Conçu pour les institutions financières réglementées
S-PRO aide les banques, les fintechs et les autres institutions financières réglementées à livrer des logiciels en tenant compte des exigences de sécurité, de résilience, de conformité et de risque lié aux tiers.
ISO 27001
Système de management de la sécurité de l’information certifié.
ISO 27701
Extension certifiée de management des informations relatives à la vie privée.
Siège en Suisse
Siège à Zurich, avec des centres de delivery à Zurich et à Łódź (Pologne).
Clients agréés par la FINMA
Une expérience concrète de delivery avec des institutions financières agréées par la FINMA.
S-PRO est un éditeur de services d’ingénierie logicielle, pas une entité financière réglementée. Cette page décrit comment nous aidons nos clients à remplir leurs obligations, et non des certifications que nous détiendrions en leur nom.
Préparation à DORA et au risque lié aux tiers TIC
Les entités financières restent responsables de leurs accords avec des prestataires tiers de TIC. Notre modèle de delivery est conçu pour répondre à cette attente : nous fournissons la documentation, les contrôles et les clauses contractuelles dont vos fonctions risques et achats ont besoin pour nous évaluer et nous surveiller en tant que prestataire.
Accompagnement à l’évaluation du risque fournisseur
Nous remplissons questionnaires de sécurité, formulaires de due diligence et évaluations des risques, et répondons aux questions de votre deuxième ligne.
Documentation des services TIC
Périmètre des services, rôles, lieux de delivery et dépendances décrits assez clairement pour alimenter votre registre d’informations.
Contrôles de sécurité et opérationnels
Gestion des accès, contrôle des changements, surveillance et gestion des incidents opérés dans le cadre de notre système de management certifié ISO 27001.
Preuves réglementaires et pour les achats
Extraits de politiques, descriptions de contrôles et clauses contractuelles fournis pendant la due diligence, lorsque le contrat le prévoit.
Gouvernance des sous-traitants ultérieurs et des sous-traitants
Les missions sont réalisées par les équipes de S-PRO. Lorsqu’un sous-traitant intervient, il est soumis aux mêmes contrôles que notre propre personnel et déclaré au client.
Approbation et supervision
Les sous-traitants sont évalués et approuvés en interne avant toute intervention, puis revus périodiquement.
Limitation des accès
L’accès est limité aux systèmes et données dont un rôle a besoin, et révoqué à la fin de la mission ou de la tâche.
Répercussion des exigences de sécurité
Les obligations de confidentialité, de protection des données et de sécurité sont répercutées contractuellement à toute partie impliquée dans la delivery.
Notification des changements
Les changements importants de la liste des sous-traitants peuvent être notifiés à l’avance, avec droit d’objection lorsque le contrat le prévoit.
Modèle de résidence des données et de contrôle des accès
Par défaut, les environnements clients restent sous le contrôle du client. Résidence, isolation et frontières d’accès sont convenues au stade du contrat et mises en œuvre lors du lancement de la mission.
Options de résidence des données
Les solutions peuvent être déployées sur une infrastructure appartenant au client dans l’UE, en Suisse ou dans une autre région pour répondre aux exigences de résidence.
Isolation des environnements
Les environnements de développement, de test et de production sont séparés ; les données hors production sont anonymisées ou synthétiques lorsque c’est possible.
Moindre privilège et RBAC
Les accès par rôle sont accordés selon le besoin d’en connaître, revus régulièrement et retirés en cas de changement de rôle ou de départ.
Restrictions d’accès à la production
L’accès à la production est limité, soumis à approbation et borné dans le temps — et peut être totalement exclu lorsque le client exploite l’environnement.
Journalisation et traçabilité
Les changements et actions privilégiées sont rattachés à une personne via le contrôle de version, le ticketing et les journaux d’audit de la plateforme.
Processus de notification et d’escalade des incidents
Les incidents de sécurité affectant une mission suivent un parcours défini, de la détection à la notification du client. Les délais de notification sont fixés dans le contrat ; nous ne publions pas ici de SLA fixe.
-
Détection et qualification
Les incidents suspectés sont enregistrés, classés par gravité et attribués à un responsable selon notre processus de gestion des incidents.
-
Notification du client
Les contacts nommés du client sont prévenus des incidents affectant leurs données ou services, dans le délai convenu au contrat.
-
Chemin d’escalade
Responsable de la mission, puis direction de la delivery, puis fonction sécurité de l’information et sponsor exécutif à mesure que la gravité augmente.
-
Contacts responsables
Un contact sécurité nommé et son suppléant sont désignés pour chaque mission et consignés dans la documentation d’onboarding.
