CONFORMITÉ WORKDAY

SOC 1

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Les rapports Service Organization Controls (SOC) 1 contiennent des informations sur l'environnement de contrôle d'une société de services susceptibles de concerner les audits internes du client sur les rapports financiers.

Notre rapport SOC 1 Type II est publié conformément à la norme 3402 (audits d'assurance sur les contrôles au sein d'une société de services). Le rapport SOC 1, qui porte sur la conception et l'efficacité des contrôles relatifs aux applications Cloud Workday, est publié chaque semestre et couvre une période de 6 mois, du 1er avril au 30 septembre et du 1er octobre au 31 mars.

SOC 2

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing et Workday Peakon Employee Voice

Le rapport SOC 2 de Type II consiste en une évaluation indépendante de notre environnement de contrôle réalisée par un tiers.

Le rapport SOC 2 est basé sur les critères de services de confiance de l'AICPA (American Institute of Certified Public Accountants) et publié chaque année conformément à la section 101 AT (« Attest Engagements ») de l'AICPA. Il couvre une période de 12 mois, du 1er octobre au 30 septembre, et détaille la conception et l'efficacité des contrôles relatifs à un système contenant des données client dans le cadre des solutions Cloud Workday. Le rapport SOC 2 relatif aux produits d'entreprise Workday porte sur l'ensemble des critères des services de confiance (sécurité, disponibilité, confidentialité, intégrité du traitement et protection des données). Il porte par ailleurs sur le référentiel de cybersécurité et la norme 800-171 du NIST dans le cadre du processus SOC 2+ « Additional Subject Matter », qui comprend un alignement audité des contrôles de Workday sur ces référentiels.

SOC 3

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

L'AICPA (American Institute of Certified Public Accountants) a mis en place le référentiel « Service Organization Control » (SOC 3) destiné à garantir la confidentialité des informations stockées et traitées dans le Cloud.

Le rapport SOC 3 de Workday, évaluation indépendante de notre environnement de contrôle réalisée par un tiers, est accessible à tous et fournit une description succincte de notre environnement de contrôle sur la sécurité, la disponibilité, la confidentialité, l'intégrité du traitement et la protection des données.

Consultez le rapport SOC 3 relatif aux produits d'entreprise Workday.

Consultez le rapport SOC 3 relatif à Workday Adaptive Planning. 

Consultez le rapport SOC 3 relatif à Workday Peakon Employee Voice.

Consultez le rapport SOC 3 relatif à Workday Strategic Sourcing.

Norme ISO 27001

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning et Workday Strategic Sourcing

Notre système de gestion de la sécurité de l'information (ISMS – Information Security Management System) répond aux exigences définies dans cette approche de la sécurité axée sur des normes mondialement reconnue. 

Consultez notre certificat de conformité à la norme ISO 27001 relative aux produits d'entreprise Workday.

Consultez notre certificat de conformité à la norme ISO 27001 relative à Workday Adaptive Planning.

Consultez notre certificat de conformité à la norme ISO 27001 relative à Workday Strategic Sourcing.

Norme ISO 27017

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Cette norme prévoit des contrôles et donne des conseils de mise en œuvre pour la sécurité de l'information qui s'appliquent à la fourniture et à l'utilisation de services Cloud.

Consultez notre certificat de conformité à la norme ISO 27017 relative aux produits d'entreprise Workday.

Consultez notre certificat de conformité à la norme ISO 27017 relative à Workday Adaptive Planning.

Norme ISO 27018

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning

Cette norme contient les directives applicables aux fournisseurs de services Cloud qui traitent des données personnelles.

Consultez notre certificat de conformité à la norme ISO 27018 relative aux produits d'entreprise Workday.

Consultez notre certificat de conformité à la norme ISO 27018 relative à Workday Adaptive Planning.

Norme ISO 27701

S'applique : aux produits d'entreprise Workday et à Workday Adaptive Planning

Cette norme fournit les exigences et des directives en vue de la mise en application et de l'amélioration continue du système de gestion des information privées (PIMS – Privacy Information Management System) ; elle se veut l'extension de la norme ISO/IEC 27001.

Consultez notre certification ISO 27701 relative aux produits d'entreprise Workday.

Consultez notre certification ISO 27701 relative à Workday Adaptive Planning.

Norme PCI DSS

Périmètre d'application : produits d'entreprise Workday

Workday respecte la norme PCI DSS régissant l'environnement sécurisé des cartes de crédit Workday dans le cadre de son environnement sécurisé des cartes de crédits Workday (« Workday Secure Credit Card Environment »), environnement isolé qui stocke, traite et transmet les données non masquées des titulaires de cartes via des intégrations prédéfinies.

Cet environnement fait l'objet d'un examen annuel du respect de la norme PCI DSS réalisé par des évaluateurs qualifiés. Workday se conforme à la norme PCI DSS depuis 2013. Les clients qui utilisent l'environnement sécurisé des cartes de crédits Workday ont la possibilité de demander une copie du rapport d'évaluation annuelle.

Certification TRUSTe de conformité au programme de bonne gouvernance et de protection des données des entreprises

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning et Workday Strategic Sourcing

Workday participe au programme de certification TRUSTe, qui regroupe un ensemble de pratiques relatives à la protection et à la gouvernance des données.

Ce programme est conçu pour permettre à des entreprises telles que Workday de faire la preuve de leur conformité aux bonnes pratiques de gouvernance des données et de confidentialité des données personnelles. Les normes appliquées se basent sur les lois et réglementations en vigueur, notamment les directives de l'OCDE, celles de l'APEC, le RGPD en Europe, la loi HIPAA aux États-Unis, la norme internationale ISO 27001 de sécurité des systèmes d'information, ainsi que d'autres lois et réglementations internationales. 

