1. Introduction
NeuronUP dépend des systèmes TIC (Technologies de l’Information et des Communications) pour atteindre ses objectifs. Ces systèmes doivent être gérés avec diligence, en prenant les mesures appropriées pour les protéger contre des dommages accidentels ou délibérés susceptibles d’affecter la disponibilité, l’intégrité ou la confidentialité des informations traitées ou des services fournis.
Le personnel de NeuronUP doit s’assurer que la sécurité constitue une partie intégrante de chaque étape du cycle de vie du système, depuis sa conception jusqu’à sa mise hors service, en passant par les décisions de développement ou d’acquisition et les activités d’exploitation.
Les départements de NeuronUP, conformément à l’exécution des fonctions qui leur sont confiées, doivent être préparés à prévenir, détecter, réagir et se rétablir après des incidents, conformément à la réglementation en vigueur.
Pour garantir le respect de cette politique, le Comité de Sécurité développe et évalue régulièrement les systèmes et veille à ce que l’ensemble du personnel de NeuronUP connaisse et remplisse ses fonctions conformément à la sécurité de l’information.
2. Champ d’application
La présente politique s’applique à toutes les personnes, processus, systèmes et actifs impliqués dans le traitement de l’information au sein de NeuronUP.
Cela inclut le personnel interne, les collaborateurs externes, les fournisseurs et les tiers ayant accès aux informations ou aux systèmes, ainsi que tous les actifs d’information.
Le respect de cette politique est obligatoire et constitue la base sur laquelle sont établis les normes, procédures et contrôles du Système de Management de la Sécurité de l’Information (SMSI) de l’organisation.
3. Objectif de cette politique
Cette politique a pour objectif de fixer le cadre d’action afin de garantir la sécurité de l’information et la continuité de la prestation des services.
Cette politique est déclinée au moyen de la documentation et des normes de sécurité mises à la disposition de tous les membres de l’organisation qui doivent en avoir connaissance, en particulier celles et ceux qui utilisent, exploitent ou administrent les systèmes d’information et de communications, au travers de procédures, processus, instructions techniques, etc.
La réglementation de sécurité est disponible pour l’ensemble des employés de l’organisation dans son gestionnaire documentaire.
4. Cadre réglementaire
NeuronUP s’engage à respecter l’ensemble des lois, règlements et normes applicables en matière de Sécurité de l’Information.
5. Organisation de la sécurité
La Direction de l’entreprise assume la responsabilité de promouvoir et de soutenir la mise en place de mesures techniques, organisationnelles et de contrôle garantissant les niveaux de qualité et de sécurité nécessaires aux opérations de l’entreprise, et s’engage dans l’amélioration continue du Système de Management de la Sécurité de l’Information.
La responsabilité de cette tâche est déléguée au Comité de Sécurité, créé par NeuronUP en tant qu’organe collégial transversal composé de :
- Le Responsable de la Sécurité de l’Information, qui exerce également les fonctions de Président du Comité de Sécurité.
- L’Administrateur Systèmes, qui assume également le rôle de Secrétaire du Comité de Sécurité.
- Le Directeur des Technologies.
Les attributions spécifiques de ces rôles sont incluses dans les fiches de poste de leurs responsables respectifs. La procédure de désignation et/ou de renouvellement est approuvée par la Direction.
Les nominations seront révisées tous les 2 ans ou lorsqu’un poste devient vacant, sur proposition du Comité de Sécurité lui-même.
5.1. Fonctions du Comité de Sécurité
La fonction principale du Comité de Sécurité est de définir la Politique de Sécurité de l’Information et les objectifs du SMSI.
Le Comité de Sécurité établira les niveaux de risque considérés comme acceptables, en déterminant les actions appropriées pour réduire les risques dépassant ces seuils.
La mission du Comité de Sécurité est de procéder à la révision annuelle de cette politique et de proposer sa révision ou son maintien. Par ailleurs, cette politique sera complétée au moyen de normes et de recommandations de sécurité (autres politiques, protocoles, procédures, instructions techniques, etc.).
Plus précisément, les points de sécurité à réviser seront :
- L’état des actions à mettre en œuvre depuis le dernier contrôle.
- Les changements significatifs pour le SMSI.
- La gestion des risques, des vulnérabilités et des menaces.
- Les technologies, produits et services pour l’amélioration continue.
6. Gestion des risques
Pour l’harmonisation des analyses de risques, le Comité de Sécurité établira une valorisation de référence pour les différents types d’informations traitées et les différents services fournis.
Le Comité de Sécurité étudiera la disponibilité des ressources afin de répondre aux besoins de sécurité des différents systèmes.
Tous les systèmes soumis à cette politique devront réaliser une analyse de risques, en évaluant les menaces et les risques auxquels ils sont exposés. Cette analyse sera répétée :
- Régulièrement, au moins une fois par an ;
- lorsqu’un incident de sécurité grave se produit ;
- lorsque des vulnérabilités graves sont signalées.
Pour garantir la disponibilité des services critiques en cas d’incidents éventuels, l’entreprise dispose d’un Plan de reprise après sinistre qui coordonne toutes les activités de reprise des processus métiers susceptibles d’être affectés.
