Toute personne ayant connaissance d’un événement suspect doit le signaler sans délai par le canal interne prévu.

Le signalement doit indiquer les systèmes concernés, l’heure approximative, les symptômes et les actions déjà réalisées.

La personne ne doit pas tenter seule une action susceptible de détruire des preuves ou d’aggraver l’incident.

Chaque incident reçoit une référence, une catégorie, une priorité, un responsable et un état de traitement.

La qualification initiale évalue les systèmes touchés, les données concernées, l’étendue probable, la durée et la présence éventuelle d’un acteur malveillant.

La qualification est révisée lorsque de nouvelles informations deviennent disponibles.

KUPYDE peut isoler un serveur, bloquer une adresse, révoquer un jeton, suspendre un compte ou désactiver temporairement une fonctionnalité.

Les mesures doivent limiter la propagation tout en évitant, dans la mesure raisonnable, une interruption disproportionnée.

Les éléments nécessaires à l’enquête sont préservés avant toute suppression ou réinstallation lorsque cela est possible.

Lorsqu’un compte paraît compromis, KUPYDE peut mettre fin aux sessions, réinitialiser les secrets et imposer une nouvelle authentification.

Les modifications sensibles, versements ou changements de coordonnées peuvent être temporairement bloqués.

L’Utilisateur peut être invité à modifier son mot de passe, activer l’authentification multifacteur ou vérifier son identité.

KUPYDE peut solliciter son hébergeur, CCBill, ses prestataires de sécurité, de vérification, de messagerie ou de sauvegarde.

Chaque prestataire doit transmettre les informations contractuellement requises et coopérer à la limitation de l’incident.

Les responsabilités et délais de notification doivent être précisés dans les contrats de sous-traitance et de service.

L’évaluation tient compte de la nature des données, du nombre de personnes, de la facilité d’identification et des conséquences possibles.

Une attention particulière est portée aux données financières, d’identité, biométriques, intimes, de santé ou relatives aux mineurs.

Le chiffrement, la pseudonymisation, la durée d’exposition et la possibilité de récupérer les données sont également pris en compte.

KUPYDE documente les violations confirmées, y compris lorsque celles-ci ne donnent pas lieu à une notification externe.

Le registre décrit les faits, les catégories de données, les conséquences, l’évaluation du risque et les mesures prises.

Il comprend également la décision de notifier ou de ne pas notifier et les motifs correspondants.

Lorsque le RGPD s’applique, une violation présentant un risque pour les droits et libertés est notifiée à l’autorité compétente sans retard injustifié.

Lorsque cela est possible, la notification intervient au plus tard dans les soixante-douze heures après la prise de connaissance de la violation.

Tout retard est documenté et expliqué conformément aux exigences applicables.

Les personnes concernées sont informées lorsque cela est nécessaire à leur protection ou imposé par le droit applicable.

La communication utilise un langage clair et décrit la nature de l’incident, les risques et les mesures recommandées.

Elle peut notamment recommander de modifier un mot de passe, surveiller des transactions ou se méfier de messages frauduleux.

Une communication publique peut être utilisée lorsqu’une information individuelle exigerait des efforts disproportionnés ou lorsqu’elle est nécessaire pour atteindre les personnes concernées.

Les communications publiques sont coordonnées afin d’éviter les contradictions, la divulgation d’informations sensibles ou l’entrave à une enquête.

Seules les personnes autorisées peuvent s’exprimer officiellement au nom de KUPYDE au sujet d’un incident.

Les services peuvent être restaurés depuis des sauvegardes vérifiées, des environnements sains ou des versions corrigées.

La restauration est progressive lorsque cela permet de mieux contrôler le risque et la stabilité.

Les données restaurées sont rapprochées avec les transactions, écritures et événements intervenus pendant l’interruption.

Après la remise en service, KUPYDE maintient une surveillance renforcée pendant une durée proportionnée au risque.

Les alertes, connexions, erreurs et modifications sensibles sont examinées afin de détecter une récidive.

L’incident n’est clôturé qu’après validation des mesures correctives et du retour à un fonctionnement maîtrisé.

Les transferts, copies, analyses et consultations d’une preuve importante sont consignés.

Une empreinte cryptographique peut être utilisée pour démontrer qu’un fichier n’a pas été modifié.

Les originaux sont préservés lorsque cela est possible et les analyses sont réalisées sur des copies contrôlées.

Le dossier est conservé pendant la durée nécessaire aux analyses, notifications, litiges, audits et obligations légales.

La durée tient compte de la gravité, de la nature des données et des délais applicables aux procédures concernées.

Les éléments devenus inutiles sont supprimés, anonymisés ou archivés avec des restrictions appropriées.

Après un incident significatif, KUPYDE analyse les causes, la chronologie, l’efficacité de la réponse et les difficultés rencontrées.

Un plan d’actions correctives est établi avec des responsables, des priorités et des échéances.

Les enseignements pertinents sont intégrés aux procédures, contrôles, formations et architectures.

KUPYDE organise périodiquement des exercices afin de tester les procédures, contacts, décisions et moyens de communication.

Les scénarios peuvent couvrir une compromission de compte, un rançongiciel, une fuite de données ou une indisponibilité d’un prestataire.

Les résultats sont documentés et donnent lieu aux améliorations nécessaires.

KUPYDE peut modifier la présente Politique afin de tenir compte d’une évolution légale, technique, organisationnelle ou contractuelle.