Qui est responsable de la s\u00e9curit\u00e9 chez CentralPay ?<\/strong> Avez-vous une politique de s\u00e9curit\u00e9 document\u00e9e ?<\/strong> Comment int\u00e9grez-vous la s\u00e9curit\u00e9 dans vos d\u00e9cisions strat\u00e9giques ?<\/strong> Comment contr\u00f4lez-vous vos dispositifs de s\u00e9curit\u00e9 ?<\/strong> Comment prot\u00e9gez-vous les donn\u00e9es et syst\u00e8mes de CentralPay ?<\/strong> Nos infrastructures sont segment\u00e9es et prot\u00e9g\u00e9es par des firewalls, IDS\/IPS et une supervision SOC. Les acc\u00e8s aux environnements sensibles sont limit\u00e9s, appliquent le principe du moindre privil\u00e8ge et sont prot\u00e9g\u00e9s par MFA. Tous les postes de travail sont chiffr\u00e9s, s\u00e9curis\u00e9s par antivirus\/EDR et mis \u00e0 jour automatiquement.<\/p>\n\n\n\n R\u00e9alisez-vous des tests de s\u00e9curit\u00e9 ?<\/strong> Comment g\u00e9rez-vous la journalisation et les logs ?<\/strong> Comment g\u00e9rez-vous les vuln\u00e9rabilit\u00e9s et mises \u00e0 jour ?<\/strong> Comment sensibilisez-vous vos collaborateurs \u00e0 la s\u00e9curit\u00e9 ?<\/strong> Comment garantissez-vous que les acc\u00e8s restent limit\u00e9s ?<\/strong> Comment encadrez-vous les acc\u00e8s administrateurs ?<\/strong> Comment anticipez-vous les menaces \u00e9mergentes ?<\/strong> Comment am\u00e9liorez-vous en permanence votre s\u00e9curit\u00e9 ?<\/strong> Comment assurez-vous la continuit\u00e9 de vos services ?<\/strong> Comment garantissez-vous la disponibilit\u00e9 et la redondance ?<\/strong> Quels sont vos objectifs de RPO et RTO ?<\/strong> Comment g\u00e9rez-vous vos sauvegardes ?<\/strong> R\u00e9alisez-vous des tests de r\u00e9silience conform\u00e9ment \u00e0 DORA ?<\/strong> Comment s\u00e9lectionnez-vous vos prestataires critiques ?<\/strong> Comment contr\u00f4lez-vous vos prestataires dans la dur\u00e9e ?<\/strong> Que se passe-t-il en cas d\u2019incident de s\u00e9curit\u00e9 ?<\/strong> Gouvernance et responsabilit\u00e9s Qui est responsable de la s\u00e9curit\u00e9 chez CentralPay ?La s\u00e9curit\u00e9 est pilot\u00e9e par notre RSSI (Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d\u2019Information), rattach\u00e9 directement \u00e0 la Pr\u00e9sidence. Le RSSI s\u2019appuie sur un comit\u00e9 TIC et sur un cadre de gestion des risques align\u00e9 sur ISO 27005 et sur le r\u00e8glement DORA. Le […]<\/p>\n","protected":false},"author":3,"featured_media":0,"parent":15294,"menu_order":4,"comment_status":"open","ping_status":"closed","template":"","doc_tag":[],"doc_badge":[125],"class_list":["post-15296","docs","type-docs","status-publish","hentry","doc_badge-dora","no-post-thumbnail"],"acf":[],"yoast_head":"\n
La s\u00e9curit\u00e9 est pilot\u00e9e par notre RSSI (Responsable de la S\u00e9curit\u00e9 des Syst\u00e8mes d\u2019Information), rattach\u00e9 directement \u00e0 la Pr\u00e9sidence. Le RSSI s\u2019appuie sur un comit\u00e9 TIC et sur un cadre de gestion des risques align\u00e9 sur ISO 27005 et sur le r\u00e8glement DORA. Le RSSI est joignable \u00e0 l’adresse suivante : rssi@centralpay.com<\/p>\n\n\n\n
