Safety first : comment choisir un partenaire de leasing vélo axé sur la sécurité

Vous attachez toujours votre vélo avec un bon cadenas, n’est-ce pas ? Alors pourquoi ne pas faire de même en choisissant un partenaire de leasing vélo qui protège vos données ? Pourtant, la sécurité des données figure encore trop rarement sur la checklist RH lors de la sélection d’un partenaire de leasing vélo. C’est un risque réel. Grâce à ces trois questions, apprenez à choisir un partenaire qui prend la sécurité au sérieux.

Dans leur recherche d’un partenaire de leasing vélo, de nombreuses entreprises se concentrent sur les critères classiques. Le prestataire de leasing prend-il une part importante des tâches en charge ? Les employés peuvent-ils choisir parmi un large éventail de vélos ? La gestion de la paie est-elle simple ?

Un facteur crucial est pourtant encore trop souvent négligé : la sécurité. Plus précisément, la sécurité des données, des systèmes et des accès. Or, cette sécurité est tout aussi essentielle que les autres critères de sélection.

Trois raisons pour lesquelles la sécurité des données est essentielle 

1. Vous évitez les fuites de données sensibles

Réfléchissez un instant à la quantité de données sensibles que vous partagez avec un partenaire de leasing : adresses e-mail, noms, numéros de téléphone, données de facturation, informations contractuelles, numéros de personnel, paramètres salariaux ... Autant d’informations qui ne doivent en aucun cas tomber entre de mauvaises mains. Une sécurité des données irréprochable n’est donc pas un luxe, mais une nécessité absolue.

2. Vous évitez les abus d’accès et de comptes 

Que se passe-t-il si un ex-employé RH a encore accès aux données du personnel ? Ou pire : si quelqu’un commande des vélos via un compte piraté au nom de votre organisation ? Une gestion rigoureuse des accès permet d’éviter ce type de situation.

3. Vous évitez les piratages et les fuites de données 

Ce ne sont pas seulement vos systèmes qui doivent être sécurisés, mais aussi ceux de votre partenaire de leasing. Car si celui-ci est piraté, vos données et celles de vos employés risquent également d’être compromises. Le coût moyen d’une fuite de données s’élève à 4,44 millions d’euros. Et ce, sans même compter l’impact sur votre image de marque, la perte de confiance de vos clients et le mécontentement de vos employés.

‍

Choisissez un partenaire sécurisé grâce à ces trois questions 

Vous l’aurez compris : il est essentiel de choisir un partenaire qui prend réellement au sérieux la sécurité des données, des systèmes et des accès. Mais comment en être certain ? En posant les bonnes questions.

Check 1 : Comment, en tant que partenaire de leasing, veillez-vous à ce que vos employés traitent nos données d’entreprise de manière sécurisée ?

Pourquoi poser cette question ?
Les hackers ne ciblent pas uniquement la technologie, mais aussi les personnes. Les employés peuvent recevoir un e-mail frauduleux prétendument envoyé par le CEO, une demande de paiement « urgente » ou encore une fausse sollicitation de support contenant un lien « important ». C'est ce qu'on appelle le social engineering, une méthode de piratage très répandue. 

Il est donc crucial de comprendre comment un partenaire de leasing forme ses propres employés à une utilisation sécurisée des données.

Quelle réponse attendez-vous ?
Vous attendez de votre partenaire de leasing qu’il sensibilise ses employés aux risques et qu’il puisse expliquer concrètement les mesures mises en place. Voici quelques bonnes pratiques indispensables :

• Des formations régulières : afin que chaque employé sache reconnaître et gérer les situations suspectes. 
• Des simulations de phishing : l’entreprise envoie elle-même de faux e-mails frauduleux à ses employés afin de tester leur vigilance. Cela permet d’identifier précisément les besoins en formation et de maintenir un haut niveau de sécurité au sein des équipes. 

Check 2 : Comment, en tant que partenaire de leasing, sécurisez-vous l’accès à vos outils ?

Pourquoi poser cette question ?
Le partenaire de leasing met à disposition des outils pour les RH et les employés afin de gérer l’ensemble du leasing vélo. Pour protéger vos données, l’accès à ces outils doit être parfaitement sécurisé. Aujourd’hui, un simple mot de passe ne suffit plus. Vous devez vous assurer que les comptes bénéficient d’une protection renforcée et que les accès peuvent être gérés facilement et efficacement. 

Cela passe par une sécurisation multicouche, indispensable pour protéger les données à caractère personnel contre les accès non autorisés, le vol ou les abus, et prévenir ainsi les cyberattaques ainsi que les fuites de données.

Quelle réponse attendez-vous ?

• Vous attendez du partenaire de leasing qu’il propose une authentification multifacteur (MFA). MFA signifie « multi-factor authentication » et ajoute une couche de sécurité supplémentaire. Même si un mot de passe est compromis, le compte reste protégé.
• Vous attendez également que le partenaire de leasing prenne en charge le SSO. SSO signifie « single sign-on » : les employés se connectent une seule fois via un portail de confiance (comme Google, Microsoft ou votre propre portail) pour accéder automatiquement à tous les systèmes pertinents. Ainsi, le contrôle des accès, des autorisations et des règles de sécurité reste entre les mains de votre département IT, et non (uniquement) chez le partenaire de leasing. 

