Plan Assurance Sécurité applicable au Cloud Médical

La sécurisation des données des solutions professionnelles est une priorité absolue chez Withings. Découvrez comment nous y parvenons.

Sommaire

Le Plan d'Assurance Sécurité de Withings concerne exclusivement les activités de Withings avec les professionnels. Veuillez vous référer à notre politique de confidentialité pour en savoir plus sur les mesures de sécurité mises en place pour les données individuelles des utilisateurs grand public.

Sécurité des données

Normes et certifications

Audit et évaluation contractuels

Plan Assurance Sécurité

Gestion des sous-traitants

Sécurité des services et des applications

Développement sécurisé

Gestion des vulnérabilités

Sécurité d’authentification

Contrôles d'accès basés sur les rôles

Sécurisation des données en transit

Gestion des changements

Protection des infrastructures et du cloud médical

Sécurité des centres de données physiques

Sécurité des réseaux

Chiffrement

Plan de disponibilité et continuité

Sécurité des ressources humaines

Gestion des employés

Sensibilisation à la sécurité

Amélioration continue

Audits internes

Audits externes

Fermer le menu

Sécurité des données

Withings s'engage à créer un environnement certifié permettant aux professionnels de santé d'étendre leurs suivis médicaux depuis plusieurs plateformes grâce à un protocole unifié et sécurisé. De plus en plus de cas d'utilisation sont pris en charge dans cet environnement.

Grâce à notre conformité à de multiples normes (ISO 27001:2013, HDS et HIPAA), découvrez comment nous protégeons les données personnelles de santé.

Normes et certifications

Pour protéger de manière optimale les données issues de nos produits et services, nous nous efforçons de respecter les normes les plus strictes en matière de protection des données de santé.

Certifications

HDS

Hébergement de données de santé - version 1.1 finale - mai 2018 pour les activités 3 à 6 selon le référentiel de certification fourni par l'ASIP Santé.

Comprend tous les systèmes, personnes et processus impliqués dans la conception, le développement, les opérations, la validation et le support des applications et services hébergés sur le Withings Medical Clouds incluant le traitement et la divulgation de données personnelles sur la santé.

Le référentiel de certification comprend : NF ISO/IEC 27001:2013, ISO/IEC 27018:2014, NF ISO/IEC 20000-1:2011, ainsi que des dispositions supplémentaires.

Télécharger

ISO 27001:2013

Withings assure la prestation d'hébergeur infogéreur conforme aux exigences des normes ISO 27001:2013

Télécharger

Normes

RGPD

Règlement Général sur la Protection des Données (RGPD, GDPR) - Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

HIPAA

Health Insurance Portability and Accountability Act of 1996. Norme régissant l’hébergement de données de santé à caractère personnel.

Télécharger

Audit et évaluation contractuels

Pour protéger de manière optimale les données issues de nos produits et services, nous nous efforçons de respecter les normes les plus strictes en matière de protection des données de santé.

Plan Assurance Sécurité

Détaillé dans les sections ci-dessous, le Plan d'Assurance Sécurité (PAS) décrit les méthodes, l’organisation et les activités d’assurance et de contrôle de la qualité spécifiques aux applications hébergées par le Cloud Médical Withings afin de :

constituer une référence commune à tous les collaborateurs pour uniformiser les méthodes de travail
garantir la qualité des produits et services en définissant des critères mesurables
définir les procédures à suivre, les outils à utiliser, les normes à respecter, la méthodologie et les contrôles prévus pour chaque activité et les référencer dans le Système de Management de la Sécurité de l’Information (SMSI ou ISMS - Information Security Information System)

L'établissement et les mises à jour du Plan d’Assurance Sécurité (PAS) ainsi que le suivi de son application incombent au responsable sécurité ou Information Security Manager (ISM). Il est notamment en charge du suivi des actions à entreprendre pour la bonne exécution du PAS.

Gestion des sous-traitants

Withings a recours à un ou plusieurs sous-traitants pour la prestation d’hébergement de l’infrastructure physique pour les activités de mise à disposition de locaux d’hébergement physique et d’infrastructure matérielle (pour les activités 1 à 2 conformément au référentiel de certification fourni par l’ASIP Santé).

