Sécurité

Mis à jour le 5 septembre 2023

La sécurité et la conformité sont des priorités absolues pour Nabla, car elles sont fondamentales pour votre expérience avec le produit. Nabla s'engage à sécuriser les données de votre application, à éliminer la vulnérabilité des systèmes et à garantir la continuité de l'accès.

Nabla utilise une variété de technologies, de services et de processus conformes aux normes de l'industrie pour protéger vos données contre tout accès non autorisé, toute divulgation, toute utilisation et toute perte.

Sécurité de l'organisation

Programme de sécurité de l'information

Nous avons mis en place un programme de sécurité de l'information qui est communiqué à l'ensemble de l'organisation. Notre programme de sécurité de l'information suit les critères définis par les cadres SOC 2 Type II et ISO 27001 et a obtenu les certifications associées.

Audits par des tiers

Notre organisation est soumise à des évaluations indépendantes par des tiers afin de tester nos contrôles de sécurité et de conformité.

Tests de pénétration par des tiers

Nous procédons à une intrusion par un tiers indépendant au moins une fois par an afin de garantir la sécurité de nos services sans faille.

Détection des intrusions

Les modèles de réseau inhabituels ou les comportements suspects figurent parmi les principales préoccupations de Nabla en matière d'hébergement et de gestion des infrastructures. Le système de détection d'intrusion (IDS) de Google Cloud Platform repose sur la sécurité basée sur les signatures pour identifier les modèles de trafic similaires aux méthodes d'attaque connues.

Nabla ne fournit pas d'accès direct à l'analyse des événements de sécurité, mais fournit un accès aux équipes d'ingénierie et de support client pendant et après toute interruption imprévue.

Rôles et responsabilités

Les rôles et responsabilités liés à notre programme de sécurité de l'information et à la protection des données de nos clients sont bien définis et documentés. Les membres de notre équipe sont tenus de revoir et d'accepter toutes les politiques de sécurité.

Formation de sensibilisation à la sécurité

Les membres de notre équipe sont tenus de suivre une formation de sensibilisation à la sécurité des employés couvrant les pratiques standard du secteur et des sujets liés à la sécurité de l'information tels que le phishing et la gestion des mots de passe.

Confidentialité

Tous les membres de l'équipe sont tenus de signer et de respecter un accord de confidentialité conforme aux normes de l'industrie avant leur premier jour de travail.

Protection contre les programmes malveillants

Chez Nabla, nous pensons que les bonnes pratiques de sécurité commencent par notre propre équipe. Nous faisons donc tout notre possible pour nous protéger contre les menaces internes et les vulnérabilités locales. Toutes les stations de travail fournies par l'entreprise sont inscrites à la gestion des appareils mobiles (MDM) pour appliquer les paramètres de sécurité, notamment le cryptage complet du disque, le verrouillage de l'écran et une politique de mots de passe sécurisés.

Sécurité du cloud

Sécurité de l'infrastructure cloud

Tous nos services sont hébergés sur Google Cloud Platform. Ils utilisent un programme de sécurité robuste avec de multiples certifications. Pour plus d'informations sur les processus de sécurité de notre fournisseur, rendez-vous sur Sécurité GCP.

Sécurité de l'hébergement des données

Toutes nos données sont hébergées dans les bases de données et les compartiments de stockage de Google Cloud Platform. Ces bases de données se trouvent dans la région que vous avez choisie lors de la création de votre organisation.

Chiffrement au repos

Toutes les données sont cryptées au repos à l'aide de la norme AES-256. Google Cloud Platform stocke et gère les clés de chiffrement des données dans son service de gestion de clés redondant et distribué dans le monde entier. Ainsi, si un intrus pouvait accéder à l'un des périphériques de stockage physiques, les données Nabla qu'il contient seraient toujours impossibles à déchiffrer sans les clés, faisant de ces informations un fouillis inutile de caractères aléatoires.

Le chiffrement au repos permet également des mesures de continuité telles que la sauvegarde et la gestion de l'infrastructure sans compromettre la sécurité et la confidentialité des données.

Chiffrement en transit

Nabla envoie exclusivement des données via des connexions cryptées TLS (Transport Layer Security) HTTPS pour une sécurité accrue lorsque les données transitent vers et depuis l'application et les API.

