Sécurité et conformité
Unblu propose une infrastructure cloud sécurisée et certifiée, entièrement conçue, gérée et exploitée par Unblu, dans trois environnements de déploiement adaptés aux exigences des services financiers réglementés.
Trois environnements de déploiement certifiés
Choisissez l’infrastructure adaptée à vos exigences de souveraineté, à votre cadre réglementaire et à votre modèle opérationnel. Les trois options sont couvertes par les certifications d’Unblu et par une exploitation assurée 24h/24 et 7j/7.
Unblu Financial Cloud sur GCP
Déploiement multirégion. Les clients choisissent leur région de basculement afin de respecter leurs exigences de géorepérage (geofencing). Couvert par les certifications ISO 27001 et SOC 2 Type 2 d’Unblu.
Unblu Swiss Sovereign Cloud
Hébergé par T-Systems Schweiz AG dans deux centres de données suisses, à Zollikofen et à Berne. Conçu pour les institutions qui exigent une souveraineté totale de leurs données en Suisse. Également couvert par les certifications ISO 27001 et SOC 2 Type 2.
Validé IBM FS Cloud
Conçu spécifiquement pour les charges de travail financières réglementées. Unblu a passé avec succès le rigoureux examen de sécurité d’IBM, avec les plus hauts niveaux de chiffrement, des contrôles préventifs et compensatoires, ainsi que des mesures de sécurité proactives et automatisées.
Conçu pour une exploitation sans interruption
SLA contractuel de 99,75 %
Unblu Financial Cloud offre un SLA de disponibilité de 99,75 % pour les environnements de production. Cet engagement juridiquement contraignant apporte à nos clients une garantie contractuelle quant à la robustesse et à la fiabilité de notre environnement cloud. En interne, nous nous fixons un objectif de disponibilité plus exigeant, de 99,95 %.
RPO et RTO au sein d’une région
Au sein d’une région, Unblu Financial Cloud sur GCP offre un RPO de 0 (aucune perte de données) et un RTO de 2 minutes. En cas d’incident, aucune donnée n’est perdue et le service est rapidement rétabli.
Région de basculement
Pour les déploiements sur GCP, en cas de panne régionale complète (les trois centres de données), l’application Unblu peut être restaurée dans une autre région en 3 jours, avec un RPO de 24 heures. Les clients choisissent leur région de secours afin de respecter leurs exigences de géorepérage. Pour OTC, le basculement s’effectue entre les deux sites suisses de Zollikofen et de Berne.
Disponibilité multirégion
Unblu Financial Cloud est disponible dans des centres de données en Europe, en Amérique du Nord et dans la région APAC, avec un support opérationnel assuré 24h/24 et 7j/7 par l’équipe d’exploitation cloud d’Unblu.
Audité et vérifié de manière indépendante
Unblu détient des certifications au titre des référentiels de sécurité de l’information et de conformité cloud les plus reconnus dans les services financiers.
ISO 27001:2022
Unblu est certifié ISO 27001 pour l’exploitation et la fourniture de services logiciels dans le cloud. Cette norme internationale de management de la sécurité de l’information exige l’identification, l’évaluation et le traitement systématiques des risques liés à la sécurité de l’information.
SOC 2 Type 2
Notre rapport SOC 2 Type 2 apporte la preuve, auditée de manière indépendante, des contrôles que nous appliquons pour protéger les données de nos clients et garantir la transparence de nos opérations. Il couvre nos déploiements GCP et OTC, sur la base des Trust Services Criteria 2017 de l’AICPA.
Validé IBM FS Cloud
Unblu a passé avec succès le rigoureux examen de sécurité et de conformité d’IBM pour les charges de travail des services financiers. Celui-ci confirme le respect des normes les plus exigeantes du secteur, notamment les plus hauts niveaux de chiffrement et des contrôles conçus pour les environnements réglementés.
Enregistré auprès de l’IRQAO
La certification ISO 27001 d’Unblu est enregistrée auprès de l’IRQAO et peut être vérifiée de manière indépendante. Nos clients disposent ainsi d’une trace transparente et accessible publiquement de notre statut de certification.
Certifications de la plateforme GCP
Les déploiements basés sur GCP bénéficient du vaste portefeuille de certifications de conformité dont dispose Google Cloud au niveau de l’infrastructure. Unblu a par ailleurs conclu avec Google Cloud un Financial Services Addendum, qui facilite l’audit de l’infrastructure sous-jacente par les clients réglementés et leurs autorités de surveillance.