Consultez le statut de notre certification TRUSTe.

Questionnaire SIG

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing et Workday Peakon Employee Voice

Le questionnaire SIG (« Standardized Information Gathering ») est une compilation de questions liées à la technologie de l'information et la sécurité des données, à travers un large spectre de zones de contrôle dans un questionnaire dédié aux normes d'un seul secteur d'activité.

Le questionnaire SIG est publié par Shared Assessments, une organisation internationale dédiée à l'assurance anti-risque des entreprises tierces. Workday autoévalue 2 fois par an son environnement par rapport au SIG et fournit à ses clients une présentation détaillée de son environnement de contrôle par rapport à un ensemble normalisé de questions. Les clients peuvent accéder au questionnaire SIG depuis Workday Community.

Référentiel NIST CSF et norme NIST 800-171

Périmètre d'application : produits d'entreprise Workday

Le référentiel de cybersécurité (CSF) du NIST fournit des lignes directrices aux entreprises pour améliorer leur capacité à éviter, détecter les risques de cyberattaques et à y répondre. Le référentiel de confidentialité du NIST fournit des directives concernant la mesure et l'amélioration du programme de confidentialité d'une entreprise. La norme NIST 800-171 régit la protection des informations non classifiées contrôlées dans les systèmes d'informations et les organisations non fédéraux.

Workday a aligné ses contrôles SOC 2 sur les normes NIST CSF et NIST 800-171. Cet alignement a fait l'objet d'un audit dans le cadre du rapport SOC2+ de Workday.

TrustArc et le Bouclier de Protection des Données (« Privacy Shield »

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning et Workday Peakon Employee Voice

Workday est enregistré comme participant « actif » au Bouclier de Protection des Données (« Privacy Shield ». TRUSTe est l'agent de vérification tiers utilisé par Workday dans le cadre du Bouclier de Protection des Données (« Privacy Shield »).

Consultez notre certification du Bouclier de Protection des Données (« Privacy Shield »).

Code de conduite de l'UE sur le Cloud

Périmètre d'application : produits d'entreprise Workday et Workday Adaptive Planning

Le Code de conduite de l'UE sur le Cloud (CCoC) regroupe un ensemble d'exigences permettant aux fournisseurs de services Cloud (CSP) de prouver leur capacité à se conformer au RGPD.

Consultez la certification de Workday.

HIPAA

Périmètre d'application : produits d'entreprise Workday

Workday a reçu une attestation de conformité avec la loi « Health Insurance Portability and Accountability Act » (HIPAA) pour ses solutions Cloud destinées aux entreprises. Cet agrément démontre que le programme de mise en conformité avec la loi HIPAA prévoit des mesures adéquates pour sauvegarder, consulter et partager des informations personnelles et médicales.

Workday fournit un livre blanc qui présente les grandes lignes de cette évaluation. En outre, Workday signera des contrats de partenariat (« Business Associate Agreement » – BAA) avec les clients qui en font la demande. Ces contrats permettent à nos clients de respecter les exigences imposées par les lois HIPAA et Health Information Technology for Economic and Clinical Health Act (HITECH).

FedRAMP Moderate

Périmètre d'application : produits d'entreprise Workday

Le programme fédéral de gestion des risques et des autorisations (FedRAMP – Federal Risk and Authorization Management Program) est un programme du gouvernement américain qui autorise les agences fédérales à intégrer des systèmes Cloud dans leurs environnements IT. Le FedRAMP octroie une approche normalisée pour l'évaluation des risques et de la sécurité pour les technologies Cloud et les agences fédérales, afin de garantir en permanence le degré le plus élevé de protection des données dans le Cloud.

Workday a reçu du FedRAMP le statut « Autorisé » concernant la catégorie « Niveau d'impact modéré sur la sécurité » pour Workday Government Cloud.

G-Cloud

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning et Workday Peakon Employee Voice

Le référentiel de normes G-Cloud est un accord entre le gouvernement britannique et les fournisseurs de services Cloud.

G-Cloud permet à ces entreprises de postuler auprès des organismes publics britanniques et de leur vendre des services Cloud une fois leur offre acceptée. Le référentiel G-Cloud est mis à jour chaque année par le Crown Commercial Services (CCS), compétent en la matière.

Les administrations publiques britanniques peuvent actuellement acheter des services de Workday via le CCS Digital Marketplace.

Cyber Essentials

Périmètre d'application : produits d'entreprise Workday, Workday Adaptive Planning, Workday Strategic Sourcing et Workday Peakon Employee Voice

Cyber Essentials est un modèle soutenu par le gouvernement britannique qui aide les entreprises à se protéger des cyber-attaques en programmant des contrôles techniques de base.

Consultez notre certification Cyber Essentials.

IRAP (Australie)

Périmètre d'application : produits d'entreprise Workday

Le gouvernement australien met à jour une documentation relative à la sécurité d'utilisation des services ICT, notamment des services Cloud. De cette documentation sont issus le manuel sur la sécurité de l'information (ISM – Information Security Manual) et le référentiel des directives liées à la sécurité et la protection (PSPF - Protective Security Policy Framework). Le programme IRAP (Infosec Registered Assessors Program), mis à jour par le centre de cyber sécurité australien (ACSC – Australian Cyber Security Centre) charge les évaluateurs individuels d'examiner l'efficacité d'une entreprise par rapport aux contrôles réalisés par l'ISM et le PSPF. 

Workday mobilise un évaluateur tiers afin qu'il procède à une évaluation de l'adéquation des contrôles réalisés par l'ISM et le PSPF qui soit conforme au programme IRAP, par rapport aux environnements de production de Workday possédant le niveau « PROTÉGÉ ».