Conformité Et Sécurité

Certification ISO 27001

Turbit est actuellement en cours de certification selon la norme ISO/IEC 27001. Les politiques internes, les contrôles et les audits sont déjà en place pour répondre à cette norme.

Infrastructure critique

Presque tous les clients de Turbit sont classifiés comme exploitants d'infrastructure critique. La vérification pour ces clients a été complétée par des plans détaillés d'infrastructure et de sécurité. Turbit n'a pas d'accès direct aux systèmes de contrôle des parcs éoliens ou solaires, ce qui limite l'exposition en matière de sécurité et simplifie les processus de vérification.

Documentation pour les clients

Un aperçu de la sécurité et les plans d'infrastructure sont disponibles sur demande. Les Contrats de Traitement de Données sont disponibles pour signature.

Liste des sous-traitants

Une liste actuelle des sous-traitants est disponible sous NDA — demandez-la avec notre DPA via le formulaire de contact ci-dessous.

Étendue des données

• Données opérationnelles telles que SCADA, codes de statut, signaux de capteurs, informations de performance et de maintenance.
• Données clients : seules les informations de contact métier essentielles sont conservées.

Chiffrement

• En transit : TLS pour toutes les interfaces.
• Au repos : stockage chiffré sur une infrastructure hébergée dans l'UE.

Résidence des données

• L'ensemble du stockage et du traitement des données clients s'effectue au sein de l'Union européenne.
• L'analyse du site web et les outils marketing font l'objet d'un traitement distinct — voir la politique de confidentialité pour les sous-traitants concernés et leurs garanties de transfert.

Fournisseur et localisation

Nos serveurs sont positionnés sur des serveurs bare-metal européens dans des data centers de l'UE conformes à ISO 27001. Seul Turbit y a accès. La redondance géographique assure les plus hauts niveaux de disponibilité 24/7.

Architecture

Les services de production et les bases de données fonctionnent de manière redondante, au moins trois services répartis dans des data centers distincts. Les réseaux privés, la segmentation et les pare-feu protègent toutes les interfaces. Des sauvegardes froides hors ligne régulières sont stockées hors site et disponibles pour les pires scénarios.

• Cycle de développement structuré avec examens de sécurité lors de chaque modification.
• Les modifications sont suivies via des RFC et des Architectural Decision Records.
• Mises à jour automatisées hebdomadaires des services et systèmes d'exploitation.
• Seuls les packages validés par l'équipe de cybersécurité sont autorisés.
• Surveillance continue des avis de sécurité avec correction rapide des vulnérabilités.

Cycle de vie des comptes

• Création manuelle des utilisateurs, révocation immédiate disponible.
• Examens d'accès périodiques semi-automatisés.
• Contrôles prévus : désactivation automatique des comptes inactifs et rotation obligatoire des mots de passe pour les services critiques.

Authentification et interfaces

• Authentification multifacteur supportée.
• Accès API via clés API, OAuth 2.0 ou certificats.
• Accès à distance via 2FA, authentification par clé SSH, OpenVPN et OAuth.

Principe du moindre privilège

• Contrôle d'accès basé sur les rôles pour les employés, clients et fournisseurs.

• Les connexions aux installations externes sont configurées via le système de tickets d'assistance Turbit.
• Seul le personnel formé et autorisé peut accéder à ces environnements.
• Les mots de passe sont échangés via un système de transfert sécurisé à usage unique.

Personnel

• Tous les employés suivent une formation annuelle en sécurité et des exercices de phishing.
• NDAs signées à l'embauche.

Prévention et détection

• Segmentation du réseau et pare-feu en place.
• Stockage WORM des journaux et surveillance avec analytique de détection de fraude, SIEM et IDS.

Processus de correctif et de vulnérabilité

• Surveillance continue des alertes de cybersécurité.
• Les vulnérabilités sont triées dans le système de tickets interne et corrigées selon leur criticité.

Notification de violation

Nous notifions les responsables de traitement affectés dans les 72 heures suivant une violation de données à caractère personnel confirmée, conformément à l'article 33 du RGPD.

Divulgation responsable

Vous avez découvert une vulnérabilité ? Signalez-la via le formulaire de contact ci-dessous — chaque soumission est examinée par notre équipe d'ingénierie.

• Sauvegardes à chaud au minimum hebdomadaires.
• Sauvegardes froides hors ligne trimestrielles stockées hors site.
• Tests de restauration automatisés mensuels et exercices manuels semestriels.

Une journalisation d'audit complète est en cours de déploiement pour l'alignement ISO, capturant les connexions, les accès, les modifications de configuration et les actions administrateur dans un stockage WORM.

L'IA Turbit pour la surveillance est classée comme présentant un risque minimal/limité sans contrôle autonome critique pour la sécurité. Nous implémentons la transparence, l'explicabilité et la supervision humaine dans l'ensemble de nos produits IA, conformément au RGPD et à la Loi IA de l'UE.

La documentation, journaux d'audit et engagements de notification de violation de Turbit soutiennent les obligations NIS2 de nos clients en vertu de l'annexe I — analyse des risques, gestion des incidents et sécurité de la chaîne d'approvisionnement.