Normes et conformité

Stratégies de sécurité : Sage utilise la norme internationale ISO 27001 pour concevoir son système de gestion de la sécurité de l’information. Nous utilisons des normes et des stratégies comme ISO 27002, NIST et AICPA pour sélectionner et créer les contrôles et processus nécessaires pour atteindre nos objectifs en matière de cybersécurité.

Règles : Sage assure la conformité aux normes et règles de sécurité grâce à une gouvernance d’entreprise stricte. Cela signifie que nous disposons de procédures de routine pour évaluer, mettre à jour et intégrer dans notre organisation la sécurité de l’information, le développement sécurisé, l’utilisation conforme de nos systèmes internes, la protection des données personnelles et la gestion des données personnelles.

Aspects juridiques : Sage encourage la conformité légale en assurant une veille régulière des dispositions réglementaires et légales pour ne manquer aucune nouveauté ni amendement. Nous menons des audits de la conformité réglementaire et nous disposons d’un registre des activités de traitement tel que l’exige l’article 30 du RGPD.

RGPD et CCPA : Sage respecte le Règlement général relatif à la protection des données (RGPD), le California Consumer Privacy Act (CCPA) et toutes les autres réglementations pertinentes dans les juridictions où nous traitons des données.

ISO 27001 : la seule norme internationale à définir les exigences d’un système de management de la sécurité de l’information (SMSI) et à pouvoir servir de base à un audit. Il s’agit d’un ensemble de règles, procédures, processus et systèmes qui gère les risques de sécurité de l’information, comme les cyberattaques. Nous sommes certifiés ISO 27001 pour ce qui est du développement et de l’opération sécurisés de nos logiciels de comptabilité, de gestion financière, de RH et de gestion des entreprises basés dans le Cloud et offerts en tant que « software as a service » (SaaS) sur le Sage Business Cloud.

SOC 2 : un rapport sur les contrôles internes. Il porte sur les mesures prises par une entreprise pour protéger les données de ses clients et sur l’efficacité de ces contrôles internes. Chez Sage, nous élargissons sans cesse la portée de ces rapports pour y inclure toujours plus de produits et services.

Norme de sécurité de l'industrie des cartes de paiement (PCI DSS) : un ensemble de règles et procédures conçues pour optimiser la sécurité des transactions par carte de crédit, débit et retrait. Sage satisfait les exigences de niveau 1 de la norme PCI DSS et assure ainsi la protection des détenteurs de carte contre le détournement de leurs données personnelles.

Health Insurance Portability and Accountability Act (HIPAA) : cette loi définit un niveau de protection des données sensibles des patients. Sage Intacct est certifié pour satisfaire les exigences de l’HIPAA.

Assurance des contrôles : nous entretenons un programme complet d’assurance des contrôles de la sécurité. Il vise à garantir que nos produits respectent nos normes de sécurité et que cette conformité est évaluée régulièrement afin que nous puissions juger l’efficacité de nos contrôles de sécurité.

Gestion du changement : les mises à jour, les correctifs ou les nouvelles versions des logiciels sont soumis à des procédures de gestion du changement ou de publication, ainsi qu’à des normes strictes.

Contrôle de l’accès : nos procédures reposent sur le « droit d’accès minimal ». Ce principe régit les autorisations d’accès, l’administration des accès privilégiés aux données et aux systèmes ou encore les prérequis et les accords contractuels avec nos fournisseurs.

Cryptographie : nous transposons nos exigences de chiffrement dans des règles et des normes contraignantes. Nous définissons des algorithmes et des schémas de cryptographie et nous validons leur intégration dans les produits et solutions Sage.

Riposte aux incidents, continuité de l’activité et reprise après sinistre : nous testons et mettons régulièrement en pratique nos règles et nos procédures de riposte aux incidents et de continuité de l’activité, ainsi que nos processus de sauvegarde et de récupération des données. Nous élaborons différents scénarios pour nous assurer d’être en mesure d’apporter une réaction efficace à n’importe quel incident.