Les sous-traitants sont sélectionnés en suivant la procédure de gestion des sous-traitants, incluant les contrôles du niveau de sécurité de l’information conformes aux exigences des normes ISO 27001:2013 et HDS - version 1.1 finale - Mai 2018.

Sécurité des services et des applications

Nous assurons, maintenons et gérons la protection des données dans nos applications et services à tous les stades de leur cycle de vie et dans des environnements réglementaires différents pour tous les services hébergés sur le Withings Medical Cloud.

Développement sécurisé

Formation sur le code sécurisé

Au moins une fois par an, les développeurs participent à une formation sur le code sécurisé couvrant les 10 principaux risques de sécurité OWASP ou équivalent, les vecteurs d'attaque courants et les contrôles de sécurité Withings.

Contrôles de sécurité des frameworks

Withings s'appuie sur des frameworks open source modernes et sécurisés avec des contrôles de sécurité pour limiter l'exposition aux 10 principaux risques de sécurité OWASP. Ces contrôles inhérents réduisent notre exposition à SQL Injection (SQLi), Cross Site Scripting (XSS) et Cross Site Request Forgery (CSRF), entre autres.

Organisation Agile, revue de code et test

L’ensemble des activités de développement est organisé en méthode AGILE avec l’établissement de sprint et la priorisation des tâches avec l’équipe de Manager Produit. L’ensemble des sprints est historisé. Les développeurs doivent effectuer des tests unitaires, des tests d’intégration fonctionnelle et des tests de sécurité. Le code et les tests sont revus et évalués via des revues par les pairs avant déploiement.

Assurance Qualité (Software Quality Assurance)

Le département Assurance Qualité teste l’ensemble des services et applications avant la mise en production. (tests manuels or automatiques)

Séparations des environnements et données de tests

Les environnements de développement et de test sont logiquement séparés de l'environnement de production. Aucune donnée personnelle de production n'est utilisée dans nos environnements de développement ou de test.

Gestion des vulnérabilités

Audit de code

Withings utilise des outils de sécurité tiers pour analyser l’ensemble du code avant la mise en production contre les principaux risques de sécurité. Les vulnérabilités pouvant causer des failles de sécurité sont obligatoirement corrigées et/ou planifiées dans un cycle d’amélioration continue.

Test automatique de code

Le code est automatiquement testé avec des scénarios de tests prédéfinis afin d’assurer que les changements n’entraînent aucune perte ou dégradation du niveau de sécurité. Les tests sont faits sur des machines virtuelles à durée de vie limitée et totalement séparées de la production.

Tests de pénétration tiers

En complément de la gestion des vulnérabilités comprenant analyse et test, Withings emploie des experts en sécurité tiers pour effectuer des tests de pénétration sur différentes applications de notre gamme de produits.

Sécurité d’authentification

Politique de mot de passe

Withings impose l’utilisation d’un mot de passe fort, et conforme aux recommandations internationales en termes de robustesse. Cette politique s’applique à l’ensemble des utilisateurs de la solution MED•PRO.

Authentification à double facteurs

Withings impose l’utilisation d’une authentification à double facteurs à l’ensemble des utilisateurs de la solution Withings MED•PRO.

Affichage des données d’authentification

Withings n’affiche jamais des données d’authentification en clair dans ses applications ou services.

API - authentification des applications partenaires

L’API de Withings utilise la méthode OAuth 2.0 pour authentifier les applications partenaires. Chaque application possède un client id et un secret uniques et robustes.

API - recueil du consentement des individus et authentification

L’API de Withings utilise la méthode OAuth 2.0 pour recueillir le consentement de l’utilisateur final. Les données de connexion sont ensuite sécurisées avec des tokens expirables que le client doit régénérer auprès de Withings.

Contrôles d'accès basés sur les rôles

La majorité des applications et services Withings sont soumises à des contrôles d’accès basés sur des rôles à privilèges prédéfinis permettant une utilisation et un accès aux données contrôlés.

