91¶¶Òõ

Les logiciels de comptabilit¨¦ carbone traitent d'importants volumes de donn¨¦es, allant des d¨¦penses de la cha?ne d'approvisionnement aux contrats d'achat, en passant par les notes de frais des employ¨¦s. La s¨¦curisation de ces donn¨¦es est essentielle, pourtant les fournisseurs pr¨¦sentent des niveaux de maturit¨¦ tr¨¨s disparates en mati¨¨re de s¨¦curit¨¦, certains d¨¦veloppant encore des cadres de base. Comprendre comment une entreprise g¨¨re la s¨¦curit¨¦ de l'information peut vous aider ¨¤ ¨¦viter les risques de violation et de perte de donn¨¦es.

Nous d¨¦taillons ci-dessous les fonctionnalit¨¦s cl¨¦s de s¨¦curit¨¦ et de contr?le des donn¨¦es ¨¤ rechercher lors du choix d'un fournisseur de comptabilit¨¦ carbone, afin que vous puissiez b?tir votre strat¨¦gie et vos rapports de d¨¦veloppement durable sur une base de confiance.

Pourquoi les contr?les de s¨¦curit¨¦ et de donn¨¦es sont-ils importants en comptabilit¨¦ carbone ??

Les violations et les pertes de donn¨¦es engendrent des risques en termes de r¨¦putation, de conformit¨¦ et de positionnement sur le march¨¦.

Si votre fournisseur de logiciel ne propose pas de contr?les et de mesures de s¨¦curit¨¦ robustes, il vous expose ¨¤ des risques. Les violations de donn¨¦es peuvent r¨¦v¨¦ler votre strat¨¦gie, donner un avantage ¨¤ vos concurrents et nuire ¨¤ votre r¨¦putation.?

Pour calculer les ¨¦missions, les logiciels de comptabilit¨¦ carbone traitent des donn¨¦es sensibles, notamment les tarifs des fournisseurs, les conditions contractuelles, ainsi que des d¨¦tails sur les achats, la production, la logistique, les activit¨¦s li¨¦es aux ressources humaines, et bien plus encore. Ces informations peuvent r¨¦v¨¦ler des structures de co?ts, des relations avec les fournisseurs et une strat¨¦gie op¨¦rationnelle, autant d'¨¦l¨¦ments que la plupart des entreprises consid¨¨rent comme confidentiels sur le plan concurrentiel.

Mike Flynn, directeur des syst¨¨mes d'information chez 91¶¶Òõ, qui a pr¨¦c¨¦demment s¨¦curis¨¦ les donn¨¦es et les syst¨¨mes du d¨¦partement de la D¨¦fense, souligne que les donn¨¦es carbone des clients doivent ¨ºtre trait¨¦es avec le plus grand soin, non seulement pour ¨¦viter l'exposition d'informations sensibles, mais aussi pour pr¨¦venir toute perte. ? Votre fournisseur doit prot¨¦ger vos donn¨¦es contre le pire sc¨¦nario ?, d¨¦clare-t-il. ? En cas de panne de votre centre de donn¨¦es ou chez un fournisseur critique, vos donn¨¦es doivent rester s¨¦curis¨¦es et accessibles. ??

Les organisations consacrent souvent beaucoup de temps ¨¤ collecter, formater et t¨¦l¨¦charger leurs donn¨¦es carbone. Ces informations vous permettent d'¨¦valuer les tendances d'une ann¨¦e ¨¤ l'autre et de respecter vos obligations de reporting ; les perdre peut ¨ºtre catastrophique. Si vous approchez d'une ¨¦ch¨¦ance de reporting et que les serveurs tombent en panne, vous voulez avoir la certitude que votre logiciel conservera autant de donn¨¦es que possible.?

5 fonctionnalit¨¦s de s¨¦curit¨¦ essentielles pour un logiciel de comptabilit¨¦ carbone

Les contr?les, l'acc¨¨s, le chiffrement, l'infrastructure et les tests sont primordiaux.?

1. Certification des contr?les internes

Votre fournisseur doit r¨¦aliser des audits annuels par des tiers sur ses contr?les de s¨¦curit¨¦ et de confidentialit¨¦. Il doit disposer d'une certification SOC (System and Organization Controls) pour v¨¦rifier que les contr?les internes appropri¨¦s sont en place afin de garantir l'exactitude, la protection et la disponibilit¨¦ des donn¨¦es des clients.?

