CONFORMITÉ WORKDAY

SOC 1

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday VNDLY

Les audits « Service Organization Controls » (SOC) 1 contiennent des informations sur l'environnement de contrôle d'une société de services susceptibles de concerner les audits internes du client sur les rapports financiers.

Notre rapport SOC 1 Type II est publié conformément à la norme ISAE 3402 (« International Standard on Assurance Engagements ») (audits d'assurance sur les contrôles au sein d'une société de services). Le rapport SOC 1 couvre l'efficacité et la conception des contrôles pouvant s'appliquer aux applications d'entreprise Cloud Workday.

SOC 2

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing, Workday Peakon Employee Voice, Workday VNDLY

Le rapport SOC 2 Type II est une évaluation de notre environnement de contrôle réalisée par un tiers.

Le rapport SOC 2 est basé sur les critères de services de confiance de l'AICPA (« American Institute of Certified Public Accountants ») et publié chaque année conformément à la section 101 AT (« Attest Engagements ») de l'AICPA. Il détaille la conception et l'efficacité des contrôles relatifs à un système contenant des données client dans le cadre des solutions Cloud Workday. Le rapport SOC 2 relatif aux produits d'entreprise Workday porte sur l'ensemble des critères des services de confiance (sécurité, disponibilité, confidentialité, intégrité du traitement et protection des données). Il porte par ailleurs sur le référentiel de cybersécurité et la norme 800-171 du NIST dans le cadre du processus SOC 2+ « Additional Subject Matter », qui comprend un alignement audité des contrôles de Workday sur ces référentiels.

SOC 3

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Peakon Employee Voice, Workday Strategic Sourcing

L'AICPA (« American Institute of Certified Public Accountants ») a mis en place le référentiel SOC 3 destiné à garantir la confidentialité des informations stockées et traitées dans le Cloud.

Le rapport SOC 3, évaluation indépendante réalisée par un tiers, est accessible à tous et fournit une description succincte de notre environnement de contrôle sur la sécurité, la disponibilité, la confidentialité, l'intégrité du traitement et la protection des données.

Consultez notre rapport SOC 3 pour les produits d'entreprise Workday.

Consultez notre rapport SOC 3 pour Workday Adaptive Planning. 

Consultez notre rapport SOC 3 pour Workday Peakon Employee Voice.

Consultez notre rapport SOC 3 pour Workday Strategic Sourcing.

ISO 27001

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing, Workday VNDLY et Workday Peakon Employee Voice

Notre système de management de la sécurité de l'information (« Information Security Management System » – ISMS) répond aux exigences de cette approche de la sécurité standardisée et mondialement reconnue. 

Consultez notre certificat de conformité ISO 27001 pour les produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing et Workday Peakon Employee Voice.

Consultez notre certificat de conformité ISO 27001 pour Workday VNDLY.

ISO 27017

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Cette norme prévoit des contrôles et prodigue des conseils de mise en œuvre pour la sécurité de l'information qui s'appliquent à la fourniture et à l'utilisation de services Cloud.

Consultez notre certificat de conformité ISO 27017 pour les produits d'entreprise Workday et Workday Adaptive Planning.

ISO 27018

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Cette norme contient les directives applicables aux fournisseurs de services Cloud qui traitent des données personnelles.

Consultez notre certificat de conformité ISO 27018 pour les produits d'entreprise Workday et Workday Adaptive Planning.

ISO 27701

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Cette norme dicte les exigences et les lignes directrices pour la mise en place et l'amélioration continue d'un système de gestion des informations personnelles (PIMS) en tant qu'extension de la norme ISO/IEC 27001.

Consultez notre certificat de conformité ISO 27701 pour les produits d'entreprise Workday et Workday Adaptive Planning.

Certification TRUSTe de conformité au programme de bonne gouvernance et de protection des données des entreprises

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing

Participation Workday au programme de bonne gouvernance et de protection des données des entreprises de TRUSTe.

