Sécurité et conformité

Normes de sécurité
Alignement sur les bonnes pratiques

NIS2
Conformité en cours

GDPR
Protection des données de l’UE

Sécurité du produit

Qlara applique les principes de security-by-design à l’application et à l’infrastructure. Les exigences de sécurité sont prises en compte lors de la conception, du développement, des tests et de la mise en production, avec une attention portée au codage sécurisé, à la séparation des environnements, à la gestion des vulnérabilités et aux changements contrôlés. Le produit relève d’un modèle de gouvernance comprenant évaluation des risques, audits internes, revue des politiques et amélioration continue.

Traitement sécurisé des données

Qlara valide et contrôle les données reçues par les composants frontend et backend. Les entrées et les sorties sont gérées de manière à réduire le risque d’injection de code, de manipulation ou de traitement non autorisé. En cas d’entrée non valide, l’application traite l’événement sans exposer de détails techniques susceptibles de révéler la logique interne ou des informations utiles à un attaquant.

Sécurité des communications

Les communications entre client et serveur sont protégées par HTTPS et des protocoles TLS sécurisés : TLS 1.2 ou supérieur est utilisé pour protéger les données en transit, en évitant les configurations faibles ou obsolètes qui exposeraient à l’interception ou au downgrade. Les communications entre l’infrastructure, les bases de données et les services internes passent par des canaux chiffrés et des chemins d’accès contrôlés.

Authentification et contrôle des accès

L’accès à Qlara et aux systèmes associés est régi par des principes formels de contrôle des accès : moindre privilège, besoin d’en connaître et séparation des tâches. Les autorisations sont attribuées selon le rôle et le besoin opérationnel et font l’objet de revues, de mises à jour et de révocations lorsque les rôles changent. Les accès privilégiés sont limités au personnel autorisé et soumis à journalisation, surveillance et revue périodique.

Protection des mots de passe et des secrets

Qlara ne conserve pas les mots de passe en clair : mots de passe et secrets sont protégés par des pratiques sécurisées de hachage et de gestion des identifiants. Les procédures de récupération et de changement de mot de passe reposent sur des canaux de communication vérifiés et les identifiants sensibles ne sont pas exposés dans les URL. Les identifiants techniques et les clés d’accès sont gérés avec traçabilité et rotation le cas échéant.

Sécurité des sessions

Qlara met en œuvre des pratiques sécurisées de gestion des sessions : les sessions sont protégées par des jetons et des cookies configurés pour réduire les accès ou réutilisations non autorisés. Les procédures de déconnexion invalident les informations de session et les sessions inactives sont gérées afin de limiter l’exposition depuis des postes non surveillés ou abandonnés.

Sécurité des bases de données

La couche base de données est protégée par des règles d’exposition restrictives : les bases ne sont pas joignables publiquement et n’acceptent de connexions que depuis des hôtes et services autorisés. Les utilisateurs de base de données sont séparés par service le cas échéant et les privilèges sont attribués selon les principes de moindre privilège et de besoin d’en connaître. Des pratiques de requêtes sécurisées réduisent le risque d’injection et préservent l’intégrité des données.

Journalisation et surveillance

Qlara génère des journaux pour les événements d’accès, les actions significatives des utilisateurs et les activités importantes pour la sécurité. Les journaux sont centralisés et protégés contre les accès ou altérations non autorisés. La surveillance permet la détection d’anomalies, l’analyse d’incidents, les audits et la reconstitution forensique. Les événements de sécurité peuvent être escaladés aux fonctions de cybersécurité et au SOC selon les procédures internes.

Détection des menaces et protection contre les logiciels malveillants

Qlara bénéficie des contrôles de sécurité d’Agile Telecom et du Groupe Growens, conçus pour réduire l’exposition aux logiciels malveillants, aux tentatives d’intrusion et aux erreurs de configuration. Les actifs sont protégés par des outils centralisés, la protection des postes, l’antimalware, les correctifs, les pare-feu, la segmentation réseau et la surveillance. Les activités suspectes sont traitées via des canaux d’escalade définis.

Gestion des vulnérabilités

Qlara s’inscrit dans une démarche de gestion des vulnérabilités fondée sur l’identification, l’analyse, la priorisation et la correction des faiblesses. Les évaluations de vulnérabilités et les tests d’intrusion sont planifiés en fonction du risque et leurs rapports orientent les actions correctives. Avant la mise en production, les systèmes et services sont évalués afin d’éviter le déploiement de composants présentant un niveau de risque inacceptable.

Développement sécurisé

Qlara suit des pratiques de développement logiciel sécurisé alignées sur les directives du Groupe. Les environnements de développement, de test et de production sont maintenus séparés et les mises en production sont gérées par des processus contrôlés. Les modifications de code, les tests et les déploiements font l’objet de revues et de traçabilité, les exigences de sécurité étant prises en compte dès la conception selon les principes de cybersecurity-by-design.

Sauvegarde et restauration

Qlara s’appuie sur des pratiques de sauvegarde et de restauration conçues pour préserver la disponibilité des données et permettre la reprise du service en cas de suppression, de corruption, de perte ou d’interruption. Les sauvegardes sont réalisées régulièrement, protégées par des mesures de sécurité adaptées et testées périodiquement pour vérifier leur récupérabilité. Les restaurations sont surveillées et font l’objet d’actions correctives.

Continuité d’activité et résilience

Qlara s’inscrit dans un cadre de résilience plus large couvrant la continuité d’activité, la reprise après sinistre, la réponse aux incidents et la gestion de crise. L’organisation identifie les processus critiques, les dépendances, les fournisseurs et les objectifs de reprise afin de maintenir la continuité du service et d’en permettre le rétablissement en cas d’interruption.

Gestion des incidents

Qlara est couverte par un processus formel de gestion des incidents. Les événements de sécurité et les incidents suspectés sont signalés par des canaux définis et traités par tri, analyse, confinement, éradication, rétablissement et revue post-incident. La gestion implique les fonctions cybersécurité, informatique, juridique, protection des données et métier, avec escalade auprès des autorités lorsque la réglementation applicable l’exige, y compris NIS2 et le RGPD.

Sécurité de l’IA

Lorsque Qlara utilise des capacités d’intelligence artificielle, les modèles et traitements associés sont gérés au sein de l’environnement technologique d’Agile Telecom et soumis aux mêmes contrôles de sécurité que le périmètre produit et infrastructure : contrôle des accès, surveillance, communications chiffrées, protection des actifs et gouvernance des données traitées par les composants d’IA.