Politique de Sécurité des Systèmes d’Information (PSSI)

Dernière mise à jour : 06 Mars 2026

1. Objectif

La présente Politique de Sécurité des Systèmes d’Information (PSSI) définit les principes et engagements de Scalyz en matière de protection :

• De la confidentialité
• De l’intégrité
• De la disponibilité
• De la traçabilité des informations

Elle s’applique à l’ensemble des systèmes, infrastructures, collaborateurs et partenaires impliqués dans l’exploitation de la plateforme Scalyz.

2. Gouvernance de la Sécurité

Scalyz a mis en place une gouvernance interne de la sécurité comprenant :

• Un référent sécurité désigné
• Un comité sécurité interne composé de la direction, du responsable sécurité, du responsable production et du responsable développement
• Une revue sécurité trimestrielle
• Un processus documenté d’analyse et de gestion des risques

Les décisions relatives à la sécurité sont validées par le comité après revue technique.

3. Gestion des Accès

Scalyz applique le principe du moindre privilège.

• Gestion centralisée des identités
• Authentification multi-facteurs obligatoire
• Revue trimestrielle des droits d’accès
• Procédure formelle d’onboarding et d’offboarding
• Suppression immédiate des accès lors du départ d’un collaborateur

L’accès aux environnements de production est strictement limité aux personnels habilités.

4. Gestion des Actifs & Classification

Un inventaire des actifs techniques est maintenu.

Les données traitées par Scalyz sont classifiées par défaut comme confidentielles, sauf autorisation expresse du représentant légal.

Les environnements sont séparés :

• Développement
• Préproduction
• Production

5. Sécurité Applicative & DevSecOps

Scalyz adopte une approche DevSecOps intégrée :

• Analyse automatique des vulnérabilités dans le pipeline de développement
• Revue de code croisée
• Tests en environnement préproduction isolé
• Mise en production progressive

Les vulnérabilités critiques sont traitées immédiatement.
Les vulnérabilités mineures sont corrigées dans un délai maximal de deux semaines.

6. Gestion des Vulnérabilités & Correctifs

Scalyz applique une politique de gestion des correctifs basée sur la criticité :

• Critique : correction immédiate (hotfix)
• Important : correction dans la prochaine release
• Mineur : correction planifiée

Les dépendances sont mises à jour régulièrement dans le cadre des cycles de mise en production.

7. Gestion des Incidents

Scalyz maintient un registre interne des incidents.

Un modèle de classification est utilisé :

• Critique
• Important
• Faible

Chaque incident fait l’objet :

• D’un traitement priorisé
• D’une analyse post-incident
• D’un suivi d’amélioration

Les incidents majeurs font l’objet d’une notification aux clients concernés conformément aux obligations réglementaires.

8. Continuité d’Activité & Résilience

Scalyz dispose d’une procédure interne de continuité d’activité permettant :

• Le redéploiement complet de l’infrastructure
• La reprise dans une autre région AWS

Objectifs :

• RTO : 24 heures
• RPO : 24 heures

Les sauvegardes sont :

• Chiffrées
• Stockées séparément
• Immuables
• Testées périodiquement

Un test annuel de reprise est organisé.

9. Sous-traitants & Partenaires

Scalyz sélectionne ses sous-traitants selon des critères de :

• Fiabilité
• Conformité
• Réputation
• Sécurité

Des engagements contractuels sont établis lorsque nécessaire, incluant des accords de traitement des données.

10. Sensibilisation & Responsabilité

Tous les collaborateurs :

• Sont soumis à des clauses de confidentialité
• Signent des engagements de non-divulgation
• Reçoivent une sensibilisation annuelle à la sécurité

Toute violation des règles de sécurité peut entraîner des mesures disciplinaires conformément aux règles internes et au droit applicable.

11. Amélioration Continue

Scalyz s’engage dans une démarche d’amélioration continue :

• Revue trimestrielle des risques
• Suivi des vulnérabilités
• Plan d’amélioration sécurité documenté
• Évaluations internes régulières

La certification ISO 27001 est envisagée à horizon 2026.

Engagement

Scalyz s’engage à maintenir un niveau de sécurité adapté aux risques et aux exigences réglementaires, afin de garantir la protection des données de ses clients et utilisateurs.