L'entreprise doit fournir une certification SOC 2 Type II, qui garantit que le fournisseur prot¨¨ge vos donn¨¦es, utilise des pratiques de s¨¦curit¨¦ reproductibles et a d¨¦montr¨¦ sa maturit¨¦ op¨¦rationnelle. La d¨¦signation Type II signifie que les contr?les n'ont pas seulement ¨¦t¨¦ document¨¦s une fois, mais qu'ils ont ¨¦t¨¦ test¨¦s en pratique sur la dur¨¦e. Si vos donn¨¦es carbone doivent ¨ºtre audit¨¦es ou li¨¦es ¨¤ des rapports financiers, vous aurez ¨¦galement besoin d'une certification SOC 1 Type II, qui garantit que les calculs d'¨¦missions et les flux de donn¨¦es financi¨¨res sont fiables et tra?ables.

2. Acc¨¨s restreint aux donn¨¦es

Pour prot¨¦ger les donn¨¦es, l'acc¨¨s doit ¨ºtre strictement restreint et surveill¨¦. Le principe du moindre privil¨¨ge doit r¨¦gir l'acc¨¨s ¨¤ tous les syst¨¨mes. L'acc¨¨s ¨¤ la production doit ¨ºtre accord¨¦ en fonction du r?le dans l'entreprise et n¨¦cessiter un VPN ainsi qu'une authentification multifacteur (MFA). Toutes les activit¨¦s doivent ¨ºtre journalis¨¦es et surveill¨¦es en permanence pour d¨¦tecter toute anomalie.?

3. Chiffrement sophistiqu¨¦ et protection des donn¨¦es?

Pour emp¨ºcher tout acc¨¨s non autoris¨¦, interception ou ¨¦coute clandestine, votre fournisseur de comptabilit¨¦ carbone doit proposer un chiffrement sophistiqu¨¦. Recherchez AES-256 pour le chiffrement au repos, l'une des m¨¦thodes les plus robustes du secteur, utilis¨¦e par les gouvernements, les banques et les syst¨¨mes de sant¨¦. Votre logiciel doit ¨¦galement offrir TLS 1.2+ avec Perfect Forward Secrecy (PFS) pour les donn¨¦es en transit, ce qui emp¨ºche de futurs attaquants de d¨¦chiffrer des transmissions pass¨¦es. Les donn¨¦es de production ne doivent jamais ¨ºtre utilis¨¦es pour les tests ou le d¨¦veloppement.?

4. Infrastructure et architecture fiables?

L'architecture logicielle de l'entreprise doit utiliser des pare-feux multicouches et une segmentation r¨¦seau entre les niveaux, afin que m¨ºme si une couche est compromise, les attaquants ne puissent pas acc¨¦der facilement aux donn¨¦es sensibles. Les configurations doivent faire l'objet d'un examen et d'une am¨¦lioration trimestriels pour garantir leur s¨¦curit¨¦.?

5. Tests, surveillance et gouvernance r¨¦guliers

Les ¨¦diteurs de logiciels doivent effectuer des tests d'intrusion tiers trimestriels sur les couches r¨¦seau, API et applicatives, tout en surveillant en continu les bases de donn¨¦es, les conteneurs et les r¨¦partiteurs de charge. Ils doivent disposer de programmes formels de gestion des risques et de r¨¦ponse aux incidents, ainsi que d'un comit¨¦ charg¨¦ de la d¨¦tection, du confinement et de la rem¨¦diation. Tous les employ¨¦s doivent suivre une formation annuelle et continue sur la confidentialit¨¦ et la s¨¦curit¨¦.?

? Nous traitons les donn¨¦es de nos clients comme s'il s'agissait de donn¨¦es du d¨¦partement de la D¨¦fense. ?Mike Flynn, directeur des syst¨¨mes d'information chez 91¶¶Òõ

Pourquoi la certification SOC 2 Type II est-elle importante ?

La certification r¨¦v¨¨le la qualit¨¦ de la s¨¦curit¨¦ et des contr?les d'une entreprise.

La norme SOC 2 Type II repr¨¦sente le plus haut niveau de certification de s¨¦curit¨¦, la r¨¦f¨¦rence absolue. Elle d¨¦montre comment un fournisseur prot¨¨ge vos donn¨¦es, s'il dispose de pratiques de s¨¦curit¨¦ reproductibles et s'il fait preuve d'une maturit¨¦ op¨¦rationnelle.?

Il ne suffit pas de confirmer qu'une entreprise a obtenu la certification SOC 2 Type II. Vous devez examiner la certification pour v¨¦rifier s'il existe des points d'alerte et quels crit¨¨res le fournisseur a respect¨¦s. Par exemple, 91¶¶Òõ r¨¦pond aux cinq crit¨¨res SOC 2 : s¨¦curit¨¦, disponibilit¨¦, confidentialit¨¦, int¨¦grit¨¦ du traitement et protection de la vie priv¨¦e.?

