Politique de sécurité de l’information

Cette traduction est fournie à titre indicatif uniquement ; en cas de divergence, la version anglaise prévaut.

1. Sécurité de l’information – Généralités

L’information est un actif qui, comme les autres actifs importants de l’entreprise, a de la valeur pour une organisation et doit, à ce titre, être protégé de manière adéquate. La sécurité de l’information vise à protéger l’information contre un large éventail de menaces afin d’assurer la continuité des activités, de réduire au minimum les interruptions d’activité et les préjudices, et d’optimiser le retour sur investissement ainsi que les opportunités commerciales.

L’information peut revêtir de nombreuses formes. Elle peut être imprimée ou écrite sur papier, stockée sous forme électronique, transmise par courrier ou par voie électronique, diffusée par des moyens audiovisuels ou communiquée oralement. Quelle que soit sa forme, et quel que soit le moyen par lequel elle est partagée ou stockée, l’information doit toujours être protégée de manière appropriée.

Aux fins des présentes, la sécurité de l’information s’entend de la préservation de :

Confidentialité : garantir que l’information n’est accessible qu’aux personnes autorisées à y accéder ;
Intégrité : préserver l’exactitude et l’exhaustivité de l’information et des méthodes de traitement ; et
Disponibilité : garantir que les utilisateurs autorisés ont accès à l’information et aux actifs associés lorsqu’ils en ont besoin.

La sécurité de l’information repose sur la mise en œuvre d’un ensemble approprié de mesures de sécurité, qui peuvent prendre la forme de politiques, de pratiques, de procédures, de structures organisationnelles ou de fonctionnalités logicielles. Ces mesures doivent être mises en place de façon à garantir que les objectifs de sécurité propres à l’organisation sont atteints.

La présente politique énonce l’engagement de MinMax en matière de sécurité de l’information et expose notre approche de la gestion des risques de sécurité. Le programme d’assurance et de sécurité de l’information de MinMax protège les actifs informationnels de l’entreprise, quelle que soit leur forme. Ce programme identifie et traite les risques commerciaux et de sécurité auxquels l’organisation est exposée, ce qui nous permet de préserver la sécurité des données de nos clients et d’assurer la croissance de notre activité.

2. Politique et objet

MinMax (la « Société ») est une entreprise qui fournit de la vidéo en tant que service (« Video as a Service »). Si nos actifs physiques sont limités, les données constituent notre actif le plus précieux. Notre activité s’exerçant sur Internet, nous devons protéger notre code source propriétaire, nos registres commerciaux, les informations relatives à nos clients et nos communications internes contre un large éventail de menaces, afin de développer notre activité et de garantir la sécurité de nos clients.

Le présent document définit la politique générale de sécurité de l’information de MinMax, Inc. (conjointement avec les politiques et normes sous-jacentes décrites ou visées dans les présentes ou à l’Annexe A, la « Politique »). La présente Politique est réexaminée et mise à jour au moins une fois par an, en tant que de besoin, afin de tenir compte de l’évolution des objectifs de l’entreprise ou de l’environnement de risque. Elle a été établie afin de garantir que toutes les informations de MinMax (quelle que soit leur forme et quel que soit le moyen par lequel elles sont partagées ou stockées) sont protégées de manière appropriée. La présente Politique décrit les processus et procédures que l’ensemble des salariés, prestataires, consultants et autres tiers de MinMax ayant un besoin légitime d’accéder aux informations de la Société (collectivement, « MinMax et les Parties liées ») sont tenus de connaître et de respecter en toutes circonstances.

3. Champ d’application

Sauf disposition contraire, la présente Politique s’applique dans le monde entier à MinMax et aux Parties liées, lesquels sont tenus de la respecter en toutes circonstances.

