SÉCURITÉ PHYSIQUE
Afin d’offrir un logiciel de service client sécurisé, cela commence par la sécurité physique : les installations dans lesquelles les serveurs Faveo Helpdesk sont situés dans l’UE, les centres de données de niveau III, sont chacun alimentés par une alimentation redondante, avec des UPS et des générateurs de secours.
Sécurité sur site Nos installations de centre de données disposent d’un périmètre sécurisé avec des zones de sécurité à plusieurs niveaux, une sécurité humaine 24h/24 et 7j/7, une vidéosurveillance CCTV, une identification multifacteur avec contrôle d’accès biométrique, des verrous physiques et des alarmes de violation de sécurité.
Les clients peuvent choisir de localiser leurs données dans le centre de données de l’UE.
SÉCURITÉ INTERNET
Afin de fournir un logiciel de service client sécurisé sur Internet, la sécurité du réseau doit faire l’objet d’une attention particulière. La politique de sécurité de Faveo Helpdesk gère la sécurité du réseau avec les méthodes répertoriées ci-dessous.
Équipe de sécurité dédiée
Notre équipe de sécurité est disponible pour répondre aux alertes et événements de sécurité.
Protection du réseau
Notre réseau est protégé par des pare-feu redondants de couche 7, la meilleure technologie de routeur de sa catégorie, un transport HTTPS sécurisé sur les réseaux publics, des audits réguliers et des technologies de détection/prévention des intrusions sur le réseau (IDS/IPS) qui surveillent et bloquent le trafic malveillant et les attaques réseau.
Architecture de réseau
Notre architecture de sécurité réseau se compose de plusieurs zones de sécurité de confiance. Les systèmes plus sensibles, comme nos serveurs de bases de données, sont protégés dans nos zones les plus fiables. D’autres systèmes sont hébergés dans des zones proportionnées à leur sensibilité, en fonction de la fonction, de la classification des informations et du risque. Selon la zone, une surveillance de sécurité et des contrôles d’accès supplémentaires s’appliqueront.
Les DMZ sont utilisées entre Internet et en interne, entre les différentes zones de confiance.
Analyse des vulnérabilités du réseau
L’analyse de la sécurité du réseau nous donne des informations approfondies pour une identification rapide des systèmes non conformes ou potentiellement vulnérables.
Gestion des événements et incidents de sécurité (SIEM)
Un système de gestion des événements et des incidents de sécurité (SIEM) rassemble des journaux complets provenant de périphériques réseau importants et de systèmes hôtes. Le SIEM crée des déclencheurs qui informent l’équipe de sécurité en fonction d’événements corrélés. L’équipe de sécurité répond à ces événements.
Détection et prévention des intrusions
Les principaux points d’entrée et de sortie des flux de données des applications sont surveillés à l’aide de systèmes de détection d’intrusion (IDS) ou de systèmes de prévention d’intrusion (IPS). Les systèmes sont configurés pour générer des alertes lorsque les incidents et les valeurs dépassent des seuils prédéterminés et utilisent des signatures régulièrement mises à jour en fonction des nouvelles menaces. Cela inclut la surveillance du système.
Programme de renseignement sur les menaces
Faveo Helpdesk participe à plusieurs programmes de partage de renseignements sur les menaces. Nous surveillons les menaces publiées sur ces réseaux de renseignements sur les menaces et prenons des mesures en fonction de nos risques et de notre exposition.
Atténuation DDoS En plus de nos propres capacités et outils, nous passons des contrats avec des fournisseurs de nettoyage DDoS à la demande pour atténuer les attaques par déni de service distribué (DDoS).
Accès logique
L’accès logique au réseau de production Faveo Helpdesk est limité par un besoin explicite de savoir, utilise le moindre privilège, est fréquemment audité et surveillé et est contrôlé par notre équipe des opérations. Les employés accédant au réseau de production Faveo Helpdesk doivent utiliser plusieurs facteurs d’authentification.
Réponse aux incidents de sécurité
En cas d’alerte système, les événements sont transmis à nos équipes 24h/24 et 7j/7 qui assurent la couverture des opérations, de l’ingénierie réseau et de la sécurité. Les employés sont formés aux processus de réponse aux incidents de sécurité, y compris les canaux de communication et les voies d’escalade.
CHIFFREMENT
Cryptage en transit Les communications entre vous et les serveurs Faveo Helpdesk sont cryptées via les meilleures pratiques du secteur HTTPS et Transport Layer Security (TLS).