Securing data in transit

All communications over the public network are encrypted with HTTPS/TLS industry standards (TLS 1.2 or higher).

Gestion des changements

Catégorisation des changements

Withings a défini des catégories de changements permettant un suivi adapté à la typologie du changement afin de conserver une réactivité forte tout en garantissant que les implications sont correctement évaluées.

Procédure des changements

Withings a défini une procédure de gestion des changements dépendant de sa catégorie pouvant notamment comprendre : une demande de modification, nomination d’un comité de changement, une analyse de risque liée à la sécurité, une planification, une implémentation du changement ou encore une modification du plan de continuité ou de reprise.

Protection des infrastructures et du cloud médical

Parce que la manière dont nous protégeons les données est une vraie valeur ajoutée pour nos partenaires de santé, nous faisons appel aux meilleures solutions de pare-feu, de connexion, de cryptage et de sauvegarde au sein d'installations de haute sécurité pour protéger le Withings Medical Cloud.

Sécurité des centres de données physiques

Installations physiques

Withings héberge son infrastructure médicale sur Google Cloud Platform (GCP) dans des centres de données aux Etats-unis et en Union Européenne. L’ensemble des centres de données sont certifiés ISO 27001, ISO 27017, ISO 27018, PCI DSS, SOC I/II/III.

En savoir plus sur la conformité de GCP

Pour garantir un fonctionnement 24h/24, 7j/7 et assurer une disponibilité constante des services, les centres de données Google sont équipés de systèmes d'alimentation redondants et soumis à des contrôles environnementaux. Chaque composant critique possède une source d'alimentation principale ainsi qu'une source alternative, de puissance égale.

Sécurité sur site

Les centres de données Google sont conçus selon un modèle de sécurité multicouche comprenant les dispositifs suivants : cartes d'accès électroniques conçues sur mesure, alarmes, barrières pour contrôler l'accès des véhicules, clôtures de sécurité, détecteurs de métaux et technologies biométriques. Chaque centre de données est également doté d'un système de détection des intrusions à faisceau laser. Les centres de données sont surveillés 24h/24, 7j/7 à l'aide de caméras haute résolution intérieures et extérieures, capables de détecter et de suivre les intrus.

En savoir plus sur la sécurité de centre de données GCP.

Withings héberge son infrastructure médicale sur Google Cloud Platform (GCP) dans des centres de données aux États-Unis.

Lieu d'hébergement des données

Sur demande, le client peut demander à régionaliser le traitement de ses données. Cet accord doit être ajouté au contrat et peut être ajouté à la proposition commerciale. Withings s’engage à respecter le choix du client et à informer son client si un ou plusieurs services ne sont pas régionalisables.

Sécurité des réseaux

Protection

Le réseau Withings est protégé par l'utilisation de services de sécurité GCP (DMZ, pare-feu liste contrôle d’accès (LCA), anti-malware, sécurisation des données en transit via TLS, VPN IPSec…).

Architecture

Notre architecture de sécurité réseau se compose de plusieurs couches de sécurité, chacune répliquées dans plusieurs availability zones. Les DMZ sont utilisées pour les zones exposées au réseau public. Chaque couches est protégées via des firewalls.

Analyse de la vulnérabilité d’infrastructure

L'analyse de la sécurité de l’infrastructure via des analyses automatiques donne des informations approfondies pour une identification rapide des systèmes non conformes ou potentiellement vulnérables.

Tests de pénétration tiers

En complément de la gestion des vulnérabilités comprenant analyse et test, Withings emploie des experts en sécurité tiers pour effectuer des tests de pénétration sur son infrastructure médicale.

Accès logiques

L'accès à la plateforme de production est limité aux administrateurs systèmes. Tous les accès sont contrôlés et enregistrés dans des journaux protégés et automatiquement analysés, puis audités par un ingénieur sécurité indépendant des administrateurs systèmes. Les administrateurs systèmes accédant à la plateforme de production doivent utiliser plusieurs facteurs d'authentification personnels et robustes.