4. Responsabilités

4.1 Il incombe aux cofondateurs de la Société d’établir et de faire appliquer la présente Politique ainsi que les normes, procédures et lignes directrices qui s’y rapportent.
4.2 MinMax et les Parties liées partagent la responsabilité de la protection des actifs informationnels de la Société. La présente section de la Politique définit et décrit les groupes investis de responsabilités particulières à cet égard :
4.3
Cofondateurs, responsables et encadrants de la Société
1. 4.3.1 Les salariés de la Société exerçant des fonctions d’encadrement sont tenus de veiller à ce que les membres de leur équipe aient reçu une formation et des instructions appropriées en matière de sécurité de l’information, de contrôler le respect des politiques et procédures de MinMax, y compris, sans s’y limiter, de la présente Politique, et de signaler immédiatement à l’équipe fondatrice toute violation de la présente Politique ou de toute autre politique de la Société.
4.4
Salariés et prestataires
1. 4.4.1 Tous les salariés et prestataires de MinMax sont tenus de protéger les ressources informationnelles de la Société auxquelles ils ont accès, même lorsque la gestion de ces ressources ne leur incombe pas. Cette obligation porte à la fois sur les informations, sous forme informatique ou non, et sur les équipements informatiques dont ils ont la garde ou la possession. Tous les salariés de MinMax doivent se conformer aux dispositions de la présente Politique, ainsi qu’aux pratiques, normes et protocoles de sécurité de l’information propres à leur service ou autrement applicables à leurs fonctions au sein de la Société.
2. 4.4.2 Tous les salariés et prestataires de la Société sont tenus de suivre les formations et sessions d’information appropriées en matière de sécurité de l’information, de respecter l’ensemble des politiques et procédures de MinMax, y compris, sans s’y limiter, la présente Politique, et de signaler immédiatement à l’équipe fondatrice toute violation de la présente Politique ou de toute autre politique de la Société.
4.5
Consultants et autres tiers
1. 4.5.1 Les consultants et autres tiers ayant un besoin légitime d’accéder aux informations de MinMax sont tenus de se conformer aux exigences de sécurité applicables énoncées dans la présente Politique. MinMax, ses salariés et ses prestataires prennent toutes les mesures raisonnables et appropriées pour s’assurer que les consultants et autres tiers respectent les dispositions de la présente Politique.
2. 4.5.2 Toute violation ou tout manquement d’un consultant ou d’un autre tiers aux dispositions de la présente Politique doit être immédiatement signalé au responsable compétent ou à la personne chargée d’encadrer ses travaux, ou à l’équipe fondatrice.

5. Politiques générales et bonnes pratiques

5.1
Outre le respect des principes généraux énoncés dans la présente Politique, tous les salariés et prestataires de MinMax sont tenus, dans le cadre de leur relation de travail ou de prestation avec la Société, de se conformer aux bonnes pratiques et politiques suivantes. L’élaboration et la diffusion de chacune de ces politiques et procédures relèvent de l’équipe fondatrice ; elles visent à renforcer et à garantir la confidentialité, l’intégrité et la disponibilité adéquate des informations de MinMax, qui constituent les fondements de la présente Politique.
1. (a) Politique du bureau propre – Tous les salariés et prestataires doivent préserver la confidentialité et la sécurité des documents sensibles de la Société se trouvant dans leur bureau ou sur leur poste de travail. Ces documents doivent être mis en sécurité avant que les intéressés ne quittent leur bureau ou leur poste de travail à la fin de chaque journée.
2. (b) Politique de destruction des documents sensibles – Tous les salariés et prestataires doivent détruire au broyeur, sans les conserver ni les éliminer par un autre moyen, les documents sensibles de la Société qui sont en leur possession et dont ils n’ont plus besoin pour exercer les fonctions essentielles de leur poste. L’équipe fondatrice de la Société peut ponctuellement informer l’ensemble du personnel que certains documents doivent être conservés pendant une durée déterminée pour des raisons juridiques. Une telle notification constitue une exception limitée à la Politique de destruction des documents sensibles.
3. (c) Politique de classification, de traitement, de conservation et de destruction des données – Tous les salariés, prestataires et tiers de MinMax sont tenus de protéger les données de MinMax contre toute création, tout accès, toute modification, toute divulgation, toute transmission ou toute destruction non autorisés, et sont censés connaître et respecter la présente politique.
5.2 Tout support électronique contenant notamment des données relevant de la norme PCI, de la loi HIPAA ou des données d’identification personnelle (PII) doit être éliminé de manière sécurisée.
5.3 Les contenus multimédias ne sont conservés que pendant quarante-huit (48) heures au maximum, sauf disposition contraire du Contrat de services créatifs et d’utilisation applicable.
5.4 Tous les contrats conclus avec des prestataires de services tiers, ainsi que leurs avenants, doivent être examinés et approuvés par l’équipe fondatrice.

