Description de la sécurité des services

La présente Description de la sécurité est intégrée aux Conditions de service de Keybe et en fait partie, telles que prévues par les conditions générales acceptées par le Client, ou par un Contrat-cadre de vente signé, ou par tout autre accord écrit similaire conclu entre Keybe et le Client, ci-après dénommé le « Contrat ». Dans la présente Description de la sécurité des Services de Keybe (la « Description de la sécurité »), les références à « Keybe » désignent collectivement KEYBE INC., 2915 Biscayne Blvd. Suite 300 Miami, FL 33137, et ses Sociétés affiliées. Le terme « Client » vous désigne, vous, le Client, ainsi que vos Sociétés affiliées.
Objectif. Keybe s'engage à préserver la confiance de ses clients. La présente Description de la sécurité a pour objet de décrire le programme de sécurité applicable aux Services de Keybe (les « Services »). Elle décrit les normes de sécurité minimales que Keybe applique afin de protéger les Données du Client (telles que définies dans l'Accord) contre toute utilisation, tout accès, toute divulgation, tout vol ou toute manipulation non autorisés. En complément de la présente Description de la sécurité, la documentation de sécurité de l'API de Keybe. Les menaces de sécurité évoluant en permanence, Keybe continue de mettre à jour son programme et sa stratégie de sécurité afin de contribuer à la protection des Données du Client. Keybe se réserve le droit de mettre à jour la présente Description de la sécurité de temps à autre ; toutefois, aucune mise à jour ne réduira de manière substantielle les protections générales prévues par la présente Description de la sécurité. Tout terme commençant par une majuscule qui n'est pas défini dans la présente Description de la sécurité a le sens qui lui est donné dans l'Accord de confidentialité
Services couverts. La présente Description de la sécurité décrit l'architecture, les contrôles administratifs, techniques et physiques, ainsi que les certifications d'audit de sécurité délivrées par des tiers, applicables aux Services. Les Offres bêta et tous les services fournis par les opérateurs de télécommunications intervenant dans l'acheminement, par les prestataires de divers services et dans la connexion des communications du Client ne sont pas couverts par la présente Description de la sécurité.
Organisation et programme de sécurité. Keybe met en œuvre un programme d'évaluation de la sécurité fondé sur les risques. Le cadre du programme de sécurité de Keybe comprend des mesures de protection administratives, techniques et physiques raisonnablement conçues pour protéger la confidentialité, l'intégrité et la disponibilité des données du client. Le programme de sécurité de Keybe se veut adapté à la nature des Services fournis ainsi qu'à la taille et à la complexité des activités de Keybe. Keybe dispose d'une équipe dédiée à la gestion du programme de sécurité. Cette équipe facilite et accompagne les audits et évaluations réalisés par des tiers indépendants. Le cadre de sécurité de Keybe repose sur le Système de management de la sécurité de l'information ISO 27001 , actuellement en cours de certification, et comprend des programmes couvrant : les politiques et procédures, la gestion des actifs, la gestion des accès, la cryptographie, la sécurité physique, la sécurité des opérations, la sécurité des communications, la sécurité de la continuité d'activité, la sécurité liée aux personnes, la sécurité des produits, la sécurité de l'infrastructure cloud et réseau, la conformité en matière de sécurité, la sécurité des tiers, la gestion des vulnérabilités, ainsi que la supervision de la sécurité et la réponse aux incidents. La sécurité est représentée au plus haut niveau de l'entreprise : le Head of Trust and Safety de Keybe rencontre régulièrement le Conseil d'administration afin d'examiner les enjeux et de coordonner les initiatives de sécurité à l'échelle de l'entreprise. Les politiques et normes de sécurité de l'information sont revues et approuvées par la direction au moins une fois par an et sont mises à la disposition de l'ensemble des collaborateurs de Keybe pour consultation.
1. Confidentialité. Keybe dispose de contrôles destinés à préserver la confidentialité des Données du Client que le Client met à disposition des Services, conformément à l'Accord. L'ensemble des collaborateurs et du personnel sous contrat de Keybe sont tenus, par des politiques internes et par un contrat signé, de préserver la confidentialité des données du client, et sont contractuellement liés par ces obligations. Par ailleurs, Keybe mène des enquêtes indépendantes sur les comportements et les procédures de ses collaborateurs et fournisseurs.
Sécurité liée aux personnes.
1. Vérification des antécédents des collaborateurs. Keybe procède à des vérifications des antécédents des personnes qui rejoignent Keybe, conformément aux lois locales applicables. Keybe vérifie actuellement la formation et les emplois antérieurs de la personne, et procède également à des vérifications de références. Lorsque le droit du travail local ou la réglementation en vigueur le permettent, et selon la fonction ou le poste du futur collaborateur, Keybe peut également effectuer des vérifications relatives aux antécédents judiciaires, à la solvabilité, à la situation au regard de l'immigration et à la sécurité.