Ce programme est conçu pour permettre à des entreprises telles que Workday de faire la preuve de leur conformité aux bonnes pratiques de gouvernance des données et de confidentialité des données personnelles. Les normes appliquées se basent sur les lois et réglementations en vigueur, notamment les directives de l'OCDE, celles de l'APEC, le RGPD en Europe, la loi HIPAA aux États-Unis, la norme internationale ISO 27001 de sécurité des systèmes d'information, ainsi que d'autres lois et réglementations internationales.

Consultez notre certification TRUSTe.

Questionnaire SIG

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing, Workday Peakon Employee Voice, Workday VNDLY

Le questionnaire SIG (« Standardized Information Gathering ») est une compilation de questions normalisées visant à évaluer la technologie de l'information et la sécurité des données, à travers un large spectre de zones de contrôle des risques.

Le questionnaire SIG est publié par Shared Assessments, une organisation internationale dédiée à l'assurance anti-risque des entreprises tierces. Workday autoévalue 2 fois par an son environnement par rapport au SIG et fournit à ses clients une présentation détaillée de son environnement de contrôle par rapport à un ensemble normalisé de questions. Les clients peuvent accéder au questionnaire SIG sur Workday Community.

NIST CSF et NIST 800-171

Périmètre d'application : produits d'entreprise Workday

Le référentiel de cybersécurité (CSF) du NIST fournit des lignes directrices aux entreprises pour améliorer leur capacité à éviter, à détecter les risques de cyberattaques et à y répondre. Le référentiel de confidentialité du NIST fournit des directives concernant la mesure et l'amélioration du programme de confidentialité d'une entreprise. La norme NIST 800-171 régit la protection des informations non classifiées contrôlées dans les systèmes d'information et les organisations non fédéraux.

Workday a aligné ses contrôles SOC 2 sur les normes NIST CSF, NIST PF et NIST 800-171. Cet alignement a fait l'objet d'un audit dans le cadre du rapport SOC2+ de Workday.

TrustArc et Bouclier de Protection des Données (« Privacy Shield »)

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing

Workday est enregistré comme participant « actif » au Bouclier de Protection des Données (« Privacy Shield »). TRUSTe est l'agent de vérification par un tiers utilisé par Workday dans le cadre du Bouclier de Protection des Données (« Privacy Shield »).

Consultez notre certification Bouclier de Protection des Données (« Privacy Shield »).

Code de conduite de l'UE sur le Cloud

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Le Code de conduite de l'UE sur le Cloud (CCoC) propose un ensemble d'exigences permettant aux prestataires de services Cloud de démontrer leur capacité à se conformer au RGPD.

N° de conformité : 2019LVL02SCOPE001

Vérifiez la certification Workday.

HIPAA

Périmètre d'application : produits d'entreprise Workday

Workday a reçu une attestation de conformité avec la loi « Health Insurance Portability and Accountability Act » (HIPAA) pour ses produits d'entreprise. Cet agrément démontre que le programme de mise en conformité avec la loi HIPAA prévoit des mesures adéquates pour sauvegarder, consulter et partager des informations personnelles et médicales.

FedRAMP Moderate

Périmètre d'application : produits d'entreprise Workday

Le programme fédéral de gestion des risques et des autorisations (FedRAMP – « Federal Risk and Authorization Management Program ») est un programme du gouvernement américain qui autorise les agences fédérales à intégrer des systèmes Cloud dans leurs environnements IT. Le FedRAMP octroie une approche normalisée pour l'évaluation des risques et de la sécurité pour les technologies Cloud et les agences fédérales, afin de garantir en permanence le degré le plus élevé de protection des données dans le Cloud.

Workday a reçu du FedRAMP le statut « Autorisé » concernant la catégorie « Niveau d'impact modéré sur la sécurité » pour Workday Government Cloud.

G-Cloud

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Peakon Employee Voice

Le référentiel de normes G-Cloud est un accord entre le gouvernement britannique et les fournisseurs de services Cloud.

G-Cloud permet à ces entreprises de postuler auprès des organismes publics britanniques et de leur vendre des services Cloud une fois leur offre acceptée. Le référentiel G-Cloud est mis à jour chaque année par le « Crown Commercial Services » (CCS), compétent en la matière.

