Blitzz fournit des produits logiciels-services (SaaS) à des milliers d'utilisateurs dans le monde pour résoudre leurs problèmes d'affaires. Nous respectons les exigences de sécurité et de confidentialité de l'industrie. Cette page traite de la sécurité des données, de la sécurité opérationnelle et de la sécurité physique afin d'expliquer comment nous protégeons nos clients.
Résumé
- Application Web : Tout accès à l'application Blitzz (p. ex. rapports, portail des agents, portail d'administration) est sécurisé par TLS (HTTPS), ce qui garantit le chiffrement des informations. Nous imposons HTTPS sur toutes les connexions; les données en transit sont donc chiffrées par TLS.
- Appel vidéo : Un chiffrement AES 128 bits de point à point, approuvé par le NIST, est utilisé pour toutes les communications vidéo et audio
- Données : Chiffrement intégral des volumes et clés chiffrées AES 256 bits pour les données stockées au repos
- Serveurs : Tous les serveurs sont hébergés aux États-Unis (sauf si vous demandez une autre région de données), dans des centres de données certifiés SOC 1, SOC 2 et ISO 27001. Nos centres de données disposent d'une sécurité 24 heures sur 24, de systèmes d'alimentation entièrement redondants, d'une authentification à deux facteurs et de journaux d'audit physiques.
- RP : Les renseignements personnels (RP) et les renseignements sur la santé des patients (PHI) ne sont pas stockés; ces données ne peuvent donc pas être volées sur les serveurs de Blitzz.
- Surveillance : Détection des intrusions OSSEC, surveillance de l'intégrité des fichiers, surveillance des journaux, vérification root et surveillance des processus
- Évaluations : Évaluations des risques réalisées chaque année.
- Audit : Politiques et procédures d'audit, de journalisation, de sauvegarde et de reprise après sinistre en place pour tenir des journaux d'audit détaillés de tous les systèmes internes.
- Évaluations : Tests d'intrusion externes réalisés régulièrement par des fournisseurs tiers (rapports offerts aux entreprises clientes).
Contrôles de sécurité techniques et physiques
- Toutes les données de Blitzz sont stockées dans l'infrastructure hautement sécurisée des centres de données Microsoft Azure, qui applique des contrôles physiques conformes aux normes de l'industrie. Le système de soutien, le Centre d'aide et le site Web public de Blitzz sont hébergés séparément pour assurer la disponibilité sur l'ensemble de la plateforme. Pour la liste des accréditations de sécurité actuelles, consultez le portail de confiance Azure : https://servicetrust.microsoft.com/.
- Seuls quelques administrateurs et développeurs principaux ont accès aux serveurs où sont stockées les données, et le code doit être approuvé par plusieurs parties et réussir des tests automatisés avant le déploiement. Nous faisons tout pour trouver le juste équilibre entre le soutien et une infrastructure sécurisée. Les employés n'ont accès aux données des fournisseurs que selon le principe du besoin de savoir, pour accomplir leurs fonctions.
- Lors de l'inscription d'un fournisseur, Blitzz indique immédiatement la robustesse du mot de passe afin d'exiger des mots de passe forts. Consultez notre politique sur les mots de passe forts.
- Tous les mots de passe des fournisseurs sont stockés au moyen de fonctions de hachage cryptographique à sens unique; même le personnel et les développeurs de Blitzz ne peuvent donc pas les voir ni en abuser. Les utilisateurs invités n'ont pas de compte.
- Les entreprises clientes peuvent utiliser leur propre fournisseur d'identité (IdP) grâce à l'intégration SAML avec Blitzz
Votre responsabilité en matière de sécurité
Pour respecter le RGPD et les lois sur la protection de la vie privée, vous avez aussi certaines responsabilités lorsque vous utilisez Blitzz :
- Ne communiquez pas votre courriel de connexion ni votre mot de passe
- Gardez votre navigateur, votre système d'exploitation et vos logiciels à jour
- Installez et utilisez un antivirus et un pare-feu
Sécurité organisationnelle
Nous avons mis en place un système de gestion de la sécurité de l'information (SGSI) qui tient compte de nos objectifs de sécurité ainsi que des risques et des mesures d'atténuation pour toutes les parties intéressées. Nous appliquons des politiques et des procédures strictes couvrant la sécurité, la disponibilité, le traitement, l'intégrité et la confidentialité des données des clients.