-
Communication et clôture
Points d’avancement pendant l’incident, puis synthèse écrite avec cause racine et actions correctives le cas échéant.
-
Réponse encadrée par des SLA
Les niveaux de service de réponse et de notification peuvent être engagés contractuellement, y compris pour soutenir vos propres échéances de déclaration réglementaire.
Continuité d’activité, plan de sortie et passation
Le risque de concentration et de sortie fait partie des questions standard des achats du secteur financier. Nos missions sont structurées pour que vous puissiez internaliser le travail ou le confier à un autre prestataire sans tout reconstruire.
Continuité d’activité
Centres de delivery répartis, travail à distance possible et plan de continuité maintenu dans le cadre de notre système de management.
Personnes clés et transfert de connaissances
Propriété partagée des domaines critiques, rôles de suppléance et onboarding structuré réduisent la dépendance à un seul ingénieur.
Documentation vivante
Architecture, runbooks, documentation des environnements et du déploiement sont tenus à jour pendant la delivery, pas rédigés au moment de la sortie.
Passation du code source et de l’infrastructure
Le code, les pipelines et l’infrastructure-as-code résident dans des dépôts et comptes appartenant au client lorsque celui-ci le souhaite.
Planification de la sortie
Un plan de sortie et de transition peut être convenu au stade du contrat : déclencheurs, calendrier, responsabilités et restitution ou suppression des données.
Accompagnement de la transition
Périodes de chevauchement, sessions de présentation et support renforcé pour votre équipe interne ou un nouveau prestataire.
Tests d’intrusion et gestion des vulnérabilités
Le périmètre, la fréquence et le prestataire des tests sont convenus pour chaque mission. Nous soutenons les tests commandés par le client et pouvons organiser des tests indépendants lorsque le contrat le prévoit.
Gestion des vulnérabilités
Les constats sont suivis de façon centralisée avec un responsable, une gravité et une date cible, et revus jusqu’à leur clôture.
Analyse des dépendances et de sécurité
Des contrôles automatisés des dépendances, des secrets et d’analyse statique tournent dans le pipeline pour détecter les problèmes avant la release.
Tests d’intrusion
Nous accompagnons les tests d’intrusion tiers sur les systèmes livrés et corrigeons les constats dans un chantier convenu.
Priorisation selon la gravité
Les constats critiques et élevés passent avant le développement de fonctionnalités ; les gravités inférieures sont planifiées dans le backlog.
Correction et retest
Les correctifs sont vérifiés, retestés et remontés au client, avec le risque résiduel documenté lorsqu’une correction est différée.
SDLC sécurisé et contrôles de la delivery assistée par l’IA
L’IA accélère notre delivery, mais ne change pas la responsabilité : chaque changement est relu par un ingénieur nommé et passe les mêmes contrôles de pipeline que du code écrit à la main.
SDLC sécurisé
Exigences de sécurité, analyse des menaces et tests font partie du cycle de delivery, et non d’un point de contrôle avant le lancement.
Revue de code et contrôle des changements
Revue par les pairs sur chaque pull request, branches protégées et lien traçable du ticket au commit et à la release.
Contrôles de sécurité CI/CD
Contrôles automatisés sur les résultats de build, de tests et de scans, avec des droits restreints pour la promotion vers les environnements de production.
Gestion des secrets
Les identifiants sont conservés dans des coffres à secrets gérés, jamais dans le contrôle de version, avec rotation et accès limité.
Revue humaine du code généré par l’IA
Le résultat assisté par l’IA est traité comme un brouillon : un ingénieur en est propriétaire, le relit et répond de chaque changement mergé.
Restrictions sur les données clients dans les outils d’IA
Outils approuvés uniquement, aucune donnée client confidentielle ou personnelle dans les prompts, et respect des restrictions propres au client lorsqu’elles sont convenues.
Droits d’audit, dossier de preuves et contact RFP
Les preuves peuvent être partagées sous NDA pendant les achats ou la due diligence, le cas échéant. Les droits d’audit et d’information — y compris l’accompagnement des demandes des autorités de surveillance — peuvent être convenus contractuellement.
- Politiques de sécurité de l’information
- Documentation d’architecture
- Documentation SDLC et gestion des changements
- Informations sur la continuité d’activité
- Synthèses des tests d’intrusion, lorsqu’elles existent
- Informations sur les sous-traitants
- Documentation sur le traitement des données
- Preuves de certification ISO 27001 et ISO 27701
Ou écrivez à hi@s-pro.io avec votre RFP ou questionnaire.