Pour examiner le rapport SOC 2 d'une entreprise, suivez ces ¨¦tapes :?

1. Lisez d'abord la lettre d'opinion de l'auditeur. Recherchez la mention ? opinion sans r¨¦serve ? (ce qui signifie que l'audit est valid¨¦). Une ? opinion avec r¨¦serve ? indique des d¨¦faillances et constitue un signal d'alarme.?
2. V¨¦rifiez la p¨¦riode d'audit (par ex. du 1er janv. au 31 d¨¦c. 2025).
3. Examiner les exceptions. Toute d¨¦faillance de contr?le constat¨¦e doit ¨ºtre discut¨¦e avec le fournisseur.
4. Confirmer les principes de confiance. Assurez-vous qu'ils couvrent ce qui est important pour vous (par ex. la disponibilit¨¦ pour un SaaS dont le temps de fonctionnement est critique).
5. Demander une lettre de transition (bridge letter) si le rapport a plus de 6 mois. Elle confirme qu'aucun changement significatif n'est survenu depuis.?
6. Ne jamais accepter ? SOC 2-ready ? ou ? SOC 2 en cours ? comme ¨¦quivalents. Ce sont des termes marketing, pas de la conformit¨¦.

Aide-m¨¦moire sur la s¨¦curit¨¦ de la comptabilit¨¦ carbone : questions ¨¤ poser aux fournisseurs

1. Comment validez-vous votre programme de s¨¦curit¨¦ ??

Demandez si l'entreprise a obtenu des certifications et attestations de s¨¦curit¨¦ tierces. Vous devriez notamment rechercher :?

• ISO 27001 : D¨¦montre que l'entreprise a mis en place des politiques et des contr?les de s¨¦curit¨¦ et qu'elle am¨¦liore continuellement ces syst¨¨mes.
• ISO 27017 : ?tend la certification ISO 27001 aux syst¨¨mes SaaS virtuels/cloud.
• SOC 1 Type II : Garantit l'int¨¦grit¨¦ des syst¨¨mes financiers.
• SOC 2 Type II : La r¨¦f¨¦rence absolue. Il s'agit de la certification la plus exigeante, qui d¨¦montre que l'entreprise maintient un niveau de s¨¦curit¨¦ constant dans la dur¨¦e.?
• ISO 42001: Normes pour le d¨¦veloppement et l'utilisation de l'IA.

2. Comment validez-vous votre environnement ?

Demandez si l'entreprise effectue des analyses r¨¦seau et ¨¤ quelle fr¨¦quence. Elle doit ¨ºtre en mesure d'expliquer comment elle examine les modifications logicielles et si elle r¨¦alise des tests d'intrusion par des tiers. Les r¨¦sultats des analyses et tests ind¨¦pendants doivent ¨ºtre publi¨¦s, et vous devez vous assurer que toutes les vuln¨¦rabilit¨¦s identifi¨¦es ont ¨¦t¨¦ corrig¨¦es. Recherchez :

• SAST (analyse de code)
• SCA (analyse open source)
• Analyse de conteneurs
• DAST (analyse des vuln¨¦rabilit¨¦s r¨¦seau, des API et des applications web)
• Tests par des tiers du r¨¦seau externe, des applications et des API

3. Comment g¨¦rez-vous l'acc¨¨s aux donn¨¦es ??

L'entreprise doit ¨ºtre en mesure de vous indiquer qui a acc¨¨s ¨¤ vos donn¨¦es. Privil¨¦giez un fournisseur qui restreint strictement les acc¨¨s, y compris pour son propre personnel. Chez 91¶¶Òõ, par exemple, l'acc¨¨s des employ¨¦s aux donn¨¦es des clients est ¨¦troitement contr?l¨¦, y compris pour les d¨¦veloppeurs, les architectes et les ¨¦quipes de r¨¦ussite client.

4. Quel contr?le aurai-je sur mes donn¨¦es ??

Vous devez conserver autant de contr?le que possible sur les informations de votre entreprise. Cela signifie vous d¨¦cidez qui a acc¨¨s aux donn¨¦es, et vous pouvez supprimer ou exporter vos donn¨¦es ¨¤ tout moment sans intervention du fournisseur. Votre prestataire de logiciels doit ¨¦galement proposer diverses options pour le chargement de donn¨¦es en masse ou des biblioth¨¨ques d'API.?