6. Politique antivirus

6.1 Tous les salariés, prestataires et tiers doivent se conformer à la Politique antivirus de MinMax, qui encadre la protection des ressources de la Société contre l’intrusion de virus et d’autres logiciels malveillants.
6.2 Systèmes concernés – La présente politique s’applique à l’ensemble des serveurs, postes de travail, ordinateurs portables et machines virtuelles connectés au réseau de MinMax et habituellement exposés aux virus ou logiciels malveillants.
6.3
Pour la détection et la protection, MinMax utilise un logiciel antivirus approuvé par MinMax. Les exigences minimales suivantes restent en vigueur :
1. 6.3.1 Un logiciel antivirus est installé et configuré sur tous les systèmes de MinMax visés à la section 6.2.
2. 6.3.2 Les bases de définitions antivirus sont mises à jour en tant que de besoin.
3. 6.3.3 Les systèmes énumérés à la section 6.2 font l’objet d’analyses régulières.
4. 6.3.4 Toute machine connectée au réseau qui s’avère infectée est inspectée et le virus est supprimé dans les meilleurs délais raisonnables. Si la réparation ne peut être effectuée en temps utile, le système infecté est déconnecté du réseau de MinMax et n’y est reconnecté qu’une fois que le personnel de MinMax a vérifié, au moyen d’outils antivirus approuvés, qu’il est exempt de virus.
5. 6.3.5 Les administrateurs de MinMax examinent périodiquement la console antivirus afin de vérifier que tous les postes clients appartenant à MinMax et connectés au réseau sont conformes à la présente politique.

