Vanden Broele est certifié ISO 27001
La sécurité de l'information solidement ancrée dans notre fonctionnement
En tant que partenaire des pouvoirs locaux de demain, Vanden Broele propose des solutions digitales et des logiciels vous permettant d'offrir un service de qualité au citoyen. Nous aidons les organisations à répondre efficacement aux évolutions sociales et technologiques et les soutenons dans la maximisation de leurs services et leur impact.
Le General manager Bram van Impe explique : « Il est très important pour nous que nos clients puissent être assurés que leurs données sont en sécurité chez nous et que notre technologie et nos produits logiciels sont fiables. Après tout, nous travaillons souvent avec des données sensibles, qu'il s'agisse des données commerciales de nos clients ou de grandes quantités de données de citoyens que nous traitons. »
En obtenant la certification ISO 27001, nous démontrons que nous répondons aux normes les plus strictes en matière de sécurité de l'information et que nous travaillons selon un cycle d'amélioration continue : nous identifions les risques, prenons les mesures appropriées, exécutons nos processus de manière contrôlée, surveillons les résultats, analysons les informations et apportons les ajustements nécessaires. En bref, grâce à notre ISMS (Information Security Management System), nous intégrons le cycle PDCA (Plan, Do, Check, Act) dans notre fonctionnement.
Bram ajoute : « Concrètement, nous avons travaillé d'arrache-pied au cours des dix-huit derniers mois pour ancrer profondément la sécurité de l'information dans notre organisation, détecter et prévenir plus rapidement les incidents et les fuites de données et renforcer encore notre cycle de développement sécurisé pour tous nos produits logiciels. »
Les auditeurs ont été enthousiasmés par la manière dont nous avons aligné notre ISMS sur notre boussole organisationnelle et nos valeurs d'entreprise, afin que vous puissiez continuer à compter sur l'ADN familier de Vanden Broele. Quelques points positifs tirés de notre rapport :
- La direction générale montre un engagement clair envers l'ISMS et soutient activement son développement et son suivi.
- Le CISO, le CTO et le DPO ont tous trois un niveau élevé de connaissances et de maîtrise dans la mise en œuvre et le suivi quotidien de la sécurité de l'information.
- L'ISMS est visiblement présent dans l'organisation, comme en témoignent les entretiens avec les employés, le niveau de sensibilisation à la sécurité de l'information et, entre autres, les tableaux de bord discutés lors des réunions sur les opérations informatiques.
- La gestion des incidents est structurellement intégrée dans l'organisation, avec un processus mis en place pour l'enregistrement, le suivi et le signalement des incidents.
Avec la certification ISO, nous avons prouvé que nous sommes sur la bonne voie en matière de sécurité de l'information. Nous voulons maintenant poursuivre sur cette lancée, année après année.
Mais derrière cette certification se cache surtout beaucoup de travail humain : conclure des accords, affiner les processus et gérer les informations de manière plus consciente au quotidien. C'est pourquoi nous avons demandé à Andi Vercruyssen (DPO) et Ignace Savels (CISO) d'expliquer ce que cette certification ISO 27001 change exactement chez Vanden Broele, pour les collègues, les clients et les partenaires.
En quoi consistent exactement les fonctions de DPO et de CISO chez Vanden Broele ? Parlez-nous de votre travail.
Andi Vercruyssen, Data Protection Officer (DPO) à temps plein chez Vanden Broele depuis 2023, explique que le rôle du DPO est spécifiquement axé sur la protection des données à caractère personnel. « Il s'agit d'un rôle ancré dans la législation du RGPD et obligatoire dans de nombreux secteurs. Il est également obligatoire chez Vanden Broele, car nous travaillons pour le secteur public. Mes principales tâches consistent à sensibiliser, documenter, contrôler et conseiller. Je suis la personne de contact interne pour tout ce qui concerne la confidentialité et je réalise des analyses de risques, tiens à jour les registres de traitement et apporte mon aide en cas de fuites de données. Je veille au respect de notre politique et accompagne les Product Owners dans la mise en œuvre de cette politique. »
Ignace Savels est Chief Information Security Officer (CISO). Bien que cette fonction ne soit pas obligatoire, Vanden Broele a choisi de la mettre en place dans le cadre du processus ISO 27001. « Je suis responsable en dernier ressort de la sécurité de l'information chez Vanden Broele, ce qui signifie que je surveille les risques, les incidents et les changements dans notre système de gestion de la sécurité de l'information (ISMS) », explique Ignace. Il consacre 50 % de son temps à son rôle de CISO et le reste à la direction de l'équipe du service informatique interne.
Quel est l'impact de la certification ISO 27001 et comment influence-t-elle le travail quotidien de vos collègues ?
Ignace explique que la certification ISO 27001 apporte de la clarté dans les processus, les responsabilités et la gestion des risques. « La sécurité n'est pas seulement la responsabilité du service informatique, mais de tous les membres de l'entreprise. Nous faisons de grands progrès dans ce domaine : nous constatons que la prise de conscience parmi nos collègues augmente lentement mais sûrement. Cette prise de conscience est même évaluée de manière efficace lors des entretiens de croissance. »
Quels sont les avantages de cette certification pour les clients et les partenaires ?
Andi souligne que la certification ISO 27001 permet de prouver que Vanden Broele traite les données de manière sécurisée et professionnelle. « Prenons l'exemple de la procédure préalable à l'attribution de marchés publics : celle-ci se déroule beaucoup plus facilement, car nous répondons déjà aux normes requises, ce qui inspire confiance aux clients. »
« De plus, nous validons régulièrement nos risques et tirons les leçons de nos incidents, ce qui profite à la continuité de nos produits logiciels », ajoute Ignace. « Souvent, la certification est même une exigence, nous sommes donc bien préparés. »
Quels défis avez-vous rencontrés lors de la mise en œuvre de l'ISMS et comment les avez-vous résolus ?
L'ISMS (Information Security Management System) est un ensemble de documents stratégiques, de procédures, de processus et d'instructions de travail. Au sein de Vanden Broele, il n'existait pas vraiment d'ISMS, ou du moins pas sous une forme formelle.
Ignace explique : « Le plus grand défi était l'ampleur de la tâche. Avec un partenaire, nous avons effectué une mesure de référence et avons commencé à rédiger des procédures, allant de la gestion des incidents à la gestion du changement et aux codes de conduite pour la sécurité de l'information. »
« Le deuxième grand défi était le fait qu'il s'agissait d'un projet centralisé qui devait être mis en œuvre dans des équipes décentralisées » ajoute Andi. « Cela signifie donc qu'il doit faire partie de leur fonctionnement quotidien. Notre tâche consistait à fournir une formation, un accompagnement et un coaching et à sensibiliser les collaborateurs. Nous continuons également à mettre l'accent sur l'une de nos valeurs fondamentales : #WeOwn. »
À quoi ressemble la suite du processus après l'obtention de la certification ?
Nous voulons maintenant surtout poursuivre le déploiement de nos campagnes de sensibilisation et améliorer en permanence notre cycle PCDA. Pour ce faire, nous tiendrons compte des conseils que nous avons reçus des auditeurs afin de passer aux étapes suivantes.