Réponse aux incidents
faktoora applique un processus structuré de gestion des incidents, aligné sur les exigences de DORA (Digital Operational Resilience Act, règlement sur la résilience opérationnelle numérique). Cette page décrit la manière dont nous détectons et classifions les incidents de sécurité, y réagissons et communiquons à leur sujet.
Détection
Nous utilisons plusieurs niveaux de surveillance et des alertes automatiques afin de détecter rapidement les incidents dans notre application, notre infrastructure et notre chaîne d'approvisionnement.
Classification
À compter de la prise de connaissance, l'évaluation commence dans un délai de 30 minutes ; la classification repose sur les critères suivants :
| Facteur | Évaluation |
|---|---|
| Nombre de clients concernés | Un seul client, une partie des clients ou tous les clients |
| Durée de l'impact | Temporaire, persistant ou continu |
| Sensibilité des données | Publiques, internes, confidentielles ou restreintes |
| Criticité du service | Plateforme principale, service de support ou non critique |
| Impact économique | Impact sur le chiffre d'affaires, contractuel ou réglementaire |
Niveaux de gravité
Les heures ouvrées vont du lundi au vendredi, de 9 h 00 à 17 h 00 (HNEC/HAEC, heure d'Europe centrale), à l'exception des jours fériés légaux en Bavière. Pour les clients de la formule « Sur mesure » (« Individuell », Enterprise), les délais prévus à la section 10 du Service Level Agreement s'appliquent.
| Niveau de gravité | Définition | Délai de réaction |
|---|---|---|
| Critique | Service principal indisponible ou violation de données confirmée | Détection automatique 24 h/24, 7 j/7 ; début de l'évaluation dans un délai de 30 minutes à compter de la prise de connaissance |
| Élevé | Impact important pour les utilisateurs ou exposition potentielle de données | Dans les meilleurs délais pendant les heures ouvrées |
| Moyen | Impact limité, aucune donnée menacée | Dans un délai de 1 jour ouvré |
| Faible | Problème mineur, sans impact pour les utilisateurs | Dans un délai de 5 jours ouvrés |
Communication avec les clients
| Niveau de gravité | Délai de notification | Canal |
|---|---|---|
| Critique | Dans un délai d'1 heure après la classification, mises à jour toutes les 2 heures | E-mail aux clients concernés |
| Élevé | Dans un délai de 4 heures en cas d'impact pour les utilisateurs | E-mail aux clients concernés |
| Moyen | Disponible sur demande | Via les canaux de support |
| Faible | Disponible sur demande | Via les canaux de support |
Soutien à vos notifications réglementaires
Nombre de nos clients ont leurs propres obligations de notification – par exemple les entités financières au titre de DORA ou les responsables du traitement au titre du RGPD. Notre processus de gestion des incidents est conçu pour vous fournir rapidement les informations nécessaires à vos propres notifications :
| Information | Moment | Contenu |
|---|---|---|
| Notification initiale | Dans un délai de 4 heures après la qualification en incident majeur (au plus tard 24 heures après la détection) | Type d'incident, services concernés, moment de la détection, évaluation préliminaire des conséquences |
| Rapport intermédiaire | Dans un délai de 72 heures après la notification initiale | Évaluation actualisée des conséquences, cause (si elle est connue), mesures de confinement, données concernées |
| Rapport final | Dans un délai d'1 mois après le rapport intermédiaire | Analyse des causes, impact global, mesures correctives, enseignements |
Nous notifions dans les meilleurs délais à nos clients les violations de données à caractère personnel, comme le prévoit notre contrat de sous-traitance. Lorsque faktoora est elle-même responsable du traitement, nous procédons à la notification auprès de l'autorité de contrôle compétente conformément à l'art. 33 du RGPD.
Confinement et rétablissement
Notre processus de réponse aux incidents suit les phases suivantes :
- Confinement - Isoler les systèmes concernés afin d'empêcher tout impact supplémentaire
- Conservation des preuves - Sauvegarder les journaux d'audit, les journaux applicatifs et les journaux d'accès
- Analyse des causes - Identifier la cause sous-jacente
- Correction - Mettre en œuvre les correctifs et vérifier la correction
- Rétablissement - Rétablir le fonctionnement normal et confirmer la stabilité
Revue post-incident
Chaque incident de niveau de gravité Élevé ou Critique fait l'objet d'une revue dans un délai de 5 jours ouvrés :
- Chronologie complète de la détection, de la réaction et du rétablissement
- Analyse des causes
- Évaluation des conséquences (clients, données, services)
- Évaluation de l'efficacité de la réaction
- Mesures préventives destinées à éviter que l'incident ne se reproduise
Les enseignements tirés sont documentés et intégrés à nos contrôles et procédures de sécurité.
Conservation des enregistrements d'incidents
Tous les enregistrements d'incidents sont conservés, en s'inspirant de DORA, pendant au moins 5 ans.
Signaler un incident
Si vous soupçonnez un incident de sécurité concernant faktoora ou vos données :
- Incidents de sécurité : security@faktoora.com
- Incidents de protection des données : privacy@faktoora.com
Pour signaler une vulnérabilité, consultez notre page Signalement de vulnérabilités.