7. Politique d’utilisation acceptable

7.1 Tous les salariés et prestataires doivent se conformer à la Politique d’utilisation acceptable de MinMax, qui encadre l’utilisation du matériel informatique de la Société.
7.2 La présente politique a pour objet de définir l’utilisation acceptable des systèmes informatiques de MinMax. Elle vise à protéger MinMax, ses salariés et ses partenaires contre les agissements illicites ou préjudiciables de quiconque, qu’ils soient commis sciemment ou non. Une utilisation inappropriée du matériel informatique expose MinMax à des risques, notamment des attaques virales, la compromission des systèmes et services réseau ainsi que des litiges. Tous les utilisateurs sont tenus de prendre connaissance de la présente politique et de s’y conformer.
7.3 Une sécurité efficace est l’affaire de toute l’entreprise et suppose la participation et le soutien de chaque salarié et collaborateur affilié de MinMax amené à traiter des informations et/ou à utiliser des systèmes d’information. Il incombe à chaque utilisateur de MinMax de connaître la présente politique et d’agir en conséquence.
7.4 Les systèmes informatiques de MinMax sont destinés à être utilisés à des fins professionnelles autorisées, dans l’intérêt de MinMax et de ses clients. Toutes les données créées et stockées sur l’infrastructure informatique appartenant à MinMax demeurent la propriété de MinMax. Les salariés doivent faire preuve de toute la diligence requise pour protéger les données sensibles ou confidentielles de MinMax. À des fins de sécurité et de maintenance du réseau, MinMax peut à tout moment contrôler l’utilisation que font les salariés des systèmes informatiques de MinMax.
7.5
Les salariés doivent prendre l’ensemble des mesures suivantes afin d’empêcher tout accès non autorisé aux informations de l’entreprise :
1. 7.5.1 Les utilisateurs autorisés sont responsables de la sécurité de leurs mots de passe et de leurs comptes. Les utilisateurs doivent garder leurs mots de passe en lieu sûr et ne pas partager leurs comptes.
2. 7.5.2 Lorsqu’ils sont laissés sans surveillance, tous les PC, ordinateurs portables et postes de travail doivent soit être protégés par un écran de veille avec mot de passe s’activant automatiquement au bout de 15 minutes au plus, soit faire l’objet d’une fermeture de session (touche Windows + L pour les utilisateurs de Windows).
3. 7.5.3 Les salariés doivent faire preuve d’une extrême prudence lorsqu’ils ouvrent des pièces jointes reçues par e-mail, en particulier lorsqu’elles proviennent d’expéditeurs inconnus, car elles peuvent contenir du code ou des applications malveillants.
4. 7.5.4 Une liste des équipements approuvés, comprenant notamment les équipements réseau et les serveurs entrant dans le périmètre de conformité PCI, HIPAA et PII, doit être tenue et mise à jour au fur et à mesure de l’ajout ou du retrait d’équipements dans l’environnement.
7.6
Utilisation inacceptable
1. 7.6.1 Les activités suivantes sont, de manière générale, interdites. Un salarié de MinMax n’est en aucun cas autorisé à se livrer, au moyen de ressources appartenant à MinMax, à une activité illicite au regard du droit local, étatique, fédéral ou international.
2. 7.6.2
  Activités liées aux systèmes, au réseau et à Internet
  1. (a) Il est interdit d’accéder à des sites web inappropriés dans un cadre professionnel (par ex. sites pornographiques, de jeux d’argent ou liés aux drogues illicites).
  2. (b) Internet ne doit pas être utilisé pour porter atteinte aux droits de propriété intellectuelle de quiconque. La propriété intellectuelle comprend les droits d’auteur, les marques, les brevets, les secrets d’affaires, le droit à l’image et le droit au respect de la vie privée. Il est interdit aux salariés d’entraver ou de tenter de désactiver les dispositifs anti-piratage ou autres mesures techniques usuelles utilisés par les titulaires de droits d’auteur pour protéger ou identifier leurs œuvres.
  3. (c) L’accès aux ressources sur Internet est réservé aux utilisateurs autorisés des systèmes cibles et doit être limité à des fins légitimes conformes à la législation locale. Toute attaque, sous quelque forme que ce soit, ainsi que tout balayage, sondage ou tentative d’intrusion visant des systèmes ou réseaux informatiques sur Internet sont strictement interdits.
  4. (d) MinMax se réserve le droit de bloquer l’accès aux sites Internet jugés inappropriés. Toute tentative délibérée d’accéder à de tels sites peut donner lieu à des sanctions disciplinaires.
  5. (e) Toute copie non autorisée d’œuvres protégées par le droit d’auteur est strictement interdite, y compris, sans s’y limiter, la numérisation et la diffusion de photographies issues de magazines, de livres ou d’autres sources protégées, de contenus multimédias protégés, ainsi que l’installation de tout logiciel protégé pour lequel MinMax ou l’utilisateur final ne dispose pas d’une licence en cours de validité.
  6. (f) L’exportation de logiciels, d’informations techniques, de logiciels ou de technologies de chiffrement en violation des réglementations internationales ou régionales en matière de contrôle des exportations est illégale. La direction compétente doit être consultée avant toute exportation d’un élément dont le statut est incertain.
  7. (g) Il est interdit d’introduire des programmes malveillants sur le réseau ou sur un serveur (par ex. virus, vers, chevaux de Troie, bombes e-mail, etc.).
  8. (h) Les salariés ne doivent ni communiquer à autrui les mots de passe de leurs comptes MinMax, ni permettre à autrui d’utiliser leurs comptes, y compris aux membres de leur famille et aux autres personnes vivant sous leur toit.
  9. (i) Les salariés ne peuvent pas utiliser un équipement informatique de MinMax pour se procurer ou transmettre activement des contenus contraires à la législation relative au harcèlement sexuel ou à l’environnement de travail hostile applicable dans le ressort de l’utilisateur.
  10. (j) Il est interdit d’utiliser les systèmes informatiques de MinMax pour présenter des offres frauduleuses de produits, d’articles ou de services.
  11. (k) Les salariés ne doivent pas tenter d’accéder à des données auxquelles l’accès ne leur a pas été accordé, ni tenter de contourner les contrôles d’accès d’un quelconque système, sauf autorisation préalable de la direction informatique aux fins de tester les mesures de sécurité de l’information.
  12. (l) Il est interdit de mettre en œuvre toute forme de surveillance du réseau interceptant des données qui ne sont pas destinées au poste du salarié, sauf autorisation préalable de la direction informatique aux fins de tester les mesures de sécurité de l’information.
  13. (m) Il est interdit d’utiliser, dans quelque environnement que ce soit, tout appareil permettant d’enregistrer du son, de la vidéo ou des images pour capter des informations. Sont notamment visés les smartphones et appareils photo susceptibles d’être utilisés pour réaliser des copies non autorisées d’informations figurant sur un écran, dans une documentation ou sur tout autre support.
3. 7.6.3
  Activités liées à la messagerie électronique et aux communications
  1. (a) Un usage personnel, à des fins non professionnelles, est admis dans la mesure où il ne mobilise pas de ressources significatives et n’empiète pas sur les obligations professionnelles des salariés.
  2. (b) Les numéros de sécurité sociale, les numéros de carte bancaire (PAN) et les rapports de solvabilité ne doivent jamais être transmis par e-mail, sauf s’ils sont chiffrés au moyen d’une méthode de chiffrement approuvée par MinMax. Il appartient à l’équipe fondatrice de désigner les méthodes de chiffrement approuvées.
  3. (c) Les salariés ne doivent pas envoyer de messages électroniques non sollicités, notamment des « courriers indésirables » ou d’autres contenus publicitaires à des personnes qui ne les ont pas expressément demandés (spam).
  4. (d) Il est interdit de se livrer à toute forme de harcèlement par e-mail, par téléphone ou par radiomessagerie, que ce soit par la teneur, la fréquence ou la taille des messages.
  5. (e) Les salariés ne doivent pas utiliser la messagerie électronique ou les ressources informatiques de MinMax pour participer à la création ou au transfert de « lettres-chaînes », de systèmes « de Ponzi » ou d’autres systèmes « pyramidaux » de quelque nature que ce soit.
  6. (f) Il est interdit d’envoyer dans un même e-mail des mots de passe et les noms d’utilisateur ou autres éléments d’authentification correspondants.