Sauvegardes

Withings a mis en place une politique de sauvegarde sur l’ensemble des systèmes et environnements de production, incluant notamment les bases de données, les répertoires GIT, les disques des machines virtuelles et des serveurs de partage de documents. Les sauvegardes sont régulièrement exécutées et testées en fonction de leur niveau de criticité. Les sauvegardes sont ensuite chiffrées avant transfert chiffré vers le lieu de stockage sécurisé. Seuls les administrateurs systèmes ont accès aux sauvegardes.

Journaux d'événements

Withings a mis en place une politique de journalisation d’événements avec notamment des journaux d'administration système qui ne peuvent être désactivés. Les activités sur l'ensemble des systèmes et applications Withings sont également journalisées. Les journaux sont ensuite analysés par des algorithmes automatiques afin de détecter toutes activités suspicieuses ou malveillantes.

Gestion des incidents de sécurité

Un système d’alerte continue permet de suivre les incidents de sécurité en continu et une résolution par les administrateurs systèmes dans les meilleurs délais (entre 24h et 96h). Les employés sont formés sur les processus de réponse aux incidents de sécurité, y compris dans la gestion des canaux de communication et des chemins d'escalade.

Chiffrement

Chiffrement de l’information stockée

Withings utilise les chiffrement des disques de bas niveau. Le chiffrement doit avoir une robustesse d'au moins AES-256 ou équivalent.

Chiffrement des bases de données

L’information dans les bases de données est chiffrée conformément à sa classification dans le registre des données.

Chiffrement des communications

Sur les réseaux publics, toutes les communications avec les interfaces utilisateur et API Withings sont chiffrées via le standard HTTPS / TLS (TLS 1.2 ou supérieur) avec des certificats signés avec des hash sha256. Cela garantit que tout le trafic entre le client et Withings soit sécurisé pendant le transit.

Connexions SSH

Withings garantit des connexions SSH utilisant uniquement SSH v2 et des Ciphers de chiffrement robustes et reconnus par l’industrie.

Connexions VPN

Withings garantit des connexions VPN utilisant uniquement des Ciphers de chiffrement robustes et reconnus par l’industrie.

Sauvegardes

Toutes les sauvegardes sont chiffrées, au moins une fois, avant d'être transmises à une zone de stockage distante. Lorsque cela est possible, elles sont également chiffrées par la solution de stockage elle-même.

Plan de disponibilité et continuité

Information sur la disponibilité

Withings met à disposition une page Web d'état du système accessible au public qui comprend les détails de disponibilité du système, la maintenance planifiée, l'historique des incidents de service et les événements de sécurité pertinents.

Voir la page web Withings d'état du système accessible au public

Redondances

L’ensemble de l’infrastructure physique et cloud est redondant afin de minimiser les risques de pertes de disponibilités et les risques de pertes de données. En particulier, les bases de données sont configurées avec une réplication quasi-instantanés, afin de garantir, qu’en conditions opérationnelles normales, la perte complète du nœud principal recevant les écritures n'entraîne pas de perte de données de plus de quelques secondes.

Perte de données maximale admissible

La politique de sauvegarde informatique de Withings assure une sauvegarde quotidienne des bases de données de production. Withings s’engage donc à ce que la perte de données maximale admissible (PDMA) ne soit pas supérieure à un (1) jour, dans le cas où l'activité de Withings est maintenue.

Plan de reprise après un sinistre

Withings disaster recovery plan ensures that the production platform can be fully recreated in the event of a total malfunction of the production environment. All code, configurations, and databases are stored in secure locations and are independent of the production environment. Restoration of the complete platform is automatically regularly. Withings therefore commits to ensure that the maximum tolerable period of disruption (MTPD) is no longer than one week for the resumption of a degraded service, or even operational in the majority of disasters, in the event that Withings activity is maintained.

HR Security

Le petit nombre d'employés traitant les données du Withings Medical Cloud est soumis à un contrôle régulier et à une formation continue sur la manière de réduire les risques liés au traitement des données à caractère personnel.

