Cadres de conformité
Aperçu de tous les cadres de conformité que Onesurance surveille et respecte. Du RGPD et DORA à ISO 27001 et EU AI Act — nous veillons à ce que nos services répondent aux exigences les plus strictes.
Aperçu de la conformité
- 6 cadres — Surveillés et audités activement
- Conforme RGPD + DORA — Conformité complète depuis la création
- ISO 27001 en cours — SMSI opérationnel, certification Q2 2026
Tableau de bord conformité
RGPD
Conformité complète depuis la création. Les 7 principes respectés.
ISO 27001
SMSI opérationnel. Audit de certification prévu Q2 2026.
DORA
Les 5 piliers implémentés. Exigences du secteur de l'assurance satisfaites.
EU AI Act
Classification Risque Limité. Surveillance active des exigences.
NIST CSF
Contrôles essentiels implémentés. Amélioration continue.
CIS Controls
Top 10 des contrôles critiques actifs. Évaluation périodique.
Règlement Général sur la Protection des Données
Onesurance est entièrement conforme au RGPD depuis sa création. Les 7 principes du traitement des données sont respectés, soutenus par des mesures techniques et organisationnelles.
Principes du RGPD
-
Licéité, loyauté et transparence — Traitement basé sur des fondements juridiques valides avec une communication claire aux personnes concernées.
-
Droits des personnes concernées — Procédures entièrement implémentées pour l'accès, la rectification, l'effacement, la limitation, la portabilité et l'opposition.
-
Gestion du consentement — Consentement granulaire avec possibilité de retrait. Piste d'audit complète.
-
Privacy by Design & Default — Protection des données intégrée dans tous les systèmes et processus dès la conception.
-
Sécurité du traitement — Mesures techniques et organisationnelles appropriées pour la protection des données personnelles.
-
Obligation de notification des violations — Procédure de notification à l'autorité de contrôle dans les 48 heures et notification aux personnes concernées si nécessaire.
-
Registre des activités de traitement — Registre complet tenu conformément à l'article 30 du RGPD.
-
Délégué à la Protection des Données — DPD désigné qui supervise la conformité et conseille en matière de protection des données.
Preuves & Documentation
ISO 27001 — Système de Management de la Sécurité de l'Information
Notre SMSI est entièrement opérationnel et configuré conformément à ISO 27001:2022. L'audit de certification est prévu pour Q2 2026. Tous les contrôles de l'Annexe A sont implémentés et audités périodiquement.
Contrôles de l'Annexe A
-
Contrôles organisationnels — Politique de sécurité de l'information, gestion des risques, gestion de la conformité, gestion des actifs et relations avec les fournisseurs.
-
Contrôles liés au personnel — Vérification des antécédents, sensibilisation à la sécurité, formation, processus disciplinaires et responsabilités après fin de contrat.
-
Contrôles physiques — Sécurité physique via les datacenters Azure (certifiés SOC 2), politique de bureau propre et gestion des appareils.
-
Contrôles technologiques — Chiffrement, segmentation réseau, contrôle d'accès, gestion des vulnérabilités, journalisation et surveillance.
Audits internes
Nous réalisons des audits internes semestriels ou lors de changements significatifs sur tous les processus du SMSI. Les constatations sont suivies jusqu'à leur clôture et rapportées à la direction.
Digital Operational Resilience Act
En tant que prestataire de services pour le secteur de l'assurance, Onesurance est entièrement conforme aux exigences DORA. Les cinq piliers sont implémentés et surveillés en continu.
Les 5 piliers de DORA
-
Gestion des risques TIC — Identification, évaluation et atténuation systématiques des risques TIC avec un cadre de risques documenté.
-
Gestion des incidents — Processus standardisé de détection, classification, escalade et signalement des incidents liés aux TIC.
-
Tests de résilience numérique — Tests de pénétration réguliers, évaluations de vulnérabilité et tests basés sur des scénarios pour valider la résilience opérationnelle.
-
Gestion des risques tiers — Due diligence, garanties contractuelles et surveillance continue de tous les prestataires de services TIC.
-
Partage d'informations — Participation aux réseaux pertinents d'échange d'informations sur les cybermenaces et vulnérabilités.
EU AI Act
Onesurance classe ses applications d'IA comme à Risque Limité (Limited Risk) en vertu de l'EU AI Act. Nous surveillons activement les évolutions réglementaires et avons pris des mesures proactives.
Mesures
-
Évaluation des risques — Classification de tous les systèmes d'IA selon le niveau de risque conformément à la taxonomie de l'EU AI Act.
-
Transparence — Les utilisateurs sont clairement informés lorsqu'ils interagissent avec des systèmes d'IA.
-
Contrôle humain — Toutes les décisions de l'IA sont soumises à un contrôle et une validation humains.
-
Gouvernance des données — Contrôles de qualité sur les données d'entraînement, surveillance des biais et minimisation des données.
-
Documentation technique — Documentation complète des modèles d'IA, des processus d'entraînement, des métriques de performance et des limitations.
NIST Cybersecurity Framework
Onesurance utilise le NIST Cybersecurity Framework comme guide pour notre approche de la sécurité. Les cinq fonctions clés sont intégrées dans nos processus opérationnels.
Identifier
Gestion des actifs, évaluation des risques, gouvernance et environnement métier cartographiés pour comprendre les risques cybernétiques.
Protéger
Contrôle d'accès, sensibilisation à la sécurité, protection des données et maintenance pour garantir les services critiques.
Détecter
Surveillance continue, détection d'anomalies et événements de sécurité pour identifier les menaces en temps opportun.
Répondre
Planification de la réponse, communication, analyse, atténuation et améliorations lors d'incidents de sécurité.
Récupérer
Planification de la reprise, améliorations et communication pour une récupération rapide après les incidents de sécurité.
CIS Controls
Onesurance implémente les CIS Critical Security Controls comme cadre complémentaire pour les mesures de sécurité pratiques. Les 10 premiers contrôles sont actifs.
Top 10 des contrôles
- 1. Inventaire des actifs matériels — Gestion active de tout le matériel et logiciel du réseau.
- 2. Inventaire logiciel — Seuls les logiciels autorisés fonctionnent sur les systèmes de l'entreprise.
- 3. Protection des données — Classification, chiffrement et protection des données sensibles.
- 4. Configuration sécurisée — Durcissement standardisé des serveurs, postes de travail et équipements réseau.
- 5. Gestion des comptes — Gestion du cycle de vie des comptes avec privilège minimum et revues régulières.
- 6. Contrôle d'accès — Accès basé sur les rôles avec MFA et surveillance continue de l'authentification.
- 7. Gestion des vulnérabilités — Analyse continue des vulnérabilités et correction rapide des systèmes.
- 8. Gestion des journaux d'audit — Collecte, protection et analyse centralisées des journaux d'audit.
- 9. Protection messagerie et navigateur — Filtrage de contenu malveillant et restriction des plugins non autorisés.
- 10. Défense contre les malwares — Protection des postes de travail, anti-malware et analyse comportementale sur tous les systèmes.
Des questions sur la conformité ?
Notre Délégué à la Protection des Données se tient à votre disposition pour toute question relative à la conformité, aux certifications ou à la réglementation.