2. Formation des collaborateurs. Au moins une fois par an, tous les collaborateurs de Keybe doivent suivre une formation à la sécurité et à la protection de la vie privée portant sur les politiques de sécurité, les bonnes pratiques de sécurité et les principes de protection de la vie privée. Les collaborateurs en congé peuvent bénéficier d'un délai supplémentaire pour suivre cette formation annuelle. L'équipe de sécurité dédiée de Keybe mène également des campagnes de sensibilisation à l'hameçonnage (phishing) et informe les collaborateurs des menaces émergentes. Keybe a en outre mis en place une ligne d'alerte anonyme permettant aux collaborateurs de signaler tout comportement contraire à l'éthique, lorsque le signalement anonyme est légalement autorisé.
Gestion des prestataires tiers
1. Évaluation des fournisseurs. Keybe peut faire appel à des prestataires tiers pour fournir les Services. Avant toute collaboration, Keybe réalise une évaluation de sécurité fondée sur les risques des fournisseurs potentiels, afin de s'assurer qu'ils satisfont aux exigences de sécurité. Keybe examine périodiquement chaque prestataire au regard de ses normes de continuité d'activité et de sécurité, notamment le type d'accès et la classification des données consultées, les contrôles nécessaires à la protection des données et les exigences légales et réglementaires. Keybe veille à ce que les données du client soient restituées et/ou supprimées à la fin de la relation avec le prestataire. Pour éviter toute ambiguïté, les opérateurs de télécommunications ne sont pas considérés comme des sous-traitants de Keybe.
2. Accords avec les fournisseurs. Keybe conclut des accords écrits avec l'ensemble de ses fournisseurs, comportant des obligations de confidentialité, de protection de la vie privée et de sécurité qui assurent un niveau de protection adéquat des données personnelles contenues dans les données du client que ces fournisseurs sont susceptibles de traiter. Keybe mène des recherches et des évaluations continues des pratiques de ses prestataires, au moins une fois par an.
Architecture et séparation des données. La plateforme de communication cloud des Services de Keybe est hébergée sur Google Cloud Platform (« GCP »). L'infrastructure des centres de données GCP utilisée pour fournir les Services de Keybe est actuellement située aux États-Unis. De plus amples informations sur la sécurité assurée par GCP sont disponibles sur la page web dédiée à la sécurité, à l'adresse https://cloud.google.com/security. L'environnement de production de Keybe au sein de GCP, où se trouvent les données du client et les applications destinées aux clients, est un cloud privé virtuel (VPC) logiquement isolé.
Conception de la sécurité de l'infrastructure. Keybe s'appuie sur la conception de sécurité de GCP et l'utilise. Vous pouvez consulter les informations correspondantes à l'adresse https://cloud.google.com/security/infrastructure/design
Contrôles d'accès.
1. Attribution des accès. Afin de réduire au minimum le risque d'exposition des données, Keybe applique le principe du moindre privilège au moyen d'un modèle de contrôle d'accès par équipe lors de l'attribution des accès au système. Le personnel de Keybe est autorisé à accéder aux données du client en fonction de son poste, de son rôle et de ses responsabilités, et cet accès requiert l'approbation du directeur du service auquel appartient le collaborateur. Les droits d'accès aux environnements de production sont réexaminés au moins tous les six mois. L'accès d'un collaborateur aux Données du Client est rapidement supprimé à la fin de son contrat de travail. Pour accéder à l'environnement de production, un utilisateur autorisé doit disposer d'un nom d'utilisateur et d'un mot de passe uniques, d'une authentification multifacteur, et être connecté au réseau privé virtuel (VPN) de Keybe. Avant qu'un ingénieur ne se voie accorder l'accès à l'environnement de production, cet accès doit être approuvé par la direction et l'ingénieur doit suivre une formation interne relative à cet accès, notamment sur les systèmes des équipements correspondants. Keybe enregistre les actions à haut risque et les modifications apportées à l'environnement de production. Keybe s'appuie sur l'automatisation pour détecter tout écart par rapport aux normes techniques internes susceptible de révéler une activité anormale ou non autorisée, et déclencher une alerte dans les minutes qui suivent une modification de configuration.
  1. Contrôle des mots de passe. La politique actuelle de Keybe en matière de gestion des mots de passe des collaborateurs suit le guide NIST 800-63B. À ce titre, notre politique consiste à utiliser des mots de passe plus longs, associés à une authentification multifacteur, sans exiger de caractères spéciaux ni de changements fréquents. Lorsqu'un client se connecte à son compte Keybe, Keybe hache les identifiants de l'utilisateur avant de les stocker. Un client peut également exiger de ses utilisateurs qu'ils ajoutent une couche de sécurité supplémentaire à leur compte au moyen de l'authentification à deux facteurs (2FA).
  2. Gestion des changements. Keybe dispose d'un processus formel de gestion des changements pour encadrer les modifications apportées aux logiciels, aux applications et aux logiciels système destinés à être déployés dans l'environnement de production. Les demandes de changement sont documentées au moyen d'un système d'enregistrement formel et auditable. Avant tout changement à haut risque, une évaluation est réalisée afin d'examiner l'impact et le risque du changement demandé, les tests de validation du changement, l'approbation du déploiement en production par les approbateurs compétents et les procédures de retour arrière. Les changements sont examinés et testés avant leur mise en production.