Les administrations publiques britanniques peuvent actuellement acheter des services de Workday via le CCS Digital Marketplace.

Cyber Essentials Plus

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing, Workday Peakon Employee Voice, Workday VNDLY

Cyber Essentials Plus est un modèle soutenu par le gouvernement britannique qui aide les entreprises à se protéger des cyberattaques en programmant des contrôles techniques de base.

Consultez notre certificat Cyber Essentials Plus.

IRAP (Australie)

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Le gouvernement australien met à jour une documentation relative à la sécurité d'utilisation des services ICT, notamment des services Cloud. De cette documentation sont issus le manuel sur la sécurité de l'information (ISM – « Information Security Manual ») et le référentiel des directives liées à la sécurité et la protection (PSPF – « Protective Security Policy Framework »). Le programme IRAP (« Infosec Registered Assessors Program »), mis à jour par le centre de cybersécurité australien (ACSC – « Australian Cyber Security Centre ») charge les évaluateurs individuels d'examiner l'efficacité d'une entreprise par rapport aux contrôles réalisés par l'ISM et le PSPF.

Workday mobilise un évaluateur tiers afin qu'il procède à une évaluation de l'adéquation des contrôles réalisés par l'ISM et le PSPF qui soit conforme au programme IRAP, par rapport aux environnements de production de Workday possédant le niveau « PROTÉGÉ ».

Auto-évaluation CSA STAR

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing, Workday Peakon Employee Voice, Workday VNDLY

Le questionnaire d'auto-évaluation sur l'initiative des évaluations consensuelles (CAIQ – « Consensus Assessments Initiative Questionnaire ») du Cloud Security Alliance (CSA) Security, Trust & Assurance Registry (STAR) regroupe des informations sur les risques pour la sécurité et les contrôles dans un questionnaire standard (CSA STAR CAIQ).

Workday autoévalue deux fois par an son environnement par rapport au CSA STAR CAIQ et fournit une présentation détaillée de son environnement de contrôle à ses clients. Ce document fournit une présentation détaillée de l'environnement de contrôle de Workday à ses clients.

TISAX

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing

La norme « Trusted Information Security Assessment Exchange » (TISAX) est régie par l'Association ENX pour le compte de l'association allemande de l'industrie automobile. Elle fournit à l'industrie automobile européenne une approche cohérente et normalisée des systèmes de sécurité de l'information.

Résultat disponible sur le portail ENX.

Évaluation STI des CSP par le CCCS

Périmètre d'application : produits d'entreprise Workday

Le Centre canadien pour la cybersécurité (CCCS) a mis en place le Programme d'évaluation de la sécurité des technologies de l'information (ITS) des fournisseurs de services d'informatique Cloud afin d'aider les ministères et organismes du gouvernement du Canada (GC) à évaluer les services des fournisseurs de services d'informatique Cloud (CSP). Le CCCS fournit des conseils et des lignes directrices sur les capacités techniques, opérationnelles et procédurales des CSP en matière d'ITS. L'évaluation détermine si les processus et les contrôles de sécurité répondent aux exigences de sécurité de l'informatique dans le Cloud du GC pour les renseignements et les services jusqu'au profil Protégé B/Intégrité moyenne/Disponibilité moyenne (PB/M/M), telles que publiées par le Secrétariat du Conseil du Trésor du Canada.

TX-RAMP

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing, Workday Peakon Employee Voice, Workday VNDLY

Le « Texas Risk and Authorization Management Program » (TX-RAMP) est un programme du Department of Information Resources (DIR) de l'État du Texas qui permet de vérifier les mesures de sécurité prises par les produits et services Cloud qui transmettent des données aux agences de l'État. Les fournisseurs Cloud doivent se soumettre à un cadre du DIR et à une conformité continue pour être acceptés dans ce programme. Le programme TX-RAMP a été créé à partir des exigences formulées dans le projet de loi 475 du Sénat de l'État du Texas.

Workday est certifié niveau TX-RAMP niveau 2.