Conforme au GDPR
Unblu et ses sociétés affiliées s’engagent à respecter les réglementations suisses et européennes en matière de protection des données, ainsi que les exigences applicables dans les autres juridictions où Unblu exerce ses activités, notamment aux États-Unis et au Canada.
Sécurité de l’infrastructure et du cloud
Données au repos chiffrées en AES-256
Clés de chiffrement gérées avec rotation automatisée
Aucun centre de données détenu par Unblu – uniquement des hyperscalers certifiés
Trafic entre le navigateur et la plateforme chiffré en TLS 1.2 ou supérieur
Déploiement possible dans un cloud souverain suisse
Pare-feu applicatif web (WAF) avec protection DDoS
Isolation des locataires assurée par des politiques réseau et la ségrégation des namespaces
Environnement de production séparé des environnements de développement et de test
Toute la configuration de l’infrastructure gérée sous forme de code versionné
Plateforme de conteneurs renforcée et analysée en continu
Sauvegardes chiffrées chaque nuit, réplicables vers un fournisseur indépendant
Disponibilité de la plateforme surveillée en continu, avec alerte automatique à l’ingénieur-e d’astreinte
Restaurations des sauvegardes cloud testées au moins une fois par trimestre
Fichiers téléversés par les clients analysés pour détecter les logiciels malveillants
Sécurité organisationnelle
Vérification des antécédents pour l’ensemble du personnel et pour les prestataires disposant d’accès privilégiés
Vérification renforcée pour le personnel ayant accès aux données clients
Formations de sensibilisation à la sécurité tout au long de l’année
Obligations de confidentialité maintenues après la fin du contrat
Vérification du casier judiciaire pour les niveaux de risque moyen et élevé, avec contrôle des listes de sanctions lorsque la loi le permet
Le personnel ayant accès aux données d’identification des clients doit être directement employé par Unblu
Personnel des opérations cloud soumis à une nouvelle vérification chaque année
Accès à distance privilégié autorisé uniquement depuis la Suisse et l’EEE
Intégration renforcée à la sécurité pour le personnel des opérations cloud
Accord de confidentialité (NDA) et code de conduite acceptés par l’ensemble du personnel
Gestion des accès lors des arrivées, mobilités et départs automatisée depuis le système RH
Procédure disciplinaire documentée en cas de manquement aux politiques
Responsabilité de la sécurité de l’information confiée nommément à un membre de la direction
Chiffrement intégral du disque obligatoire sur tous les appareils professionnels
Politique du bureau rangé et de l’écran verrouillé
Sécurité physique des centres de données assurée par des partenaires d’hébergement certifiés
Sécurité des produits
Tests d’intrusion indépendants chaque année
Niveaux de service définis pour la correction des vulnérabilités
Analyse automatisée des vulnérabilités dans le pipeline de build
Synthèse des tests d’intrusion pour la direction disponible sur demande
Cycle de développement sécurisé (SDLC) appliqué
Surveillance des CVE avec un objectif de tri sous 24 heures
Chaque modification en production soumise à une revue par les pairs et à une approbation
Déploiement en production entièrement automatisé, avec retour arrière (rollback)
Accès au code source restreint et soumis au contrôle des modifications
Exigences de sécurité définies dès la phase de spécification
Les données de production des clients ne sont jamais utilisées pour les tests
Journal d’audit détaillé de toutes les modifications de configuration
Canal de divulgation responsable : security@unblu.com
Authentification unique (SSO) via OpenID Connect et JWT, avec double authentification TOTP
Limitation des tentatives de connexion et expiration forcée des sessions
Procédures de sécurité internes
Accès à la production limité à des appareils renforcés, gérés de manière centralisée et protégés par une double authentification
Accès aux données clients temporaire et soumis à approbation
Aucun accès permanent en écriture aux systèmes de production
Droits d’accès à la production revus chaque trimestre
Architecture zero trust limitant l’accès aux ressources de production
Supports amovibles désactivés sur les appareils d’accès à la production
Secrets conservés dans un coffre-fort géré, jamais dans le code ou la configuration
Toute désactivation ou réduction de la journalisation de sécurité requiert l’approbation de la direction
Processus documenté de gestion des incidents, avec analyse des causes profondes pour les incidents majeurs
Incidents cloud majeurs notifiés aux clients concernés dans les 8 heures suivant leur prise de connaissance par Unblu
Seuils d’incident majeur définis à l’avance
Chaque politique de sécurité revue au moins une fois par an
Demandes de données émanant des autorités traitées comme des incidents de sécurité