Vérification des antécédents des employés
Chaque employé fait l'objet d'une vérification des antécédents. Nous confions cette vérification à des agences externes réputées. Elle porte sur le casier judiciaire, les emplois antérieurs, le cas échéant, et la formation scolaire. Tant que cette vérification n'est pas faite, l'employé ne se voit confier aucune tâche pouvant présenter un risque pour les utilisateurs.
Sensibilisation à la sécurité
À son arrivée, chaque employé signe une entente de confidentialité et une politique d'utilisation acceptable, puis suit une formation sur la sécurité de l'information, la confidentialité et la conformité. Nous évaluons ensuite sa compréhension au moyen de tests et de questionnaires afin de déterminer les sujets qui nécessitent une formation supplémentaire. Nous offrons aussi des formations sur des aspects précis de la sécurité selon les rôles.
Nous sensibilisons continuellement nos employés à la sécurité de l'information, à la confidentialité et à la conformité dans notre communauté interne, qu'ils consultent régulièrement, afin de les tenir informés des pratiques de sécurité de l'organisation. Nous organisons aussi des événements internes pour sensibiliser et favoriser l'innovation en matière de sécurité et de confidentialité.
Équipes dédiées à la sécurité et à la confidentialité
Des équipes dédiées mettent en œuvre et gèrent nos programmes de sécurité et de confidentialité. Elles conçoivent et entretiennent nos systèmes de défense, élaborent des processus d'examen de la sécurité et surveillent constamment nos réseaux pour détecter toute activité suspecte. Elles offrent aussi des services-conseils spécialisés et du soutien à nos équipes d'ingénierie.
Audit interne et conformité
Une équipe de conformité dédiée examine les procédures et les politiques de Blitzz pour les aligner sur les normes et déterminer les contrôles, les processus et les systèmes nécessaires pour s'y conformer. Cette équipe effectue aussi des audits internes périodiques et facilite les audits et évaluations indépendants menés par des tiers.
Sécurité des terminaux
Tous les postes de travail fournis aux employés de Blitzz utilisent une version à jour du système d'exploitation et sont dotés d'un logiciel antivirus. Ils sont configurés conformément à nos normes de sécurité, qui exigent que tous les postes soient correctement configurés, mis à jour, suivis et surveillés par les solutions de gestion des terminaux de Blitzz. Ces postes sont sécurisés par défaut : ils chiffrent les données au repos, utilisent des mots de passe forts et se verrouillent lorsqu'ils sont inactifs. Les appareils mobiles utilisés à des fins professionnelles sont inscrits dans le système de gestion des appareils mobiles pour garantir qu'ils respectent nos normes de sécurité.
Sécurité physique
Au lieu de travail (bureau)
Nous contrôlons l'accès à nos ressources (bâtiments, infrastructures et installations), notamment leur utilisation et l'entrée dans les lieux, au moyen de cartes d'accès. Les employés, les entrepreneurs, les fournisseurs et les visiteurs reçoivent des clés d'accès différentes qui leur donnent accès uniquement aux zones liées à l'objet de leur présence. L'équipe des ressources humaines (RH) établit et tient à jour les accès propres à chaque rôle. Nous conservons des journaux d'accès pour repérer et corriger les anomalies.
