Conformité Et Sécurité

Certification ISO 27001

Turbit est actuellement en cours de certification selon la norme ISO/IEC 27001, dont l'achèvement est prévu au premier trimestre 2026. Les politiques internes, les contrôles et les audits sont d'ores et déjà en place pour s'aligner sur cette norme.

Infrastructure Critique

Presque tous les clients de Turbit sont classifiés comme exploitants d'infrastructure critique. La vérification pour ces clients a été complétée par des plans détaillés d'infrastructure et de sécurité. Turbit n'a pas d'accès direct aux systèmes de contrôle des parcs éoliens ou solaires, ce qui limite l'exposition en matière de sécurité et simplifie les processus de vérification.

Documentation Pour Les Clients

Un aperçu de la sécurité et des plans d'infrastructure sont disponibles sur demande.

Liste des sous-traitants

Une liste actuelle des sous-traitants est disponible sous NDA — demandez-la avec notre DPA via le formulaire de contact ci-dessous.

Étendue Des Données

• Données opérationnelles comme SCADA, codes de statut, signaux de capteurs, informations de performance et de maintenance
• Données clients : seules les informations essentielles de contact commercial sont conservées

Chiffrement

• En transit : TLS pour toutes les interfaces.
• Au repos : stockage chiffré sur une infrastructure hébergée dans l'UE.

Résidence des données

• Tout stockage et traitement se font au sein de l'Union européenne.

Fournisseur et localisation

Nos serveurs sont positionnés sur des serveurs bare-metal européens dans des centres de données de l'UE conformes à la norme ISO 27001. Seul Turbit y a accès.

Architecture

Les services et bases de données de production s'exécutent en redondance, avec au minimum trois services répartis sur des centres de données distincts. Un réseau privé, une segmentation et des pare-feu protègent toutes les interfaces.

• Cycle de développement structuré avec examens de sécurité lors de chaque modification.
• Les modifications sont suivies via des RFC et des Architectural Decision Records.
• Mises à jour automatisées hebdomadaires des services et systèmes d'exploitation.
• Seuls les packages validés par l'équipe de cybersécurité sont autorisés.
• Surveillance continue des avis de sécurité avec correction rapide des vulnérabilités.

Cycle de vie des comptes

• Création manuelle des utilisateurs, révocation immédiate disponible.
• Examens d'accès périodiques semi-automatisés.
• Contrôles prévus : désactivation automatique des comptes inactifs et rotation obligatoire des mots de passe pour les services critiques.

Authentification et interfaces

• Authentification multifacteur supportée
• Accès API via clés API, OAuth 2.0 ou certificats.
• Accès à distance via 2FA, authentification par clé SSH, OpenVPN et OAuth.

Principe du moindre privilège

• Contrôle d'accès basé sur les rôles pour les employés, clients et fournisseurs.

• Les connexions aux installations externes sont configurées via le système de tickets d'assistance Turbit.
• Seul le personnel formé et autorisé peut accéder à ces environnements.
• Les mots de passe sont échangés via un système de transfert sécurisé à usage unique (Share a secret - One Time).

Personnel

• Tous les employés suivent une formation annuelle en sécurité et des exercices de phishing.
• NDAs signées à l'embauche.

Prévention et détection

• Segmentation du réseau et pare-feu en place.
• Stockage WORM des journaux et surveillance avec analytique de détection de fraude, SIEM et IDS.

Processus de correctif et de vulnérabilité

• Surveillance continue des alertes de cybersécurité.
• Les vulnérabilités sont triées dans le système de tickets interne et corrigées selon leur criticité.

Notification de violation

Nous notifions les responsables de traitement affectés dans les 72 heures suivant une violation de données à caractère personnel confirmée, conformément à l'article 33 du RGPD.

Divulgation responsable

Vous avez découvert une vulnérabilité ? Signalez-la via le formulaire de contact ci-dessous — chaque soumission est examinée par notre équipe d'ingénierie.

• Sauvegardes à chaud au minimum hebdomadaires.
• Sauvegardes froides hors ligne trimestrielles, stockées hors site.
• Tests de restauration automatisés mensuels et exercices manuels semestriels.

Une journalisation d'audit complète est en cours de déploiement pour l'alignement ISO, capturant les connexions, les accès, les modifications de configuration et les actions administrateur dans un stockage WORM.

L'IA Turbit pour la surveillance est classée comme présentant un risque minimal/limité sans contrôle autonome critique pour la sécurité. Nous implémentons la transparence, l'explicabilité et la supervision humaine dans l'ensemble de nos produits IA, conformément au RGPD et à la Loi IA de l'UE.

La documentation, journaux d'audit et engagements de notification de violation de Turbit soutiennent les obligations NIS2 de nos clients en vertu de l'annexe I — analyse des risques, gestion des incidents et sécurité de la chaîne d'approvisionnement.