Sécurité des données

Nous prenons la sécurité des données de nos clients très au sérieux et disposons d'une vaste expérience au service des entreprises ayant des exigences de sécurité complexes dans le monde entier. Cette déclaration couvre les principaux éléments de notre politique de sécurité des données.

‍

Nous utilisons des centres de données de classe mondiale et de niveau professionnel

Brazos Safety Systems, LLC (« Brazos ») exploite une infrastructure virtuelle et physique hébergée et gérée par Microsoft Corporation (« Microsoft »), qui comprend des centres de données sécurisés et une technologie avancée de protection des données.

Microsoft gère en permanence les risques et fait l'objet d'évaluations récurrentes pour garantir la conformité aux normes du secteur. Les opérations des centres de données Microsoft ont été accréditées selon les normes suivantes :

• ISO 27001 et ISO 27017/8
• SOC 1, SOC 2 et SOC 3/SSAE 16/ISAE 3402 (anciennement SAS 70 Type II)
• PCI DSS niveau 1

Microsoft a également accordé une attention particulière aux États-Unis et dans l'UE à la conformité à toute réglementation nouvelle ou changeante, telle que :

• Sarbanes-Oxley (SOX)
• HIPAA
• Safe Harbor/Privacy Shield
• Directive européenne sur la protection des données (RGPD)

La liste complète des certifications de Microsoft est disponible ici.

‍

Les mots de passe sont stockés en toute sécurité

Tous les mots de passe des utilisateurs sont hachés. Le hachage des mots de passe signifie que nous n'avons pas accès aux mots de passe d'origine, pas plus que personne d'autre. Ainsi, même si notre base de données était compromise, les mots de passe de chacun resteraient sécurisés.

‍

Les données sont cryptées en transit

Toutes les communications entre le navigateur du client et les serveurs Portside se font via un accès HTTP sécurisé (HTTPS), en utilisant la norme industrielle Transport Layer Security (TLS). Seul le niveau de TLS le plus pertinent et le plus sécurisé est accepté par Portside. Nous utilisons des certificats TLS 1.2 et 1.3 avec des chiffrements recommandés par le ministère américain du Commerce, le National Institute of Standards and Technology (plus de détails peuvent être trouvés ici).

‍

Les données sont cryptées au repos

Toutes les données de compte qui ne transitent pas par le réseau sont cryptées lorsqu'elles sont « au repos » dans la base de données. Nous chiffrons toutes les données à l'aide d'un cryptage AES 256 bits. Cela garantit que même si l'accès à nos bases de données est compromis, l'intrus ne pourra pas accéder aux données des clients.

‍

Sécurité des systèmes et des opérations

Nous protégeons l'infrastructure de notre système en utilisant un pare-feu et des services VPN dédiés pour bloquer les accès non autorisés au système. Les pare-feux de tous les serveurs sont définis sur Default-Deny. Les connexions à la base de données ne sont acceptées que depuis d'autres serveurs Portside sur le réseau privé virtuel interne.

Toutes les communications avec les serveurs (en dehors de l'accès public HTTPS) se font via un shell sécurisé (SSH) crypté et l'authentification par mot de passe est désactivée. L'authentification SSH est disponible uniquement via l'authentification par clé publique/privée.

Nous nous efforçons de maintenir la version la plus récente de tous les logiciels de nos serveurs. Toutefois, lorsque cela n'est pas possible, nous veillons à ce que les derniers correctifs de sécurité soient installés et à jour.

‍

L'accès est enregistré

Nous enregistrons toutes les activités des utilisateurs dans l'application, ainsi que tous les accès aux systèmes par nos employés, à l'aide des services Microsoft Azure. Un journal d'audit est tenu à jour et revu périodiquement.

‍

Restrictions d'accès des employés

Tous les employés sont tenus de signer un accord de confidentialité. Une sécurité stricte de l'accès au système est appliquée et aucun employé de Brazos n'est en mesure d'accéder aux données des clients à moins d'y être spécifiquement invité pour des raisons justifiées. Dans ce cas, seuls les cadres techniques spécialement désignés disposent des autorisations d'accès nécessaires. Tout accès au système est enregistré et suivi à des fins d'audit. Nous appliquons l'authentification à deux facteurs à la fois pour l'accès à l'infrastructure et pour le référentiel de code.

‍

Séparation des données clients

Brazos a été soigneusement conçu pour séparer les données des clients et empêcher même la divulgation involontaire de données d'un utilisateur à un autre. Les autorisations et les rôles des comptes utilisateurs sont appliqués au niveau du serveur et de la base de données pour empêcher les utilisateurs malveillants d'augmenter leurs privilèges. Nous concevons soigneusement toutes les nouvelles fonctionnalités afin de prévenir les attaques potentielles telles que l'injection SQL et le cross-site scripting.

‍

Politique de sauvegarde

Toutes les données sont stockées physiquement sur des serveurs aux États-Unis. Les sauvegardes sont effectuées automatiquement par Microsoft et la base de données peut être restaurée à tout moment au cours des 30 derniers jours.

‍

Analyse antivirus

Brazos analyse automatiquement tous les fichiers téléchargés à la recherche de virus. Cela permet de vous protéger contre le téléchargement et le partage de fichiers malveillants avec d'autres utilisateurs du compte. Si Brazos détecte un virus dans un fichier, nous rejetons le téléchargement et en informons l'utilisateur.

‍

Nous ne conservons pas les informations de paiement

Brazos ne stocke ni ne traite les paiements. Tous les paiements passent par un partenaire de traitement des paiements d'entreprise de niveau institutionnel, qui met en œuvre la conformité PCI DSS aux normes les plus strictes.

‍

Tests de pénétration et de vulnérabilité

Brazos effectue des tests d'intrusion annuels par des tiers sur ses systèmes afin de valider et de confirmer qu'aucune vulnérabilité technique n'a pu être oubliée.