Sécurité et protection des données chez ePost

Cryptage et gestion des clés

• Les données sont cryptées pendant leur transfert et leur stockage. 
  
• Cryptage pendant le transport au moyen de TLS 1.2+, mTLS en interne 
  
• Stockage avec AES-256 
  
• Séparation logique spécifique à chaque client 
  
• Infrastructure de coffre-fort autonome pour la gestion des clés 
  
• Les contenus non cryptés ne sont accessibles qu’aux processus autorisés. Le fournisseur de cloud n’a pas accès aux données en clair. 
  

La clé maîtresse est en outre sécurisée et ne peut être reconstruite que dans le cadre d’une procédure d’urgence définie. 

Surveillance de la sécurité et processus d’urgence

Les systèmes sont surveillés en permanence.

Des processus d’analyse et d’escalade définis ont été définis pour les événements de sécurité. Ceux-ci ont lieu en collaboration avec les unités de sécurité de la Poste Suisse.

L’infrastructure est conçue de manière redondante. Les procédures de restauration sont documentées et régulièrement contrôlées.

Contrôle d’accès 

L’accès aux systèmes et aux données se fait selon des principes clairement définis:

• Contrôle des accès basé sur les rôles 
  
• Authentification à plusieurs facteurs 
  
• Principe de l’autorisation minimale 
  
• Journalisation des accès liés à la sécurité 
  

L’accès aux lettres électroniques et aux métadonnées correspondantes en est exclu. Celles-ci ne peuvent être déchiffrées et lues que par l’utilisateur.

Certifications et examens

ePost est certifié selon:

• ISO/IEC 27001
  
• ISAE 3000 (archivage conforme à l’Olico)
  

Éléments supplémentaires:

• Tests d’intrusion externes réguliers
  
• Contrôles de sécurité externes
  
• Cloud Lawful Access Risk Assessments (surveillé par PostCom et le PFPDT)
  

ScanningService

ScanningService permet de traiter les envois physiques en Suisse.

• Ouverture mécanique
  
• La numérisation dans un environnement sécurisé
  
• Cryptage avant livraison numérique
  
• Conservation des originaux physiques limitée dans le temps
  
• Destruction conformément aux normes de sécurité définies
  

Les prestataires auxquels nous faisons appel répondent à des normes élevées en matière de protection des données et de sécurité et sont régulièrement contrôlés. Ils sont certifiés ISO.