BeFresh, qui compte plus de 300 clients, est fière d’annoncer la certification ISO/IEC 27001:2022 de son système de management de la sécurité de l’information (SMSI) couvrant toutes ses activités, y compris le développement de logiciels comme les outils de facturation électronique, l’hébergement SaaS, l’exploitation d’un point d’accès certifié Peppol, hébergé dans un cloud privé au Luxembourg. Benoît Frisch, directeur général : « Je suis vraiment satisfait de la rapidité avec laquelle nous avons atteint cet objectif — en moins de six mois —, ce qui inclut la mise en place d’un système de gestion de la sécurité de l’information SMSI, sa certification, des tests d’intrusion, ainsi que la mise en conformité avec le RGPD et la directive NIS2. Ce rythme remarquable a été en grande partie rendu possible grâce à l’expertise en sécurité d’itrust consulting et à la sécurité cloud offerte par Deep. » Anna Chezganova, chef de projet chez itrust consulting, à propos de cette certification : « J’ai été ravie de mettre à profit les années d’expérience d’itrust consulting dans le cadre d’un projet conduit avec efficacité qui nous a permis d’obtenir la certification seulement six mois après son lancement. » Carlo Harpes, CISO externe : « Une telle réussite n’est possible que grâce aux compétences en matière de gestion, d’informatique, de développement et de sécurité de tous les collaborateurs de BeFresh, qui ont permis des processus décisionnels rapides. » Abdessamad Kahir, auditeur principal chez Certi-Trust : « Cet audit de certification a été très agréable, non seulement parce qu’il a été couronné de succès, mais aussi parce que la plupart des preuves requises nous ont été fournies de manière proactive et que nous avons reçu des réponses rapides et pertinentes à toutes nos questions. »   À propos de BeFresh : BeFresh est une société basée au Luxembourg, spécialisée dans la transformation numérique, notamment les ERP, les CRM et la facturation en tant que service, ainsi que dans le développement de solutions logicielles personnalisées. Fondée en 2019 et basée à Kockelscheuer, elle se positionne comme un partenaire technologique pour les organisations qui cherchent à moderniser leurs flux de travail, avec une expertise dans le domaine de l’automatisation des processus de facturation.   À propos d’itrust consulting : PME luxembourgeoise créée il y a 18 ans, spécialisée dans les systèmes de sécurité de l’information, itrust consulting aide ses clients des secteurs public et privé à protéger leurs informations… Read more »

Interview avec LG. Les administrations communales sont-elles préparées face aux défis de la cybersécurité et de la loi NIS2 ? Comment s’y prendre ? Interview avec Lynn Pinto, DPO, Camar Houssein, responsable SECaaS, et Carlo Harpes, gérant de l’itrust consulting s.à r.l. et président du comité (luxembourgeois) de normalisation en sécurité. Comment les administrations ont-elles été préparées à ce nouveau défi ? Carlo : Le texte de la directive NIS2 est publié depuis 2022 ; le Luxembourg a choisi l’option d’une transposition aussi simple et minimaliste que possible ; toutes les entités pratiquant les soumissions publiques sont visées ; elles devront maîtriser les risques de cybersécurité, reporter leurs dépendances, l’état de leur sécurité et le résultat de leur traitement des risques à l’ILR. En plus, elles doivent remonter les incidents et peuvent recevoir des injonctions de l’ILR, si nécessaire pour maîtriser des risques. Le ministre Léon Gloden, les a encouragés à prendre ce défi au sérieux, à ne pas attendre la loi pour se préparer. Le lendemain du vote, chaque entité doit avoir une analyse de risque approuvée qui justifie qu’elle a trouvé le bon équilibre entre investir en mesures de sécurité et accepter des risques résiduels ; elle doit montrer régulièrement son plan d’amélioration à l’ILR. Que reste à faire par les entités ? Camar : Nous sommes d’accord avec l’ILR que la loi NIS2 n’exige rien de plus qu’un dirigeant responsable. Pourtant il impose une politique de sécurité des ressources humaines, une gestion (formalisée) des accès, une gestion des actifs, c’est-à-dire une inventorisation, classification et attribution de responsabilité liée à ces actifs, et le plus dur, une appréciation et un traitement des risques tenant compte des normes en vigueur, virtuellement inconnues dans le secteur. Nous pouvons facilement former une personne à estimer les risques, mais cette estimation reste incertaine, même pour un expert. Mon responsable dit toujours que mener une analyse de risque est un art plutôt qu’une science, car ce processus doit produire des résultats argumentés et « reproductibles ». Les administrations qui sont déjà conformes au RGPD ont-elles une longueur d’avance ? Lynn : Oui clairement, encore trouvons-nous toujours des entités qui y sont mal préparées : sans registre des activités de traitement ou avec registre incomplet, sans notice d’information facilement accessible aux personnes concernées, et ceci après 7 ans d’entré en vigueur et une CNPD qui a engagé plus de 60 fonctionnaires pour contrôler et enseigner. Récemment nous sommes encore tombés sur des secrétaires communaux qui sont aussi DPO, donc… Read more »