5. Comment s¨¦curisez-vous les donn¨¦es en transit ??

Recherchez le TLS 1.2 ou une version sup¨¦rieure pour tout transfert de donn¨¦es ¡ª id¨¦alement, le TLS 1.3. Le TLS 1.1 ou inf¨¦rieur est inacceptable et expose votre entreprise. Vous devez ¨¦galement vous assurer que votre fournisseur propose le PFS (Perfect Forward Secrecy), ce qui signifie que m¨ºme si la cl¨¦ de s¨¦curit¨¦ est vol¨¦e, les communications pass¨¦es ne peuvent pas ¨ºtre d¨¦chiffr¨¦es.?

6. Comment s¨¦curisez-vous les donn¨¦es au repos ??

Vos informations doivent ¨ºtre s¨¦curis¨¦es lorsqu'elles sont stock¨¦es dans une base de donn¨¦es ou sur un serveur. Le fournisseur doit proposer un chiffrement AES 256 ¡ª vous ne voulez pas de cl¨¦s partag¨¦es ou cod¨¦es en dur, et les sauvegardes doivent ¨¦galement ¨ºtre chiffr¨¦es.?

7. Quel est le plan de reprise d'activit¨¦ (et ¨¤ quelle fr¨¦quence est-il test¨¦) ??

Un plan de sauvegarde doit ¨ºtre en place en cas de panne du syst¨¨me, qu'elle soit due ¨¤ un dysfonctionnement ou ¨¤ une catastrophe telle qu'un tremblement de terre. M¨¦triques ¨¤ prendre en compte :?

• RTO (Objectif de temps de r¨¦cup¨¦ration) : La dur¨¦e n¨¦cessaire au r¨¦tablissement du service (une heure est l'id¨¦al)
• RPO (Objectif de point de r¨¦cup¨¦ration) : Quelle perte de donn¨¦es est acceptable (elle doit ¨ºtre inf¨¦rieure ¨¤ 5 heures)
• Fr¨¦quence des tests: L'entreprise doit tester sa r¨¦cup¨¦ration au moins une fois par an.?

8. Comment g¨¦rez-vous vos ¨¦diteurs de logiciels et vos prestataires ??

Les fournisseurs de solutions SaaS de comptabilit¨¦ carbone s'appuient g¨¦n¨¦ralement sur plusieurs prestataires pour d¨¦velopper leurs plateformes. Vous devez vous assurer que votre fournisseur impose ¨¤ ses propres prestataires et sous-traitants les m¨ºmes normes que celles qu'il applique.?

Questions ¨¤ poser:??

• Une partie du d¨¦veloppement ou de la s¨¦curit¨¦ est-elle externalis¨¦e ou g¨¦r¨¦e par des sous-traitants ? Comment validez-vous les profils de ces ¨¦quipes et ¨¤ quelles donn¨¦es ont-elles acc¨¨s ??
• ? quelle fr¨¦quence ¨¦valuez-vous vos prestataires ? Les failles de s¨¦curit¨¦ proviennent souvent de probl¨¨mes li¨¦s aux fournisseurs.?

9. Comment g¨¦rez-vous l'IA ??

L'entreprise doit ¨ºtre en mesure de lister tous les outils d'IA qu'elle utilise et leur finalit¨¦.?

Questions ¨¤ poser:?

• Mes donn¨¦es sont-elles utilis¨¦es pour l'entra?nement des mod¨¨les ??
• Comment puis-je surveiller les actions de l'IA ??
• Quels programmes de s¨¦curit¨¦ avez-vous mis en place sp¨¦cifiquement pour l'IA ??

Choisir un fournisseur est une d¨¦cision de s¨¦curit¨¦

Le choix d'un partenaire de comptabilit¨¦ carbone ne se limite pas aux m¨¦thodologies d'¨¦missions et aux fonctionnalit¨¦s de reporting. C'est aussi une d¨¦cision de s¨¦curit¨¦ et de gouvernance. Vous partagez des milliers de points de donn¨¦es critiques, parfois sensibles, avec votre prestataire. Vous devez avoir la certitude de pouvoir lui faire confiance. En posant quelques questions essentielles d¨¨s le d¨¦part, vous prot¨¦gez votre entreprise contre les risques de r¨¦putation, de s¨¦curit¨¦ et de comp¨¦titivit¨¦ qu'entra?nent les pertes et les fuites de donn¨¦es.?

Assurez la s¨¦curit¨¦ et la fiabilit¨¦ de votre comptabilit¨¦ carbone. Contactez-nous pour en savoir plus sur la mani¨¨re dont 91¶¶Òõ peut vous aider ¨¤ prot¨¦ger vos donn¨¦es carbone.