Firme canadienne de développement logiciel avec expérience en conformité

NorthSight Technologies est une firme canadienne de développement logiciel avec expérience en conformité. Nous sommes établis en Ontario. Nous concevons des logiciels web et mobiles sur mesure pour les entreprises dont les acheteurs mènent une évaluation de la sécurité ou de la protection des renseignements personnels avant de signer. Le logiciel doit donc fonctionner, et il doit aussi résister à cette évaluation. Commencez par un appel d’introduction gratuit.

À qui cela s’adresse

La plupart des entreprises qui cherchent une firme de développement avec expérience en conformité sont dans l’une de ces trois situations :

• Vous vendez un logiciel à des acheteurs en milieu réglementé. Un collège, un hôpital ou un organisme public veut votre produit, et son équipe de sécurité vous a envoyé un questionnaire auquel vous devez répondre de façon satisfaisante.
• Vous bâtissez un nouveau produit qui contiendra des données sensibles. Des dossiers de santé, des dossiers étudiants ou des renseignements personnels. Vous voulez qu’il soit bien conçu dès le départ.
• Vous avez déjà un logiciel qui a échoué à une évaluation. Une vente est bloquée, et vous devez corriger les lacunes dans le code, pas seulement reformuler des réponses.

Notre client type est un éditeur de logiciels en santé ou en éducation qui vend aux collèges canadiens. Le produit n’est que la moitié du travail. Réussir l’évaluation de l’acheteur est l’autre moitié.

Les cadres de conformité pour lesquels nous concevons

Voici les cadres sur lesquels les acheteurs canadiens interrogent le plus souvent les fournisseurs, et ce que chacun signifie pour le logiciel.

• SOC 2. Un rapport d’audit indépendant sur la façon dont une entreprise protège les données de ses clients. Nous intégrons les contrôles d’accès, la journalisation et le suivi des changements qu’un auditeur vérifiera, pour que vous ayez moins à corriger quand l’audit commence.
• HECVAT. Le questionnaire de sécurité que les collèges et les universités envoient aux éditeurs de logiciels. Nous vous aidons à y répondre et à corriger le code derrière les réponses. Voir notre aide HECVAT pour éditeurs SaaS.
• LPRPDE (PIPEDA). La loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé. Nous concevons la collecte, le stockage, l’accès et la suppression des renseignements personnels pour que vous puissiez démontrer ce qu’il en advient.
• LPRPS (PHIPA). La loi ontarienne sur la protection des renseignements personnels sur la santé. Pour les logiciels de santé, nous intégrons l’accès par rôle, des journaux indiquant qui a consulté quel dossier, et un hébergement au Canada lorsque l’acheteur le demande.
• Loi 25 du Québec. La loi québécoise sur la protection des renseignements personnels, qui vise les organisations traitant les renseignements de personnes au Québec. Nous prévoyons dans le produit la gestion du consentement, l’exportation et la suppression des données.
• Protégé B. Un niveau de sécurité du gouvernement du Canada pour l’information sensible, comme les dossiers personnels. Nous concevons en fonction de ses exigences de résidence des données et de contrôle d’accès. Le filtrage de sécurité et l’approbation de l’hébergement se règlent avec le ministère.
• LAPHO. La loi ontarienne sur l’accessibilité. Elle exige que les organismes du secteur public et les organisations de 50 employés ou plus rendent leurs sites web publics conformes aux WCAG 2.0, niveau AA. Nous concevons des interfaces à ce niveau.

L’expérience en conformité, concrètement, dans le code

La conformité, c’est surtout de l’ingénierie ordinaire faite avec soin et documentée. En pratique, cela veut dire :

• Contrôle d’accès. Chaque utilisateur a un rôle, et le logiciel applique ce que chaque rôle peut voir et faire.
• Journaux d’audit. Le système consigne qui a fait quoi et quand, et ces journaux sont protégés contre les modifications discrètes.
• Chiffrement. Les données sont chiffrées en transit et au repos. Les clés et les mots de passe restent hors du code.
• Résidence des données. Les données sont hébergées au Canada lorsque l’acheteur l’exige, et nous pouvons montrer où elles se trouvent.
• Dépendances sûres. Les bibliothèques tierces sont suivies et mises à jour, pour que des failles connues ne restent pas en production.
• Preuves. Des schémas d’architecture, des cartes de flux de données et des réponses écrites qui correspondent à ce que fait le code.

Ces choix coûtent peu quand ils sont faits au départ. Ils coûtent cher quand on les ajoute la semaine avant une évaluation. Si vous voulez un regard externe sur un logiciel existant, notre revue de code sécurisé est le bon point de départ.

Comment comparer les firmes de développement logiciel sur la conformité

Beaucoup de firmes mentionnent la conformité sur leur site. Ces questions aident à voir qui a vraiment fait le travail :

• Qui écrit le code? Demandez si les personnes chevronnées présentes à l’appel de vente sont celles qui bâtissent.
• Où sont les données? Demandez dans quel pays elles sont hébergées et qui peut y accéder.
• Peuvent-ils montrer les contrôles? Demandez à voir comment l’accès, la journalisation et le chiffrement fonctionnent dans un produit qu’ils ont bâti.
• Ont-ils déjà passé l’évaluation d’un acheteur? Demandez quels questionnaires ou audits leurs projets passés ont subis.
• Que ne font-ils pas? Une bonne firme vous dit où commence le travail de l’auditeur et de l’avocat.

Ce que nous faisons et ce que nous ne faisons pas

Nous concevons, bâtissons et corrigeons des logiciels. Nous révisons le code. Nous préparons les parties techniques d’un questionnaire de sécurité et vous aidons à répondre au reste avec exactitude.

Nous ne sommes ni un cabinet d’audit ni un cabinet d’avocats. Un rapport SOC 2 est produit par un cabinet de CPA indépendant. Les avis juridiques sur les lois de protection des renseignements personnels viennent de votre avocat ou de votre responsable de la protection des renseignements personnels. Nous travaillons avec eux et leur fournissons ce dont ils ont besoin du côté de l’ingénierie.

Notre façon de travailler

Les ingénieurs qui cadrent votre projet sont ceux qui le bâtissent. Aucune passation à une équipe junior ou à l’étranger. Nos associés cumulent plus de 28 ans d’ingénierie dans les logiciels gouvernementaux, d’entreprise et grand public.

Nous pouvons partir d’une nouvelle idée, d’un prototype ou d’un code dont vous avez hérité. Pour la liste complète de ce que nous concevons, voir le développement de logiciels sur mesure au Canada.

Foire aux questions