Politique de sécurité

VM2 INNOVATE SOFT, S.L. adopte les principes généraux de sécurité suivants :

Sécurité dès la conception et par défaut

La sécurité doit être intégrée dès les premières phases de conception, de développement, de déploiement, d’exploitation et d’évolution de CustomsGo. Les configurations par défaut doivent privilégier la protection de l’information et la minimisation de l’exposition.

Gestion fondée sur les risques

Les décisions en matière de sécurité reposeront sur l’identification, l’analyse, l’évaluation et le traitement des risques, de manière systématique, cohérente et documentée. L’organisation maintiendra des critères de risque, un plan de traitement et une déclaration d’applicabilité conformes à son SMSI.

Responsabilité partagée

La sécurité de l’information relève de la responsabilité de toute l’organisation. La direction assure le leadership, les ressources et le cadre d’action, mais chaque personne est responsable de la protection de l’information et doit agir conformément à la présente politique et aux procédures applicables.

Conformité et proportionnalité

Les mesures de sécurité doivent être proportionnées au risque, au type d’information traitée, aux exigences légales, réglementaires et contractuelles, ainsi qu’aux besoins opérationnels du service.

Amélioration continue

Le SMSI sera revu et amélioré en continu au moyen du suivi d’indicateurs, de l’appréciation des risques, du traitement des incidents, d’audits, d’actions correctives et de la revue de direction.

Engagements de la direction

La direction de VM2 INNOVATE SOFT s’engage à :

• Établir et maintenir la présente politique en tant qu’information documentée.
• Veiller à ce que la politique soit adaptée à la finalité de l’organisation et cohérente avec la stratégie de l’entreprise.
• Fournir des ressources suffisantes pour l’établissement, la mise en œuvre, le maintien et l’amélioration du SMSI.
• Définir des objectifs de sécurité de l’information et en suivre la réalisation.
• Intégrer la sécurité de l’information dans les processus métier, de développement, d’exploitation et de support.
• Attribuer les rôles, responsabilités et autorités liés à la sécurité de l’information.
• Promouvoir une culture de la sécurité et de la sensibilisation dans toute l’organisation.
• Revoir périodiquement l’efficacité du SMSI et soutenir son amélioration continue.

Ces engagements découlent directement de l’article 5 de la norme ISO/IEC 27001.

VM2 INNOVATE SOFT, S.L. fixe les objectifs généraux de sécurité suivants :

• Protéger les actifs informationnels contre les accès non autorisés, les altérations, les pertes, les fuites ou les indisponibilités.
• Assurer une continuité raisonnable du service CustomsGo et la capacité de reprise après incident.
• Respecter les obligations légales, réglementaires et contractuelles applicables.
• Maintenir une gestion efficace des risques de sécurité de l’information.
• Renforcer la formation et la sensibilisation du personnel.
• Améliorer en continu l’efficacité du SMSI et des mesures mises en place.

Classification et traitement de l’information

L’information doit être classifiée selon sa sensibilité et sa criticité, et traitée conformément au niveau de protection requis. Des règles d’accès, d’utilisation, de conservation, de transmission et de suppression seront définies en cohérence avec cette classification.

Contrôle des accès et des identités

L’accès à l’information et aux systèmes sera accordé selon les principes du moindre privilège, du besoin d’en connaître et de l’identité individuelle. L’organisation gérera de manière maîtrisée le cycle de vie des utilisateurs, des comptes à privilèges, de l’authentification et des accès distants.

Développement sécurisé

Le développement et la maintenance de CustomsGo s’appuieront sur des pratiques de développement sécurisé, la revue de code, la gestion des changements, la protection des données de test et une réponse prioritaire aux vulnérabilités en production.

Sécurité des réseaux, chiffrement et postes de travail

L’organisation appliquera des mesures adaptées de protection réseau, de segmentation, de chiffrement, de durcissement, de mise à jour des systèmes, de verrouillage d’écran, de protection anti-programmes malveillants et de contrôle de l’usage des appareils et supports amovibles.

Gestion des opérations, des changements et des journaux

Les changements apportés aux systèmes et aux environnements, les sauvegardes, la capacité des ressources, la maintenance, la production et la conservation des journaux, ainsi que la traçabilité de l’activité pertinente pour la sécurité seront maîtrisés.

Incidents, vulnérabilités et continuité

L’organisation définira et maintiendra des procédures de notification, de classification, de réponse, d’analyse et de retour d’expérience sur les incidents de sécurité, ainsi que pour la gestion des vulnérabilités, la continuité d’activité et la reprise après sinistre.

Tiers et chaîne d’approvisionnement

Les fournisseurs et tiers ayant accès aux informations ou aux actifs de VM2 devront satisfaire à des exigences de sécurité proportionnées à leur criticité. L’organisation encadrera les relations avec les tiers, les accords de confidentialité, la sous-traitance et les risques liés à la chaîne d’approvisionnement.

Formation et sensibilisation

L’ensemble du personnel doit bénéficier d’une formation et d’une sensibilisation à la sécurité de l’information, initiales puis périodiques, en fonction de son rôle.

La direction attribuera et communiquera les rôles et responsabilités pertinents pour la sécurité de l’information. Au minimum, devront être définis :

• L’autorité responsable du SMSI.
• Les responsables techniques et d’exploitation.
• Les propriétaires d’actifs ou d’informations, le cas échéant.
• Les fonctions de support, de gestion des incidents, de gestion documentaire, des risques et de revue.

VM2 INNOVATE SOFT, S.L. s’engage à respecter les lois, règlements et obligations contractuelles applicables à la sécurité de l’information, y compris la protection des données personnelles. Le non-respect de la présente politique pourra donner lieu à des mesures disciplinaires, contractuelles ou légales, selon la gravité et le cadre applicable.

La présente politique sera communiquée à l’ensemble du personnel et mise à la disposition des parties intéressées pertinentes. Sa lecture et son acceptation seront exigées des personnes accédant aux systèmes ou aux informations de l’organisation, selon le cas.

La politique sera revue à intervalles planifiés et chaque fois que surviennent des changements significatifs dans le contexte de l’organisation, dans les risques, dans la réglementation applicable, dans le service CustomsGo ou dans les attentes des parties intéressées. Cette revue prendra en compte, lorsque cela est pertinent, l’incidence du changement climatique sur le contexte de l’organisation et sur les exigences des parties intéressées.

La présente politique de sécurité de l’information entre en vigueur à la date de son approbation par la direction et s’impose dès lors à toutes les personnes et entités relevant de son périmètre.

Signée à Madrid, le 3 septembre 2026.