Dans les centres de données
Blitzz s'est associée à Microsoft Azure pour l'infrastructure infonuagique servant à stocker et à traiter toutes les données. Dans nos centres de données, MS Azure est responsable du bâtiment, du refroidissement, de l'alimentation et de la sécurité physique. L'accès aux centres de données est limité à un petit groupe de personnes autorisées. Toute autre demande d'accès fait l'objet d'un billet et n'est accordée qu'après l'approbation des gestionnaires concernés. Une authentification à deux facteurs et une authentification biométrique sont aussi exigées pour entrer dans les lieux. Les journaux d'accès, les registres d'activité et les enregistrements vidéo sont disponibles en cas d'incident. Plus de détails : https://docs.microsoft.com/en-us/azure/security/fundamentals/physical-security
Sécurité de l'infrastructure
Sécurité du réseau
Nos techniques de sécurité et de surveillance du réseau offrent plusieurs couches de protection et de défense. Nous utilisons des pare-feu pour protéger notre réseau contre les accès non autorisés et le trafic indésirable. Nos systèmes sont segmentés en réseaux distincts pour protéger les données sensibles. Les systèmes servant aux tests et au développement sont hébergés dans un réseau distinct de ceux qui soutiennent l'infrastructure de production de Blitzz.
Nous surveillons l'accès aux pare-feu selon un calendrier strict et régulier. Un ingénieur réseau examine toutes les modifications apportées au pare-feu. Ces modifications sont aussi revues tous les trois mois pour mettre à jour et réviser les règles. Notre équipe dédiée du centre des opérations réseau surveille l'infrastructure et les applications pour déceler toute anomalie ou activité suspecte. Tous les paramètres essentiels sont surveillés en continu au moyen de notre outil exclusif, et des alertes sont déclenchées en cas d'activité anormale ou suspecte dans notre environnement de production.
Redondance du réseau
Tous les composants de notre plateforme sont redondants. Nous utilisons une architecture en grille distribuée pour protéger nos systèmes et services contre les effets d'éventuelles pannes de serveur. En cas de panne d'un serveur, les utilisateurs peuvent continuer à travailler normalement, car leurs données et les services Blitzz demeurent accessibles.
En savoir plus sur la reprise après sinistre.
Prévention des attaques DDoS
Nous utilisons les technologies de fournisseurs reconnus et fiables pour prévenir les attaques DDoS contre nos serveurs. Ces technologies offrent plusieurs moyens d'atténuation des attaques DDoS afin d'éviter les interruptions causées par le trafic malveillant tout en laissant passer le trafic légitime. Nos sites Web, nos applications et nos API demeurent ainsi hautement disponibles et performants.
Renforcement des serveurs
Tous les serveurs déployés pour le développement et les tests sont renforcés (désactivation des ports et des comptes inutilisés, suppression des mots de passe par défaut, etc.). L'image de base du système d'exploitation intègre ce renforcement, et cette image est déployée sur les serveurs pour assurer l'uniformité.
Détection et prévention des intrusions
Notre mécanisme de détection des intrusions tient compte des signaux propres à chaque appareil et des signaux réseau provenant de points de surveillance dans nos serveurs. Les accès administratifs, l'utilisation de commandes privilégiées et les appels système sur tous les serveurs de notre réseau de production sont journalisés. Des règles et de l'intelligence artificielle appliquées à ces données avertissent les ingénieurs en sécurité des incidents possibles. Au niveau applicatif, notre pare-feu applicatif Web (WAF) exclusif fonctionne avec des règles de liste blanche et de liste noire.
Sécurité des données
Sécurité dès la conception
Chaque modification et chaque nouvelle fonctionnalité sont encadrées par une politique de gestion des changements qui garantit que toute modification de l'application est autorisée avant sa mise en production. Notre cycle de développement logiciel (SDLC) exige le respect de lignes directrices de codage sécurisé ainsi que l'analyse des modifications de code pour détecter d'éventuels problèmes de sécurité au moyen d'outils d'analyse de code, de scanneurs de vulnérabilités et de revues manuelles.
Notre cadre de sécurité robuste, fondé sur les normes OWASP et mis en œuvre au niveau applicatif, permet d'atténuer des menaces comme l'injection SQL, le script intersite (XSS) et les attaques par déni de service au niveau applicatif.
Stockage personnalisé pour l'isolement des données
Notre cadre répartit et gère l'espace infonuagique de nos clients en leur permettant d'utiliser leurs propres points de stockage sur AWS ou Azure (en savoir plus). Ainsi, les médias d'un client ne peuvent pas être accessibles à un autre client. Vos données vous appartiennent, et non à Blitzz. Nous ne communiquons pas ces données à des tiers.