8. Politique d’authentification des utilisateurs

8.1 Tous les salariés et prestataires doivent se conformer à la Politique d’authentification des utilisateurs de MinMax, qui fournit un cadre sécurisé pour l’accès au réseau informatique et aux autres ressources techniques de la Société.
8.2 La présente politique s’applique à tous les comptes au sein de MinMax, Inc.
8.3
Gestion des comptes
1. (a) Les accès des utilisateurs ayant quitté l’entreprise sont révoqués dans les meilleurs délais raisonnables.
2. (b) Les mutations de salariés doivent suivre le processus de départ et de provisionnement des utilisateurs. Tous les accès des comptes des utilisateurs mutés doivent être supprimés, puis reconfigurés selon les spécifications du nouveau responsable du salarié.
3. (c) Les comptes d’utilisateurs inactifs font l’objet de revues régulières.
4. (d) Les comptes créés pour les prestataires ne sont actifs et surveillés que pendant la durée nécessaire à l’exécution de leurs travaux.
5. (e) Les comptes de domaine sont verrouillés pendant 10 minutes au-delà de six tentatives de connexion infructueuses.
6. (f) Les comptes nouvellement créés font l’objet de revues régulières et sont rapprochés de la liste des nouvelles recrues.
7. (g) Les droits d’accès associés aux identifiants d’utilisateurs privilégiés sont limités aux privilèges minimaux nécessaires à l’exercice des fonctions concernées.
8. (h) Les contrôles d’accès doivent être mis en œuvre au moyen d’un système automatisé de contrôle d’accès.
8.4
Verrouillage de l’écran
1. (a) Lorsqu’une session est restée inactive pendant plus de 15 minutes, l’utilisateur doit ressaisir son mot de passe pour réactiver le terminal
2. (b) Lorsqu’un utilisateur quitte son bureau ou son poste de travail, il doit verrouiller ce dernier
8.5
Responsabilité des utilisateurs
1. 8.5.1 Tout compte utilisé sur un poste de travail personnel doit respecter la présente politique. Il incombe à l’utilisateur ou au salarié de suivre les procédures appropriées de gestion des mots de passe et des comptes.
8.6
Mise en application
1. 8.6.1 Le respect de la présente politique est assuré au moyen d’audits et de formations de sensibilisation à la sécurité. Tout ordinateur de bureau, ordinateur portable ou machine virtuelle non conforme peut être déconnecté du réseau de MinMax sans préavis.

9. Dérogations

L’équipe fondatrice de la Société peut, dans certaines circonstances limitées, accorder des dérogations à la présente Politique. Toute dérogation à la présente Politique est clairement documentée et approuvée.

10. Conformité

Le respect des dispositions de la présente Politique est obligatoire et fait l’objet d’un contrôle régulier. Les salariés et prestataires de la Société qui ne respectent pas la présente Politique s’exposent à des sanctions disciplinaires pouvant aller jusqu’au licenciement ou à la résiliation de leur contrat. La Société applique de même une politique de conformité stricte à l’égard de ses consultants et des autres tiers soumis à la présente Politique. En cas de manquement de ces derniers aux dispositions des présentes, la Société prend les mesures correctives appropriées, pouvant aller jusqu’à la rupture de la relation contractuelle.

11. Contacts en matière de sécurité de l’information

11.1 Tous les salariés et prestataires, quels que soient leur fonction, leur niveau ou leur statut, sont tenus de signaler immédiatement toute atteinte à la sécurité de l’information dont ils ont connaissance, y compris, sans s’y limiter, toute violation des dispositions de la présente Politique. Tous ces signalements doivent être adressés à l’équipe fondatrice.
11.2 Peuvent constituer des atteintes à la sécurité, à titre purement indicatif, la perte ou le vol d’un ordinateur ou de tout autre équipement de la Société, les violations de données relatives aux salariés ou aux prestataires, les violations de données relatives aux clients, y compris, sans s’y limiter, les données de cartes bancaires, ou encore les tentatives présumées d’hameçonnage ou autres escroqueries similaires visant la sécurité de l’information.
11.3 Pour toute question ou demande de précision concernant la présente Politique ou l’une des dispositions qu’elle contient, veuillez contacter l’équipe fondatrice : anthony@minmax.co.