Gestion des employés

Vérification des antécédents et des compétences

Withings vérifie les antécédents de tous les nouveaux employés conformément aux lois locales. Ces vérifications sont également effectuées pour les prestataires. La vérification des antécédents peut comprendre la vérification de compétences techniques et générales, des précédents emplois, et antécédents judiciaires si besoin.

Accord de confidentialité

Tous les employés doivent signer des accords de non-divulgation et de confidentialité. Cet accord de confidentialité reste valable après la fin du contrat de travail.

Définition des rôles et responsabilités

Withings s’assure que l’ensemble des rôles et responsabilités impliqués dans son SMSI soient définis, assignés à des personnes et bien compris par ces dernières.

Procédure disciplinaire

Withings a mis en place des procédures disciplinaires en cas de manquement aux responsabilités confiées basées sur une échelle de sanctions définie dans le règlement intérieur.

Sensibilisation à la sécurité

Vérification des antécédents et des compétences

Politiques de sécurité

Withings a développé un ensemble complet de politiques de sécurité couvrant un large éventail de sujets. Ces politiques sont partagées et mises à la disposition de tous les employés et sous-traitants ayant accès aux systèmes d’informations de Withings.

Sensibilisation à la sécurité de l’information

Tous les employés suivent une sensibilisation à la sécurité incluse dans la procédure d'embauche et revue annuellement par la suite. Les règles de base et les bonnes pratiques sont également rappelées dans les locaux de Withings.

Formation sécurité

Tous les développeurs sont sensibilisés aux 10 principaux risques de sécurité OWASP via des formations et des guides de bonnes pratiques. Des formations via des experts externes sont également organisées afin d’assurer une connaissance et diffusion profondes sur le code sécurisé. L'équipe de sécurité fournit également des mises à jour supplémentaires sur la sensibilisation à la sécurité par courrier électronique, articles de blog et présentations lors d'événements internes.

Amélioration continue

En tant qu'entreprise innovante dans le secteur des objets connectés, nous nous assurons de toujours avoir une longueur d'avance sur les normes actuelles de protection des données. Cela est rendu possible par un plan d'audit interne et externe régulier.

Audits internes

Plan d’audit interne

L’ensemble des processus du SMSI sont audités par des équipes d’audit internes ou par des prestataires externes.

Revue de direction

Les revues de direction garantissent que la Direction examine systématiquement le SMSI, évalue les possibilités d'amélioration et décide des mesures nécessaires pour garantir la pertinence, l'adéquation et l'efficacité du SMSI.

Comité de sécurité

Le comité sécurité assure notamment la revue de la veille sécurité effectué par l’ingénieur sécurité, la revue des incidents de sécurité et des plans d’actions, la revue des indicateurs techniques mise en place pour évaluer l’efficacité du SMSI et préparer la restitution à l'exécutif.

Audits externes

Audits techniques

En complément de la gestion des vulnérabilités comprenant analyse et test, Withings emploie des experts en sécurité tiers pour effectuer des tests de pénétration détaillés sur différentes applications de notre gamme de produits. Les audits techniques externes sont intégrés en Plan Qualité annuel de Withings.

Conformity assessment audit

Withings may use independent conformity assessment audits to ensure the compliance of its ISMS with standards such as HIPAA.

Audit de certification de conformité

Withings s’est engagé dans un processus de certification par un organisme agréé afin de garantir la conformité de son SMSI au regard des normes internationales reconnues par l’industrie. Le bon fonctionnement du SMSI est donc évalué annuellement par un tiers de confiance indépendant. L’ensemble des certifications, ainsi que les rapports d’audit sont disponibles sur demande motivée du client.

Audit d’évaluation de conformité

Withings s’engage à fournir les certificats de conformité à son client sur demande, ainsi que les rapports d’audit de l’organisme de certification. Withings s’engage à accéder à toute demande de son CLIENT d’audit des mesures de protection des données personnelles. Si Withings justifie des raisons objectives que l’audit ne garantie pas des conditions d’indépendances et d’impartialité suffisantes, Withings sera en droit de refuser l’audit. Dans tous les cas, l’audit diligenté portera uniquement sur le respect des engagements contractuels de Withings en termes de protection des données personnelles