Chiffrement
Au repos : Les données sensibles des clients au repos sont chiffrées selon la norme AES (Advanced Encryption Standard) 256 bits. Les données chiffrées au repos varient selon les services choisis. Nous possédons et gérons les clés au moyen de notre service interne de gestion des clés (KMS). Nous ajoutons des couches de sécurité en chiffrant les clés de chiffrement des données à l'aide de clés maîtresses. Les clés maîtresses et les clés de chiffrement des données sont physiquement séparées et stockées sur des serveurs différents à accès restreint.
En transit : Toutes les données des clients transmises à nos serveurs sur des réseaux publics sont protégées par des protocoles de chiffrement robustes. Nous exigeons que toutes les connexions à nos serveurs utilisent le chiffrement TLS (Transport Layer Security 1.2/1.3) avec des suites de chiffrement robustes, notamment pour l'accès Web, l'accès API et nos applications mobiles. Cela garantit une connexion sécurisée en authentifiant les deux parties et en chiffrant les données transférées. Pour les courriels, nos services utilisent aussi le TLS opportuniste par défaut. TLS chiffre et achemine les courriels de façon sécurisée, ce qui limite l'écoute clandestine entre serveurs de messagerie lorsque ceux-ci prennent en charge ce protocole.
Nous avons activé l'en-tête HTTP Strict Transport Security (HSTS) sur toutes nos connexions Web. Il indique aux navigateurs modernes de se connecter à nous uniquement par une connexion chiffrée, même si vous tapez l'URL d'une page non sécurisée de notre site.
Conservation et élimination des données
Consultez cet article sur le stockage des données et leur durée de conservation selon votre forfait.
Gestion des identités et des accès
Fonctionnement de l'authentification
- Chaque fois qu'un utilisateur veut accéder à Blitzz à partir du Web, d'une extension ou des applications mobiles, il est automatiquement redirigé vers la page de connexion Blitzz Accounts.
- Les identifiants de connexion sont transmis au serveur Blitzz Accounts pour l'authentification.
- Une fois l'authentification réussie, un témoin (cookie) est défini pour la session de l'utilisateur, qui est redirigé vers son domaine.
- Les données sont toujours transmises par une connexion SSL/TLS sécurisée
- Toutes les données au repos sont chiffrées en AES 256 bits
- Les employés de Blitzz ne peuvent pas voir les données des utilisateurs en texte clair
Authentification unique (SSO)
Blitzz offre l'authentification unique (SSO), qui permet aux utilisateurs d'accéder à plusieurs services avec la même page de connexion et les mêmes identifiants. Nous prenons aussi en charge SAML pour l'authentification unique, ce qui permet aux clients d'intégrer le fournisseur d'identité de leur entreprise, comme LDAP ou ADFS, lorsqu'ils se connectent à Blitzz.
Le SSO simplifie la connexion, assure la conformité, offre un contrôle d'accès et des rapports efficaces et réduit le risque de lassitude liée aux mots de passe, et donc de mots de passe faibles.
Authentification multifacteur
L'authentification multifacteur (AMF) ajoute une couche de sécurité en exigeant une vérification supplémentaire en plus du mot de passe. Elle réduit grandement le risque d'accès non autorisé si le mot de passe d'un utilisateur est compromis. Vous pouvez configurer l'AMF au moyen du SSO. Selon votre configuration, différents modes peuvent être pris en charge, comme la biométrie Touch ID ou Face ID, les notifications poussées, le code QR et les mots de passe à usage unique basés sur le temps (TOTP). Nous pouvons aussi prendre en charge la clé de sécurité matérielle Yubikey pour l'AMF.
Accès administratif
Nous appliquons des contrôles d'accès techniques et des politiques internes qui interdisent aux employés d'accéder arbitrairement aux données des utilisateurs. Nous respectons les principes du moindre privilège et des autorisations fondées sur les rôles pour réduire le risque d'exposition des données.
L'accès aux environnements de production est géré par un annuaire central et authentifié au moyen d'une combinaison de mots de passe forts, d'authentification à deux facteurs et de clés SSH protégées par phrase de passe. Cet accès passe aussi par un réseau distinct doté de règles plus strictes et d'appareils renforcés. De plus, nous journalisons toutes les opérations et les vérifions périodiquement.
