La sécurité de l’information avec méthode : la trajectoire d’Helvetia vers un SMSI à grande échelle

Découvrez comment Helvetia, en partenariat étroit avec Swiss GRC, a mis en place un système de management de la sécurité de l’information (SMSI) à l’échelle du groupe qui assure non seulement la conformité réglementaire, mais apporte également transparence, efficacité et gouvernance durable dans l’ensemble de l’organisation.

Contexte et objectifs

Avec environ 14 400 collaborateurs dans le monde, Helvetia est l’un des groupes d’assurance suisses les plus importants et les plus actifs à l’international. Établie à Saint-Gall, où se trouve son siège, l’entreprise est présente en Suisse, en Allemagne, en Autriche, en Italie, en Espagne et en France, ainsi que sur une sélection de marchés internationaux tels que le Liechtenstein et Singapour. Helvetia intervient dans trois segments d’activité, l’assurance non-vie, l’assurance vie et la gestion d’actifs, ce qui en fait l’un des acteurs les plus largement diversifiés du marché suisse de l’assurance.

Peu d’organisations sont allées aussi loin qu’Helvetia dans le domaine de la sécurité de l’information. En déployant un SMSI décentralisé couvrant plusieurs lignes métiers et implantations internationales, Helvetia a établi une référence pour le secteur. Pour concrétiser cet objectif ambitieux, Helvetia s’est associée à Swiss GRC afin de concevoir et de mettre en œuvre conjointement l’une des implémentations de SMSI les plus abouties du marché, un système qui associe gouvernance centralisée et exécution locale.

Les objectifs étaient clairs :

• Assurer une cohérence à l’échelle du groupe tout en permettant une adaptation locale
• Se conformer aux exigences de la FINMA ainsi qu’à DORA et au RGPD
• S’aligner sur les principales normes telles qu’ISO, NIST et ISF
• Établir un référentiel de gouvernance clair avec des responsabilités définies aux niveaux groupe et local
• Renforcer l’efficacité et la transparence grâce à une intégration fluide et à l’automatisation des processus

Mise en œuvre et collaboration

Au-delà des processus centraux du SMSI, Helvetia a également intégré dans la solution les exigences de protection des données et de sécurité physique. L’articulation entre sécurité de l’information et protection des données constitue un défi récurrent pour de nombreuses organisations, car les responsabilités, les référentiels de contrôle et les exigences réglementaires sont souvent gérés en silos. En intégrant ces domaines dans un système unifié, Helvetia a pu réduire la complexité, éliminer les redondances et établir des lignes de responsabilité claires.

Au cœur de la solution se trouve un modèle de données centré sur les actifs, qui recense les applications, les services informatiques, les plateformes et les processus métiers. Tous les changements, risques et dérogations sont directement rattachés à ces actifs, ce qui offre une structure souple et évolutive.

Le programme s’est notamment distingué par son intégration poussée avec les systèmes existants, dont :

• LeanIX et ServiceNow pour les données d’architecture et de configuration
• Jira et Tempus pour la gestion des projets et des changements, avec des validations de sécurité intégrées
• SAP Ariba pour la gestion des fournisseurs et les évaluations annuelles de sécurité
• Splunk pour les processus de gestion des vulnérabilités et des exceptions

Le SMSI est exploité dans une instance cloud Azure dédiée, gérée par Swiss GRC. Toutes les données sont hébergées en Europe et chiffrées avec les clés propres d’Helvetia, un facteur déterminant pour le respect des lois suisses sur la protection des données et la protection des informations sensibles.

Défis du projet et solutions

Principaux résultats et bénéfices

Grâce à GRC Toolbox, Helvetia a mis en place un SMSI à l’échelle du groupe qui constitue aujourd’hui un instrument de pilotage central, allant bien au-delà du seul périmètre de la conformité.

Les principaux bénéfices sont les suivants :

• Conformité dès la conception : exigences réglementaires et normes intégrées de manière systématique
• Efficacité opérationnelle : les workflows automatisés et les interfaces système réduisent la charge manuelle
• Transparence : les tableaux de bord et les rapports offrent une visibilité claire à la direction et aux métiers
• Capacité d’évolution : développement continu avec des contrôles automatisés et l’intégration des données de sécurité du cloud

Le SMSI n’est pas seulement devenu un dispositif de conformité, mais un levier stratégique de sécurité, de résilience et de gouvernance d’entreprise durable.