Secure Socket Layer. Keybe utilise le protocole SSL (Secure Socket Layer), technologie de sécurité standard permettant d'établir une liaison chiffrée entre les serveurs web de Keybe et un navigateur. Cette liaison sécurisée garantit la confidentialité de toutes les données transférées. Ce protocole est également appelé TLS (Transport Layer Security). Vous trouverez l'ensemble des informations à l'adresse : https://www.cloudflare.com/ssl/
Pare-feu applicatif web (WAF). Chaque requête adressée au WAF est inspectée à l'aide du moteur de règles et de renseignements sur les menaces issus de la protection d'environ 25 millions de sites web. Les requêtes suspectes peuvent être bloquées, soumises à vérification ou journalisées selon les besoins de Keybe, tandis que les requêtes légitimes sont acheminées vers leur destination, qu'elle soit sur site ou dans le cloud. L'ensemble des informations sur ce service est disponible à l'adresse : https://www.cloudflare.com/waf/
Gestion des vulnérabilités. Keybe applique des contrôles et des politiques visant à atténuer le risque de vulnérabilités de sécurité dans un délai mesurable, qui concilie les risques et les exigences commerciales et opérationnelles. Keybe utilise un outil tiers reconnu pour effectuer des analyses de vulnérabilités régulières afin d'évaluer les vulnérabilités de son infrastructure cloud et de ses systèmes d'entreprise. Les correctifs logiciels critiques sont évalués, testés et appliqués de manière proactive. Pour les services de Keybe, les correctifs du système d'exploitation sont appliqués par la reconstruction d'une image de machine virtuelle de base, puis déployés sur l'ensemble des nœuds du cluster selon un calendrier prédéfini. Pour les correctifs à haut risque, Keybe procède à un déploiement direct sur les nœuds existants au moyen d'outils d'orchestration développés en interne.
Tests d'intrusion. Keybe réalise des tests d'intrusion et fait appel à des entités tierces indépendantes pour effectuer des tests d'intrusion au niveau applicatif. Les résultats des tests d'intrusion sont rapidement hiérarchisés, analysés et corrigés par l'équipe de sécurité de Keybe.
1. Gestion des incidents de sécurité. Keybe applique des politiques et procédures de gestion des incidents de sécurité conformes à la norme NIST SP 800-61. L'équipe de réponse aux incidents de sécurité de Keybe évalue la menace que représente chaque vulnérabilité ou incident de sécurité pertinent et définit des mesures de correction et d'atténuation pour chaque événement. Keybe conserve les journaux de sécurité pendant 360 jours. L'accès à ces journaux de sécurité est réservé à la direction générale. Keybe utilise des outils et services tiers pour détecter et atténuer les attaques par déni de service distribué (DDoS) et contribuer à les prévenir.
Détection, investigation et notification d'un incident de sécurité. Dès la détection ou la notification de tout incident de sécurité, Keybe :
1. mènera sans délai une investigation sur ledit Incident de sécurité ;
2. dans la mesure permise par la loi applicable, en informera sans délai le Client. Le Client recevra une notification à l'adresse e-mail associée au compte Keybe ;
3. prendra les mesures nécessaires et les mesures correctives requises pour résoudre l'incident dans les meilleurs délais.
Résilience et continuité de service. L'infrastructure de Keybe s'appuie sur divers outils et mécanismes pour assurer une haute disponibilité et une résilience élevée. Elle s'étend sur plusieurs Zones de disponibilité GCP indépendantes en cas de panne, situées dans des régions géographiques physiquement distinctes. Pour les services de Keybe, des capacités manuelles ou automatiques permettent de rediriger et de régénérer les hôtes au sein de l'infrastructure Keybe. L'infrastructure est en mesure de détecter et de réacheminer en temps réel les problèmes rencontrés par des hôtes, voire par des centres de données entiers, et de recourir à des outils d'orchestration capables de régénérer les hôtes en les reconstruisant à partir de la dernière sauvegarde. Keybe utilise des outils spécialisés qui surveillent les performances des serveurs, les données et la capacité de charge du trafic au sein de chaque Zone de disponibilité et de chaque centre de données en colocation. Si des performances serveur insuffisantes ou une surcharge de capacité sont détectées sur un serveur d'une Zone de disponibilité ou d'un centre de données en colocation, ces outils spécialisés augmenteront la capacité ou réorienteront le trafic afin de remédier à toute insuffisance de performance ou surcharge de capacité. Keybe dispose de notifications de différents niveaux qui se déclenchent immédiatement et est en mesure d'agir sans délai pour corriger les causes de ces problèmes si les outils spécialisés n'y parviennent pas.
Sauvegarde et restauration. Keybe sauvegarde régulièrement les informations de compte, les journaux, les enregistrements, les conversations, les documents et les autres données critiques au moyen du stockage cloud de GCP. Les données de sauvegarde sont conservées de manière redondante dans plusieurs Zones de disponibilité et sont chiffrées en transit et au repos au moyen d'un chiffrement côté serveur 256 bits conforme à l'Advanced Encryption Standard (AES-256).