Chiffrement au repos Faveo Helpdesk prend en charge le chiffrement des données client au repos.
*Uniquement disponible avec le module complémentaire de sécurité avancée
SÉCURITÉ DES APPLICATIONS
Il est impossible d’obtenir un logiciel de service client 100 % sécurisé sans que les mesures de sécurité soient appliquées au niveau de l’application. nous prenons différentes mesures pour sécuriser Faveo Helpdesk au niveau de l’application.
DÉVELOPPEMENT SÉCURISÉ (SDLC)
Formation à la sécurité Au moins une fois par an, les ingénieurs participent à une formation sur le code sécurisé. Cette formation couvre les 10 principales failles de sécurité de l’OWASP, les vecteurs d’attaque courants et les contrôles de sécurité du Helpdesk Faveo.
Contrôles de sécurité du framework Faveo Helpdesk
Nous utilisons les contrôles de sécurité du framework PHP pour limiter l’exposition aux 10 principales failles de sécurité de l’OWASP. Ceux-ci incluent des contrôles inhérents qui réduisent notre exposition au Cross Site Scripting (XSS), au Cross Site Request Forgery (CSRF) et à l’injection SQL (SQLi), entre autres.
QA Notre service QA examine et teste notre base de code. Plusieurs ingénieurs dédiés à la sécurité des applications parmi le personnel identifient, testent et trient les vulnérabilités de sécurité dans le code.
Environnements séparés Les environnements de test et de préparation sont séparés physiquement et logiquement de l’environnement de production. Aucune donnée client réelle n’est utilisée dans les environnements de développement ou de test.
VULNÉRABILITÉS DES APPLICATIONS
Vulnérabilité dynamique Balayage
Nous utilisons un certain nombre d’outils de sécurité tiers qualifiés pour analyser en permanence notre application. Faveo Helpdesk est régulièrement analysé par rapport aux 10 failles de sécurité OWASP. Nous maintenons une équipe interne dédiée à la sécurité des produits pour tester et travailler avec les équipes d’ingénierie pour résoudre tout problème découvert.
Analyse du code statique
Nos référentiels de code source, tant pour notre plateforme que pour nos applications mobiles, sont analysés en permanence pour détecter les problèmes de sécurité via notre outil d’analyse statique intégré.
CARACTÉRISTIQUES DE SÉCURITÉ DU PRODUIT
DÉVELOPPEMENT SÉCURISÉ (SDLC)
- Pas de mots de passe en texte brut – Cryptage des mots de passe dans le stockage de la base de données
- Politique de mot de passe configurable
- Authentification à deux facteurs
CARACTÉRISTIQUES SUPPLÉMENTAIRES DE SÉCURITÉ DU PRODUIT
Accès aux privilèges et aux rôles
Privilèges et rôles d’accès L’accès aux données au sein de votre Helpdesk Faveo est régi par des droits d’accès et peut être configuré pour définir des privilèges d’accès granulaires.
Faveo Helpdesk dispose de différents niveaux d’autorisation pour les utilisateurs (propriétaire, administrateur, agent, utilisateur final, etc.) accédant à votre instance Faveo Helpdesk.
Restrictions IP
Votre Helpdesk Faveo peut être configuré pour autoriser uniquement l’accès à partir de plages d’adresses IP spécifiques que vous définissez. Ces restrictions peuvent être appliquées à tous les utilisateurs ou uniquement à vos agents.
Sécurité des transmissions
Toutes les communications avec les serveurs Faveo Helpdesk sont cryptées à l’aide du protocole HTTPS standard de l’industrie. Cela garantit que tout le trafic entre vous et Faveo Helpdesk est sécurisé pendant le transit.
De plus, pour le courrier électronique, notre produit prend en charge Transport Layer Security (TLS), un protocole qui crypte et transmet le courrier électronique en toute sécurité, atténuant ainsi les écoutes clandestines et l’usurpation d’identité entre les serveurs de messagerie.
Signature d’e-mails (DKIM/DMARC)
Nous prenons en charge DKIM (Domain Keys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting & Conformance) pour la signature des e-mails sortants de Faveo Helpdesk lorsque vous avez configuré un domaine de messagerie externe sur votre Faveo Helpdesk.
L’utilisation d’un service de messagerie prenant en charge ces fonctionnalités vous permet d’arrêter l’usurpation d’e-mail.
Notre politique de divulgation responsable