Plans de continuité d’activité avec procédures de reprise après sinistre propres à chaque scénario
Continuité d’activité et reprise après sinistre testées au moins une fois par an
Préparation à l’investigation numérique avec des prestataires externes préalablement agréés
Audit interne du SMSI à intervalles planifiés, avec revue de direction annuelle
Fournisseurs ayant accès aux données clients : certification ISO 27001 et/ou rapport SOC 2 attendus au minimum
Clauses de droit d’audit intégrées par défaut dans les contrats fournisseurs
Fournisseurs de traitement de données cloud réévalués chaque année
Procédures de gestion des incidents et des vulnérabilités alignées sur DORA, à l’appui des obligations de résilience opérationnelle des clients de l’UE
Données et confidentialité
Unblu agit exclusivement en tant que sous-traitant
Aligné sur le GDPR et la nLPD suisse
Délégué-e à la protection des données (DPO) nommé-e
Politiques de conservation des données configurables
Données de conversation conservées un an par défaut, ou selon les termes de votre accord de traitement des données (DPA)
Données client supprimées après la fin du contrat, selon les modalités de votre accord de traitement des données (DPA)
Suppression sécurisée, y compris par effacement cryptographique si nécessaire
Aucun transfert transfrontalier sans votre instruction
Chaque sous-traitant ultérieur opère dans le cadre d’un accord de traitement des données
Politique de classification et de traitement de l’information en vigueur
Contrôles ISO 27018 pour les données personnelles dans les clouds publics mis en œuvre
Le personnel d’Unblu n’est pas autorisé à exporter des données clients
Le personnel d’Unblu ne peut consulter des données clients qu’à votre demande
Le journal d’audit enregistre l’adresse IP source, l’acteur et l’état avant/après
Entrées du journal d’audit conservées 365 jours par défaut
Gouvernance de l’IA
Politique de gouvernance et de transparence de l’IA publiée
Responsabilité de l’IA confiée nommément à un membre de la direction
Unblu n’utilise pas les données clients pour entraîner des modèles d’IA
Supervision humaine intégrée dès la conception aux décisions assistées par l’IA
Les contenus générés par l’IA peuvent être signalés comme tels dans l’interface utilisateur
Les composants d’IA suivent le même cycle de développement sécurisé que le reste de la plateforme
Unblu Spark n’est ni conçu ni destiné à des usages d’IA à haut risque au sens du règlement européen sur l’IA (AI Act)
L’IA n’a pas vocation à automatiser des décisions importantes sans contrôle humain
Accès aux modèles encadré par l’isolation des API et la journalisation
Aucune exposition des poids des modèles ni des données d’entraînement
Une politique interne encadre l’utilisation des outils d’IA par le personnel
Documentation à la demande
Accédez facilement aux certificats, politiques et rapports d’audit dont votre organisation a besoin pour remplir ses obligations de conformité.
Politique RSE
L’approche d’Unblu en matière de responsabilité sociétale des entreprises, fondée sur la norme ISO 26000:2010. Elle couvre nos engagements envers les personnes, l’environnement et les communautés au sein desquelles nous opérons.
Politique de lancement d’alerte
Permet à l’ensemble du personnel d’Unblu de signaler des actes répréhensibles ou des manquements, sans crainte de représailles, de discrimination ou de licenciement.
Code de conduite
Le code de conduite et d’éthique professionnelle d’Unblu, qui définit les normes de comportement attendues dans toute l’organisation.
Manuel de sécurité de l’information du SMSI
Décrit le système de management de la sécurité de l’information (SMSI) d’Unblu, qui permet d’évaluer et de traiter systématiquement les risques liés à la sécurité de l’information, conformément aux meilleures pratiques internationales.
Certificat ISO 27001
Notre certificat ISO 27001:2022 en vigueur, disponible en téléchargement direct.
Rapport SOC 2 Type 2
Rapport audité par un organisme externe couvrant l’infrastructure des Conversation Platform Services d’Unblu, sur la base des Trust Services Criteria 2017 de l’AICPA.
Déclaration d’applicabilité du SMSI
La déclaration d’applicabilité (SoA) relie l’appréciation des risques à leur traitement dans l’ensemble du SMSI d’Unblu – une exigence fondamentale de la conformité ISO 27001.
Avis de confidentialité cloud
Couvre la conformité d’Unblu aux lois suisses et européennes sur la protection des données, ainsi qu’aux exigences applicables dans d’autres juridictions, notamment aux États-Unis et au Canada.
Politique relative aux cookies cloud
Informations sur les cookies essentiels et techniquement nécessaires utilisés par les produits Unblu.
Whitepaper
Unblu Financial Cloud
Request the latest version of our cloud whitepaper - covering deployment options, security architecture, certifications, and operational capabilities in full detail.
