Sécurité et Conformité du Cloud
Nous offrons un niveau de sécurité supérieur pour tous les comptes, quelle que soit leur taille.
Dans un esprit d’ouverture et de transparence, voici quelques-unes des mesures de sécurité que nous prenons pour protéger et défendre vos données personnelles.
La sécurité en chiffres
- Atteintes à la protection des données depuis 1995 : 0. Nous nous efforçons de maintenir ce niveau.
- Délai moyen pour corriger une vulnérabilité de sécurité après divulgation : 24 heures. Ceci est possible grâce à l’automatisation de la mise en place des correctifs de sécurité sur tous les systèmes.
- Durée de vie d’un serveur : 7 jours. Cela diminue énormément notre vecteur d’attaque.
Culture et sensibilisation dans un environnement agile
- Tous nos employés sont formés par des cours personnel de sécurité.
- Tous nos employés doivent lire et comprendre notre politique de sécurité de l’information, qui exige des normes élevées.
- Tous nos employés travaillent en équipes composées de rôles appropriés pour développer rapidement et en toute sécurité de nouvelles fonctionnalités.
- Chaque employé utilise des mots de passe forts et uniques générés par un gestionnaire de mots de passe.
- Tous les disques des employés sont cryptés via AES 256 bits.
- Les écrans se verrouillent automatiquement lorsqu’ils ne sont pas utilisés.
- Nous utilisons le principe de moindre privilège pour nous assurer que nos employés ne peuvent accéder qu’aux données dont ils ont besoin pour leur travail quotidien.
- Un processus de départ est lancé dès qu’un salarié quitte l’entreprise.
- Toutes les cartes d’accès font l’objet d’une rotation immédiatement après le départ de l’employé. Il en va de même pour les changements de responsabilité dans l’entreprise.
- L’accès aux fonctions d’administration est limité à un petit sous-ensemble du personnel d’InVision AG.
- L’accès est sécurisé par un chiffrement sur Tunnel IPSec / VPN / une liste blanche d’adresses IP.
- Chaque employé a un rôle strictement défini qui définit ses capacités principales et ses droits d’accès, par exemple développeur de logiciels.
La sécurité a été prise en compte dès la conception du logiciel
- Notre logiciel est conçu dans un cadre de développement piloté par les tests.
- Notre logiciel utilise les dernières technologies de sécurité.
- Notre logiciel est automatiquement scanné pour détecter les vulnérabilités après chaque changement.
- Nous utilisons des revues de code pour tous les changements apportés à nos logiciels. Cette procédure est documentée en interne et sécurisée par des barrières techniques.
- Nous utilisons le développement piloté par les tests, l’intégration et la livraison continus pour nous assurer que notre logiciel est compilé et exécuté en toute sécurité.
- Forte collaboration entre les développeurs d’applications et l’équipe d’exploitation pour créer des environnements rapides et sécurisés.
- Le logiciel n’est installé que par des fournisseurs de logiciels de confiance.
- L’analyse automatique des vulnérabilités périodique est utilisée pour tester automatiquement le logiciel et l’infrastructure.
- Les mises à jour sont déployées par phases et rigoureusement testées avant d’être déployées sur les systèmes de production.
- Les données persistantes sont stockées sur des clusters de bases de données hautement disponibles. Toutes les données au repos (DAR), en transit (DAT) et les clés associées sont cryptées à l’aide de l’algorithme standard AES-256.
- L’intégrité des données est assurée dans les systèmes de base de données par une série de contraintes et de règles d’intégrité.
La sécurité opérationnelle dans le Cloud
- Toutes les données DAR (Data At Rest) des clients sont chiffrées.
- Toutes les données DAT (Data In Transit) des clients sont chiffrées.
- Toutes les données des clients peuvent être restaurées facilement.
- Un accès à la base de données n’est possible que pour un petit sous-ensemble d’employés. Actuellement quatre employés.
- Notre équipe d’exploitation sous astreinte vous assure un temps de résolution rapide même après incident.
- Une automatisation de la mise en place des correctifs de sécurité pour s’assurer de ne pas être sujets à des vulnérabilités connues ou à d’autres risques.
- Les données peuvent être restaurées à l’aide de la récupération à un moment donné sur les 14 derniers jours.
- Les correctifs de sécurité sont appliqués en 72h.
- Nous utilisons des pare-feu dynamiques au niveau de l’hyperviseur.
- Nous utilisons IPSec pour les connexions de confiance entre sites.
- L’échange de données est chiffré et authentifié à l’aide d’un protocole fort (TLS 1.2), d’un échange de clés fort (ECDHE_RSA avec P-256) et d’un algorithme fort (AES_128_GCM).
- Tous les systèmes de bases de données sont hautement disponibles.
- Le logiciel et les données peuvent être entièrement restaurés en 24 heures.
- Une infrastructure immuable pour assurer la facilité des échanges entre systèmes.
- Nous utilisons la séparation réseau entre différents environnements.
- Journalisation centralisée des accès qui permet de trouver et de résoudre les problèmes plus rapidement.
- Cela inclut l’équipe des opérations sous astreinte pour s’assurer d’une résolution rapide des incidents.
- Restreindre l’accès aux instances à partir de plages d’adresses IP limitées à l’aide de groupes de sécurité.
- Les mots de passe doivent comporter au moins huit caractères.
- Les mots de passe doivent utiliser au moins trois des quatre types de caractères disponibles : lettres minuscules, lettres majuscules, chiffres et symboles.
- Les mots de passe dans les bases de données de mots de passe sont chiffrés (bcrypt). Ce chiffrement ne peut pas être inversé.
Vous avez encore des questions sur nos dispositifs de sécurité ?
Contactez-nous et demandez nos spécialistes en sécurité. Ils adorent parler des fonctionnalités que nous avons mises en place pour faire d’injixo un système auquel vous pouvez faire confiance.