Oui. Notre Politique de S\u00e9curit\u00e9 du Syst\u00e8me d\u2019Information (PSSI) d\u00e9finit les r\u00e8gles applicables \u00e0 l\u2019ensemble de nos \u00e9quipes et de nos prestataires. Elle couvre la classification des donn\u00e9es, la gestion des acc\u00e8s, la protection des syst\u00e8mes, la gestion des incidents, la continuit\u00e9 d\u2019activit\u00e9 et l\u2019encadrement des prestataires TIC.<\/p>\n\n\n\n
La s\u00e9curit\u00e9 et la r\u00e9silience sont int\u00e9gr\u00e9es \u00e0 notre cadre global de gestion des risques. Celui-ci inclut une cartographie align\u00e9e ISO\/DORA, une politique d\u2019app\u00e9tence aux risques, et un suivi par indicateurs (KRI). Les d\u00e9cisions de s\u00e9curit\u00e9 sont arbitr\u00e9es au sein du comit\u00e9 S\u00e9curit\u00e9 & Conformit\u00e9 et valid\u00e9es par la Direction G\u00e9n\u00e9rale.<\/p>\n\n\n\n
Nous appliquons le mod\u00e8le des trois lignes de d\u00e9fense : les \u00e9quipes m\u00e9tiers r\u00e9alisent les contr\u00f4les op\u00e9rationnels, la conformit\u00e9 et le contr\u00f4le permanent assurent la supervision, et le contr\u00f4le p\u00e9riodique r\u00e9alise une \u00e9valuation ind\u00e9pendante.<\/p>\n\n\n\nProtection des donn\u00e9es et des syst\u00e8mes<\/h2>\n\n\n\n
Toutes les donn\u00e9es sont chiffr\u00e9es : TLS 1.2\/1.3 pour les \u00e9changes en transit et AES-256 pour le stockage. Les donn\u00e9es de carte sont trait\u00e9es uniquement dans un environnement certifi\u00e9 PCI DSS niveau 1 et imm\u00e9diatement tokenis\u00e9es, afin qu\u2019aucun num\u00e9ro complet ne soit conserv\u00e9 en clair.<\/p>\n\n\n\nTests et contr\u00f4les de s\u00e9curit\u00e9<\/h2>\n\n\n\n
Oui. Nous effectuons r\u00e9guli\u00e8rement des tests de p\u00e9n\u00e9tration ind\u00e9pendants, des scans automatis\u00e9s de vuln\u00e9rabilit\u00e9s et des audits externes (dont PCI DSS). Ces contr\u00f4les permettent d\u2019identifier les failles et de renforcer en permanence notre dispositif.<\/p>\n\n\n\n
Les journaux sont conserv\u00e9s 24 mois, horodat\u00e9s, prot\u00e9g\u00e9s par chiffrement et int\u00e9gr\u00e9s dans notre syst\u00e8me de supervision (SIEM). Leur acc\u00e8s est strictement restreint aux \u00e9quipes habilit\u00e9es.<\/p>\n\n\n\n
Nous appliquons une politique stricte de patch management : correction des vuln\u00e9rabilit\u00e9s critiques sous 24h, vuln\u00e9rabilit\u00e9s hautes sous 7 jours, et autres correctifs selon une fr\u00e9quence planifi\u00e9e. Le suivi est assur\u00e9 par des scans et des rapports de conformit\u00e9.<\/p>\n\n\n\nOrganisation et culture s\u00e9curit\u00e9<\/h2>\n\n\n\n
Tous les collaborateurs suivent une formation annuelle obligatoire sur la cybers\u00e9curit\u00e9, le RGPD et la LCB-FT. Des campagnes de sensibilisation r\u00e9guli\u00e8res (exercices phishing, e-learning) compl\u00e8tent ce dispositif. Les \u00e9quipes techniques b\u00e9n\u00e9ficient de formations renforc\u00e9es.<\/p>\n\n\n\n
Nous appliquons le principe du moindre privil\u00e8ge : chaque utilisateur n\u2019acc\u00e8de qu\u2019aux ressources n\u00e9cessaires \u00e0 sa mission. Les droits sont justifi\u00e9s, temporaires et syst\u00e9matiquement trac\u00e9s.<\/p>\n\n\n\n
