Politique de sécurité

1. Chiffrement des données

1.1 Données au repos

• Chiffrement AES-256 de toutes les bases de données et volumes de stockage.
• Chiffrement des sauvegardes avec des clés séparées, stockées dans un coffre sécurisé.
• Isolation physique des données entre établissements (architecture multi-tenant sécurisée).

1.2 Données en transit

• Toutes les communications chiffrées via TLS 1.3 (minimum TLS 1.2).
• Certificats SSL/TLS émis et renouvelés automatiquement.
• HSTS (HTTP Strict Transport Security) activé avec préchargement.
• Aucune donnée transmise en clair sur le réseau.

2. Contrôle d'accès

2.1 Authentification

• Authentification forte par email et mot de passe (hachage bcrypt, coût 12).
• Authentification à deux facteurs (2FA) disponible et recommandée pour les comptes administrateurs.
• Verrouillage automatique après 5 tentatives de connexion infructueuses.
• Sessions avec expiration automatique après 8 heures d'inactivité.
• Invalidation immédiate des sessions en cas de changement de mot de passe.

2.2 Contrôle d'accès basé sur les rôles (RBAC)

• Chaque utilisateur dispose uniquement des droits nécessaires à son rôle (principe du moindre privilège).
• Rôles prédéfinis : Administrateur, Médecin, Infirmier, Pharmacien, Laborantin, Caissier, Agent d'accueil.
• Accès aux dossiers patients limité aux personnels soignants autorisés par l'établissement.
• Aucun accès inter-établissements : les données d'un établissement sont invisibles aux autres.

3. Traçabilité et audit

• Journal d'audit complet et inaltérable de toutes les actions utilisateurs (consultation, modification, suppression).
• Horodatage précis avec fuseau horaire de chaque action.
• Conservation des journaux d'audit pendant 5 ans minimum.
• Alertes automatiques en cas d'activité suspecte (connexions inhabituelles, volume d'exports anormal).
• Rapports d'audit disponibles pour les administrateurs de l'établissement.

4. Infrastructure et hébergement

• Hébergement sur serveurs dédiés en Europe (LWS), certifiés ISO 27001.
• Pare-feu applicatif (WAF) filtrant les attaques OWASP Top 10.
• Protection anti-DDoS de niveau réseau.
• Segmentation réseau : base de données inaccessible directement depuis Internet.
• Monitoring 24/7 de la disponibilité et des performances.
• Accès aux serveurs de production réservé aux ingénieurs autorisés, via VPN et clés SSH.

5. Sauvegardes et continuité de service

• Sauvegardes automatiques complètes quotidiennes.
• Sauvegardes incrémentielles toutes les heures.
• Rétention des sauvegardes : 30 jours pour les sauvegardes quotidiennes, 1 an pour les sauvegardes mensuelles.
• Test de restauration effectué mensuellement.
• Objectif de point de reprise (RPO) : 1 heure maximum.
• Objectif de temps de reprise (RTO) : 4 heures maximum.

6. Développement sécurisé

• Revues de code obligatoires avant tout déploiement en production.
• Analyses statiques de sécurité (SAST) intégrées à la chaîne CI/CD.
• Dépendances logicielles auditées et mises à jour régulièrement.
• Tests de pénétration réalisés annuellement par un prestataire externe indépendant.
• Formation sécurité obligatoire pour tous les développeurs.
• Environnements de développement, de test et de production strictement séparés.

7. Protection contre les attaques courantes

• Injection SQL : requêtes paramétrées et ORM sécurisé.
• XSS (Cross-Site Scripting) : échappement systématique des sorties, CSP strict.
• CSRF : tokens anti-CSRF sur tous les formulaires mutants.
• Clickjacking : en-têtes X-Frame-Options et CSP frame-ancestors.
• Brute force : rate limiting, CAPTCHA et verrouillage de compte.
• Secrets : aucune clé, mot de passe ou jeton en dur dans le code source.

8. Gestion des incidents de sécurité

En cas d'incident de sécurité avéré affectant des données personnelles ou de santé, IBIG Soft s'engage à :

• Notifier les établissements concernés dans un délai de 72 heures suivant la découverte de l'incident.
• Fournir une analyse détaillée de l'incident, de son étendue et des mesures correctives prises.
• Assister le Client dans les démarches de notification aux autorités compétentes si requis.
• Mettre en place les mesures correctives nécessaires dans les meilleurs délais.

Pour signaler un incident ou une vulnérabilité de sécurité (responsible disclosure) : securite@ibigsoft.com

9. Conformité réglementaire

• RGPD : traitement des données de santé conforme au Règlement Général sur la Protection des Données.
• HDS : alignement sur les exigences d'Hébergement de Données de Santé (certification en cours).
• ISO 27001 : processus de management de la sécurité aligné sur la norme ISO 27001.
• OWASP : protection contre les vulnérabilités OWASP Top 10 appliquée à tous les développements.

10. Responsabilités partagées

La sécurité de SANTAREX ERP est une responsabilité partagée :

• IBIG Soft s'engage à : maintenir la sécurité de l'infrastructure, du code et des données hébergées.
• Le Client s'engage à : gérer les accès utilisateurs, maintenir des mots de passe robustes, signaler tout incident, former son personnel à la sécurité informatique.

11. Contact sécurité

Pour toute question ou signalement de vulnérabilité :
securite@ibigsoft.com
Pour les urgences : +225 07 78 88 25 92 (WhatsApp)