Sécurité opérationnelle
Journalisation et surveillance
Nous surveillons et analysons les informations recueillies à partir des services, du trafic interne de notre réseau et de l'utilisation des appareils et des terminaux. Ces informations sont consignées dans des journaux d'événements, d'audit, d'erreurs, d'administrateur et d'opérateur. Ces journaux sont surveillés et analysés automatiquement, dans une mesure raisonnable, pour nous aider à repérer des anomalies comme une activité inhabituelle dans les comptes des employés ou des tentatives d'accès aux données des clients. Nous stockons ces journaux sur un serveur sécurisé isolé de l'accès complet au système, gérons le contrôle d'accès de façon centralisée et en assurons la disponibilité.
Gestion des vulnérabilités
Nous avons un processus dédié de gestion des vulnérabilités qui détecte activement les menaces au moyen d'outils d'analyse tiers certifiés et d'outils internes, ainsi que de tests d'intrusion automatisés et manuels. Notre équipe de sécurité examine aussi activement les signalements de sécurité reçus et surveille les listes de diffusion publiques, les blogues et les wikis pour repérer les incidents de sécurité susceptibles de toucher l'infrastructure de l'entreprise.
Lorsqu'une vulnérabilité à corriger est repérée, elle est consignée, priorisée selon sa gravité et assignée à un responsable. Nous déterminons ensuite les risques associés et suivons la vulnérabilité jusqu'à sa résolution, soit par l'application de correctifs aux systèmes vulnérables, soit par la mise en place de contrôles appropriés.
Reprise après sinistre et continuité des affaires
Consultez notre article Reprise après sinistre et continuité des affaires pour plus de détails.
Gestion des incidents
Signalement
Nous avons une équipe dédiée à la gestion des incidents. Nous vous informons des incidents survenus dans notre environnement qui vous concernent, ainsi que des mesures que vous pourriez devoir prendre. Nous suivons et fermons les incidents en appliquant les mesures correctives appropriées. Au besoin, nous repérons, recueillons, obtenons et vous fournissons les preuves nécessaires sous forme de journaux d'application et d'audit liés aux incidents qui vous concernent. Nous mettons aussi en place des contrôles pour éviter que des situations semblables se reproduisent.
Nous traitons en priorité les incidents de sécurité ou de confidentialité que vous nous signalez à incidents@blitzz.co. Pour les incidents d'ordre général, nous informons les utilisateurs au moyen de nos blogues, de nos forums et des médias sociaux. Pour les incidents propres à un utilisateur ou à une organisation, nous avisons la partie concernée par courriel (à l'adresse principale de l'administrateur de l'organisation inscrite chez nous).
Avis de violation
Conformément au Règlement général sur la protection des données (RGPD), nous avisons l'autorité de protection des données concernée de toute violation dans les 72 heures après en avoir pris connaissance. Selon les exigences applicables, nous avisons aussi les clients au besoin. Notre bureau de la sécurité de l'information coordonne à l'interne les équipes concernées pour que les clients soient informés de l'incident ou de la violation sans retard injustifié.
Gestion des fournisseurs et des tiers
Nous évaluons et qualifions nos fournisseurs selon notre politique de gestion des fournisseurs. Nous intégrons de nouveaux fournisseurs après avoir compris leurs processus de prestation de services et effectué des évaluations des risques. Nous prenons les mesures appropriées pour maintenir notre niveau de sécurité en concluant des ententes qui obligent les fournisseurs à respecter les engagements de confidentialité, de disponibilité et d'intégrité que nous avons pris envers nos clients. Nous vérifions le bon fonctionnement de leurs processus et de leurs mesures de sécurité au moyen d'examens périodiques de leurs contrôles.
Conclusion
La sécurité de vos données est votre droit et une mission permanente pour Blitzz. Nous continuerons de travailler fort pour protéger vos données, comme nous l'avons toujours fait. Pour toute question à ce sujet, écrivez-nous à support@blitzz.co.