Les acc\u00e8s \u00e0 privil\u00e8ges \u00e9lev\u00e9s sont limit\u00e9s \u00e0 un nombre restreint de personnes, soumis \u00e0 MFA, trac\u00e9s et revus r\u00e9guli\u00e8rement. Ils ne sont accord\u00e9s que pour des besoins pr\u00e9cis et pour une dur\u00e9e limit\u00e9e.<\/p>\n\n\n\nAnticipation et am\u00e9lioration continue<\/h2>\n\n\n\n
Nous assurons une veille cybers\u00e9curit\u00e9 active via les bulletins CERT-FR, ANSSI, \u00e9diteurs logiciels et fournisseurs cloud. Cette activit\u00e9 de threat intelligence permet d\u2019adapter nos d\u00e9fenses en temps r\u00e9el.<\/p>\n\n\n\n
Chaque incident, audit ou test fait l\u2019objet d\u2019un retour d\u2019exp\u00e9rience document\u00e9 et d\u2019un plan d\u2019actions correctives. Nos politiques et proc\u00e9dures sont revues annuellement pour int\u00e9grer ces enseignements et les \u00e9volutions r\u00e9glementaires.<\/p>\n\n\n\nR\u00e9silience et continuit\u00e9<\/h2>\n\n\n\n
Nous disposons d\u2019un Plan d\u2019Urgence et de Poursuite d\u2019Activit\u00e9 (PUPA) int\u00e9grant un PCA (continuit\u00e9) et un PRI (reprise). Ces plans sont r\u00e9guli\u00e8rement test\u00e9s \u00e0 travers des exercices de crise et des sc\u00e9narios de bascule.<\/p>\n\n\n\n
Nos services reposent sur une architecture redond\u00e9e au sein de plusieurs zones europ\u00e9ennes, permettant d\u2019assurer une disponibilit\u00e9 de plus de 99,95 %.<\/p>\n\n\n\n
CentralPay d\u00e9finit et teste r\u00e9guli\u00e8rement ses objectifs de continuit\u00e9 :<\/p>\n\n\n\n\n
Ces objectifs sont valid\u00e9s lors de nos exercices PCA\/PRI et int\u00e9gr\u00e9s dans notre dispositif DORA.<\/li>\n<\/ul>\n\n\n\n
Les sauvegardes sont chiffr\u00e9es, isol\u00e9es, redond\u00e9es et r\u00e9guli\u00e8rement test\u00e9es pour garantir leur restauration. Elles suivent les m\u00eames politiques de s\u00e9curit\u00e9 que les environnements de production.<\/p>\n\n\n\n
Oui. Nous r\u00e9alisons des exercices de crise (cyberattaques simul\u00e9es, pannes critiques), des tests de charge et de performance, des sc\u00e9narios de bascule et, pour les fonctions critiques, des tests avanc\u00e9s de type TLPT (Threat-Led Penetration Testing).<\/p>\n\n\n\nRelations avec les prestataires<\/h2>\n\n\n\n
Chaque prestataire fait l\u2019objet d\u2019une due diligence (s\u00e9curit\u00e9, conformit\u00e9, localisation des donn\u00e9es, SLA). Les contrats incluent des clauses RGPD et DORA (s\u00e9curit\u00e9, notification d\u2019incident, droit d\u2019audit).<\/p>\n\n\n\n
Nous tenons un registre DORA recensant tous nos prestataires TIC et identifiant les prestataires critiques. Ces derniers font l\u2019objet d\u2019un suivi renforc\u00e9 : revues r\u00e9guli\u00e8res, audits, attestations ISO\/PCI et \u00e9valuations de r\u00e9silience.<\/p>\n\n\n\nGestion des incidents<\/h2>\n\n\n\n
Nous appliquons une proc\u00e9dure de gestion des incidents incluant : d\u00e9tection, qualification, confinement, rem\u00e9diation et forensic. Si n\u00e9cessaire, nous notifions la CNIL sous 72h et informons les clients concern\u00e9s. Chaque incident majeur donne lieu \u00e0 un retour d\u2019exp\u00e9rience et \u00e0 un plan d\u2019actions correctives suivi jusqu\u2019\u00e0 sa cl\u00f4ture.<\/p>\n","protected":false},"excerpt":{"rendered":"