Analyse des vulnérabilités

Nous analysons les vulnérabilités et surveillons activement les menaces.

Enregistrement et surveillance

Nous surveillons et enregistrons activement divers services cloud.

Haute disponibilité

Chaque partie du service Nabla utilise des serveurs redondants correctement provisionnés (par exemple, plusieurs équilibreurs de charge, serveurs Web, bases de données répliques) en cas de panne. Dans le cadre de la maintenance régulière, les serveurs sont mis hors service sans affecter leur disponibilité.

Continuité des activités et reprise après sinistre

Nabla conserve des sauvegardes cryptées des données dans plusieurs régions sur Google Cloud Platform. Bien que cela n'ait jamais été prévu, en cas de perte de données de production (c'est-à-dire de perte de magasins de données principaux), nous restaurerons les données organisationnelles à partir de ces sauvegardes.

Nous utilisons des services de surveillance pour alerter l'équipe en cas de panne affectant les utilisateurs.

Réponse aux incidents

Nous disposons d'un processus de gestion des événements liés à la sécurité de l'information qui comprend des procédures d'escalade, une atténuation rapide et des communications.

Sécurité de l'accès

Contrôle d'accès physique

Nabla est hébergé sur Plateforme Google Cloud. Les centres de données de Google disposent d'un modèle de sécurité à plusieurs niveaux, comprenant des garanties étendues telles que :

• Cartes d'accès électroniques personnalisées
• Alarmes
• Barrières d'accès pour véhicules
• Clôture périmétrique
• Détecteurs de métaux
• Biométrie

Selon le Livre blanc sur la sécurité de Google: les centres de données de Google mettent également en œuvre « des mesures de sécurité telles que la détection des intrusions par faisceau laser et la surveillance 24h/24 et 7j/7 par des caméras intérieures et extérieures haute résolution » pour détecter et suivre les intrus. En outre, « les journaux d'accès, les enregistrements d'activité et les images des caméras sont disponibles en cas d'incident » et « des agents de sécurité expérimentés, qui ont suivi des vérifications d'antécédents et une formation rigoureuses, patrouillent régulièrement » dans les centres de données de Google.

Les employés de Nabla n'ont pas d'accès physique aux centres de données, aux serveurs, à l'équipement réseau ou au stockage de Google.

Contrôle d'accès logique

Nabla est l'administrateur attitré de son infrastructure sur Google Cloud Platform, et seuls les membres autorisés de l'équipe des opérations de Nabla ont accès pour configurer l'infrastructure selon les besoins grâce à l'authentification à deux facteurs. Des clés privées spécifiques sont requises pour chaque serveur, et les clés sont stockées dans un endroit sécurisé et crypté.

Contrôle d'accès avec le moindre privilège

Nous appliquons le principe du moindre privilège en matière de gestion des identités et des accès.

Revues d'accès trimestrielles

Nous procédons à des examens d'accès trimestriels de tous les membres de l'équipe ayant accès à des systèmes sensibles.

Exigences en matière de mot

Tous les membres de l'équipe sont tenus de respecter un ensemble minimal d'exigences en matière de mots de passe et de complexité pour l'accès.

Gestion des fournisseurs et des risques

Évaluations annuelles des risques

Nous procédons à des évaluations des risques au moins une fois par an afin d'identifier les menaces potentielles, y compris les considérations relatives à la fraude.

Gestion des risques liés aux fournisseurs

Le risque lié au fournisseur est déterminé et les évaluations appropriées des fournisseurs sont effectuées avant d'autoriser un nouveau fournisseur.

Divulgation des vulnérabilités

N'importe qui peut signaler une vulnérabilité ou un problème de sécurité concernant un produit Nabla. Veuillez lire notre Politique de divulgation des vulnérabilités pour plus d'informations.

Nous contacter

Si vous avez des questions, des commentaires ou des préoccupations ou si vous souhaitez signaler un problème de sécurité potentiel, veuillez contacter security@nabla.com.

Pour en savoir plus sur la posture de sécurité de Nabla et consulter les documents connexes, veuillez consulter notre Portail de confiance.