7. Obligations du personnel
Tous les membres de NeuronUP ont l’obligation de connaître et de respecter la Politique de Sécurité de l’Information et la réglementation de sécurité, le Comité de Sécurité étant responsable de la mise à disposition des moyens nécessaires pour que l’information parvienne aux personnes concernées.
Le non-respect de cette Politique de Sécurité et des normes qui la déclinent pourra entraîner des sanctions disciplinaires conformément aux dispositions du Statut des Travailleurs et de la convention collective applicable. Les directives concrètes destinées aux travailleurs sont développées dans la Politique de sécurité pour les travailleurs.
7.1. Sensibilisation et formation
Conformément à la Politique de formation et de sensibilisation à la Sécurité de l’Information, tous les membres de NeuronUP recevront une formation en matière de sécurité de l’information au moins une fois par an. De plus, un programme de sensibilisation continue sera mis en place afin de garantir que toutes les parties prenantes comprennent et respectent la Politique de Sécurité de l’Information.
Les personnes ayant des responsabilités dans l’utilisation, l’exploitation ou l’administration des systèmes recevront une formation pour la manipulation sécurisée des systèmes dans la mesure où elles en ont besoin pour accomplir leur travail. La formation sera obligatoire avant d’assumer une responsabilité, qu’il s’agisse de leur première affectation ou d’un changement de poste ou de responsabilités au sein de celui-ci.
7.2. Directives de base du SMSI
Les directives de base pour le traitement sécurisé de l’information et la structuration de la documentation de sécurité du système, sa gestion et son accès, sont développées dans les manuels, politiques, normes et procédures du SMSI.
Ces directives sont les suivantes :
- Les informations doivent être classées dans les catégories suivantes : Publique, Usage interne, Confidentielle ou Réservée.
- Les supports physiques stockant des informations non publiques doivent être conservés dans un lieu sécurisé.
- L’accès aux systèmes d’information sera autorisé sur la base du principe du besoin d’en connaître (need-to-know), en veillant à ce que chaque personne n’accède qu’aux informations nécessaires à l’exercice de ses fonctions.
- Les accès physiques aux installations de l’entreprise sont limités au seul personnel autorisé.
- Tous les employés doivent enregistrer leurs entrées et sorties via le système de contrôle des horaires et de pointage.
- L’accès des personnes externes à l’entreprise doit être enregistré dans les cas définis par NeuronUP.
- La Politique de gestion des mots de passe indiquée par NeuronUP sera appliquée.
- Les ordinateurs sont configurés pour qu’après une période d’inactivité, ils se verrouillent automatiquement au moyen d’un écran de veille protégé par mot de passe. Cependant, il appartient à l’utilisateur de le verrouiller manuellement chaque fois qu’il quitte son poste.
- Dès qu’un employé quitte l’entreprise, ses droits d’accès seront désactivés.
- Les patients disposeront d’une adresse e-mail professionnelle pour l’exercice de leur travail.
- Des clauses de sécurité appropriées seront incluses dans les contrats conclus avec des tiers.
- Les patients ne doivent jamais désactiver les programmes antivirus ni tout autre outil ou contrôle installé dans le but d’améliorer la sécurité.
- Les patients ne doivent pas s’attendre à la confidentialité lorsqu’ils accèdent aux systèmes d’information de l’entreprise, car celle-ci (dans le cadre légal établi et afin d’administrer les systèmes et de faire respecter la sécurité) peut examiner toute information stockée dans ses systèmes.
- Toute question en matière de sécurité peut être adressée à [email protected].
- En cas de détection d’une situation affectant la sécurité de l’information de NeuronUP, tout patient (employé ou externe) doit le communiquer au responsable du département et/ou au responsable de la sécurité.
8. Données à caractère personnel
NeuronUP ne collectera et ne traitera des données à caractère personnel que lorsque cela est nécessaire et conformément à la réglementation sur la protection des données ; c’est pourquoi elle dispose d’une Politique de protection des données à caractère personnel, qui est conforme aux niveaux de sécurité requis par la réglementation en vigueur.
Les mesures techniques et organisationnelles nécessaires seront adoptées afin de garantir la protection des données à caractère personnel.
9. Tiers
Lorsque NeuronUP fournit des services à d’autres organisations ou traite des informations appartenant à des tiers, ceux-ci seront informés de la présente Politique de Sécurité de l’Information ainsi que des normes et instructions qui en découlent. Des canaux de signalement et de coordination seront mis en place entre les Comités de Sécurité respectifs, et des procédures d’action seront établies pour la réaction face aux incidents de sécurité.
Lorsque NeuronUP utilise des services de tiers ou communique des informations à des tiers, ceux-ci seront informés de la présente Politique et de la réglementation de sécurité applicable à ces services ou informations. Le tiers sera soumis aux obligations établies dans la réglementation et pourra développer ses propres procédures opérationnelles afin d’y satisfaire. Des procédures spécifiques de signalement et de résolution des incidents seront établies. Il sera garanti que le personnel des tiers est correctement sensibilisé en matière de sécurité, au moins au même niveau que celui défini par la présente Politique.
Lorsqu’un aspect de la Politique ne peut pas être satisfait par un tiers comme requis dans les paragraphes précédents, un rapport du Responsable de la Sécurité sera exigé, précisant les risques encourus et la manière de les traiter. L’approbation de ce rapport par les responsables des informations et des services concernés sera requise avant de poursuivre.
Date de dernière révision : 22 novembre 2025
