvais escient, acquises sans autorisation d'un système ou d'un processus d'Altus (potentiellement à la suite d'un incident de cybersécurité).
Événements de continuité des activités lorsque des incidents spécifiques à un emplacement nécessitent une reprise opérationnelle en cas d'événements physiques tels que des catastrophes naturelles, des évacuations de sites, des pandémies et des événements géopolitiques.
Détection
Il existe plusieurs mécanismes par lesquels un incident pourrait être détecté au sein du Groupe Altus.
Alertes automatisées grâce à la surveillance interne – nous effectuons une surveillance des services 24h/24 et 7j/7 à l'aide d'une technologie d'alerte automatisée conçue pour détecter les anomalies dans les performances du service qui pourraient être le signe d'un incident de service ou d'un incident de cybersécurité
Alertes automatisées provenant de fournisseurs de sécurité tiers – Altus a fait appel à des fournisseurs de solutions leaders du secteur pour la cybersécurité, les logiciels malveillants et la détection des intrusions dans tous nos environnements.
Signalé en interne – Tout incident doit être signalé par n'importe quel collègue via le portail de services informatiques interne
Signalé en externe via le support client – Bien que nous nous efforcions de détecter les incidents le plus rapidement possible avant qu'ils n'aient un impact sur nos clients, nous avons mis en place des procédures de remontée d'informations au sein de nos équipes d'assistance externes pour leur permettre de faire remonter les incidents suspectés que nos clients nous signalent
Signalé en externe via un tiers – Bien qu'il ne soit pas techniquement considéré comme un incident, Altus s'engage de manière proactive dans la détection et la surveillance des menaces avec un certain nombre d'agences et de sources pour maintenir une connaissance en temps réel des vulnérabilités ou d'autres risques de sécurité qui pourraient présenter un risque pour le Groupe Altus
Fournisseur / Fournisseur signalé – Dans le cas où l'un de nos fournisseurs serait touché par un incident qui menace le service, la stabilité ou la sécurité du Groupe Altus, nous lancerons des procédures de réponse aux incidents proportionnées à l'impact potentiel.
Procédures de déclaration
Tous les incidents sont enregistrés dans le système de gestion des services/tickets Altus et se voient attribuer une priorité en fonction de leur urgence et de leur impact.
Triage et priorisation
Tous les incidents sont évalués et hiérarchisés en fonction de leur impact et se voient attribuer une cote de priorité d'incident
Gestion de crise
Si un incident en cours, quelle que soit sa nature, est susceptible d'avoir un impact continu et important sur le Groupe Altus, tel que mesuré par rapport aux seuils opérationnels, de réputation, réglementaires ou d'obligations juridiques, le
L'équipe de réponse aux incidents sera transmise à l'équipe de réponse aux crises (CRT)
Planification et répétitions
Dans le cadre de l'objectif du Groupe Altus d'amélioration continue de la réponse aux incidents et de la capacité à maintenir un environnement sécurisé et stable, un plan de test complet est examiné et approuvé par la direction sur une base annuelle sous la supervision de l'équipe de gestion de crise.
Publier les examens des incidents et la gestion des problèmes
Suite à tout incident majeur, le service informatique et les opérations (en collaboration avec la sécurité de l'information en cas d'événement de cybersécurité) effectuent une revue post-incident (PIR)
Notifications
Lorsqu'Altus détermine qu'un incident de sécurité confirmé impliquant des informations traitées par Altus a eu lieu, Altus en informera rapidement les clients concernés ou d'autres tiers conformément à ses responsabilités contractuelles et réglementaires. Les informations sur les tentatives malveillantes ou les incidents suspectés ainsi que l'historique des incidents ne sont pas partagés en externe.