Check 3 : Comment, en tant que partenaire de leasing, sécurisez-vous nos données d’entreprise dans vos systèmes ? 

Pourquoi poser cette question ?
Des employés bien formés et une gestion rigoureuse des accès constituent une base solide. Mais que deviennent vos données une fois stockées dans les systèmes du partenaire de leasing ? Vos données sensibles ne doivent ni fuiter, ni être accessibles à des tiers, ni être perdues. 

Un partenaire fiable protège les données à chaque étape : lors du stockage, du traitement et des échanges. 

Quelle réponse attendez-vous ?
Vous recherchez un partenaire capable de démontrer concrètement que les données sont sécurisées de manière structurelle et selon les meilleures pratiques. C’est un signal fort si le partenaire de leasing vélo :

• chiffre les données, tant lors de leur transmission que lors de leur stockage ;
• gère les accès selon le principe du « least privilege » : les employés n’ont accès qu’aux informations strictement nécessaires, avec des rôles clairement définis et des contrôles d’accès réguliers ;
• enregistre et surveille les activités suspectes, afin de détecter et de traiter rapidement les incidents ;
• met continuellement à jour ses systèmes et les teste régulièrement ;
• explique clairement où les données sont stockées et traitées ; privilégie des serveurs situés au sein de l’UE ou de l’EEE, afin de garantir un niveau élevé de protection des données (RGPD) ;
• réalise des sauvegardes, effectue des tests de restauration et dispose d’un plan de réponse en cas d’incident.

Utilisez la certification ISO 27001 comme preuve 

Un bon partenaire de leasing vélo ne se contente pas d’affirmer que les données sont protégées : il est en mesure de le prouver. Demandez donc systématiquement si le partenaire dispose d’une certification ISO 27001. Soyez attentif aux points suivants : 

• Vérifiez qu’il s’agit bien de la certification ISO 27001. 
• Contrôlez que le nom du partenaire de leasing vélo figure explicitement sur le certificat. 
• Demandez le Statement of Applicability (également appelé SoA ou Déclaration d’applicabilité). Ce document précise quelles mesures de sécurité de l’Annexe A de la norme ISO 27001 sont applicables - ou non - au partenaire de leasing vélo.

Qu’est-ce que la certification ISO 27001 ?

Il existe de nombreuses certifications en matière de sécurité (différentes normes ISO, SOC …), mais elles n’offrent pas toutes le même niveau de garantie. La norme ISO 27001 est la référence internationale en matière de sécurité de l’information et la plus exigeante. 

Là où d’autres certifications offrent souvent une photographie à un instant donné, ISO 27001 repose sur une amélioration continue : identifier les risques, mettre en place des mesures de sécurité et démontrer leur efficacité. Un audit externe est d’ailleurs réalisé chaque année. 

Practice what you preach

o2o Bicycle Leasing est certifié certifiés ISO 27001. Cela signifie que :

• nos employés adoptent une approche sécurisée ;
• l’accès à nos outils est protégé ;
• nos systèmes sont sécurisés.

« La certification ISO 27001 est pour nous bien plus qu’une preuve que nous prenons la sécurité au sérieux. C’est avant tout un outil qui nous permet de rester vigilants. Elle nous pousse à améliorer en permanence la sécurité de nos systèmes IT. Ainsi, nous gardons toujours une longueur d’avance sur l’évolution des risques. » - Jeroen Coupé, Security Officer chez o2o Bicycle Leasing

• Un auditeur indépendant analyse chaque année notre dispositif de sécurité.
• Nous impliquons chaque maillon de notre chaîne : banques, assureurs, marchands de vélos, partenaires cloud et SaaS. Ainsi, les données restent protégées à chaque étape du processus.
• Nous disposons d’experts en sécurité en interne, qui interviennent sur l’ensemble de nos activités : de l’onboarding aux commandes et des outils internes au développement de nouvelles fonctionnalités.
• L’accès à nos plateformes est sécurisé grâce au SSO et à la MFA.
• Nous formons continuellement nos employés, notamment via  Albert, notre propre coach en sécurité.
• Nous invitons nos clients à nous poser les mêmes questions critiques que celles recommandées dans ce blog. La transparence fait pleinement partie d’une approche sécurisée.

« Le RGPD impose aux organisations de traiter correctement les données à caractère personnel. La sécurité en constitue la colonne vertébrale, car elle permet de rendre concrète la protection de la vie privée. L’ISO 27001 nous aide à structurer notre sécurité : identifier les risques, mettre en place des contrôles et démontrer leur efficacité. Le RGPD y est étroitement lié, car les données personnelles ne peuvent être protégées que si la sécurité de l’information est maîtrisée. Avec notre certification ISO 27001, nous faisons la différence entre “nous prenons cela au sérieux” et “nous pouvons le démontrer”. » - Sara Vydt, Privacy Manager chez o2o Bicycle Leasing