Présentation de la sécurité chez GGWP

Mises à jour et correctifs de sécurité

• Délais : les vulnérabilités critiques sont traitées dans le cadre d’un SLA interne de 24 heures.
• Méthode : utilisation d’abonnements actifs aux alertes CVE et analyse des images de conteneurs.

Audit et journalisation

• Surveillance en temps réel : AWS Security Hub, GuardDuty et les alertes en temps réel permettent une prise en charge immédiate des activités suspectes.
• Pare-feu : une protection supplémentaire est en place pour surveiller et gérer le trafic réseau.
• Cycle de revue : examen trimestriel des rapports Security Hub pour identifier les éléments à haut risque.
• Contrôle des accès : utilisation d’OAuth et de clés API pour sécuriser l’audit et la journalisation.

Tests de sécurité

• En interne : revue annuelle des flux de travail, des processus et des configurations de sécurité.
• En externe : audits annuels de tous les points de terminaison publics par un tiers.
• Normes : certification SOC 2.

Collaboration des équipes et confidentialité des données

• Contrôle des accès : les contrôles d’accès limités dans le temps et selon les rôles, l’authentification multifacteur (MFA) et le VPN sont strictement imposés.
• Sens des accès : le sens des accès est défini pour limiter la circulation des informations sensibles.
• Formation des employés : formation annuelle obligatoire à la sécurité et à la confidentialité pour les membres de l’équipe.
• Chiffrement : les données sont chiffrées en transit (TLS 1.2) et au repos (AES 256).
• Segmentation : environnements mutualisés avec des clés de chiffrement distinctes pour renforcer la sécurité.
• Isolation logique : des barrières strictes sont en place pour assurer le cloisonnement des données.
• Revue des accès utilisateurs : vérification périodique des accès utilisateurs pour garantir le respect du principe du moindre privilège.

Conformité légale

Nous respectons la politique de confidentialité de GGWP, qui couvre les durées de conservation des données et la conformité aux lois sur la protection des données, comme le RGPD et le CCPA.

Sauvegarde des données

• Stockage : les données sont stockées de manière sécurisée dans AWS S3, avec un accès limité aux personnes ayant besoin d’en connaître.
• Disponibilité : haute disponibilité assurée grâce à des instantanés nocturnes, des contrôles d’intégrité des données, plusieurs variantes et la gestion des versions.

Phases et actions de réponse aux incidents

• Détection : surveillance en temps réel des activités non autorisées ou des violations de données. Les types d’incidents comprennent :
  • Des informations ont été utilisées par du personnel ou des tiers non autorisés ;
  • Des informations ont été téléchargées ou copiées de manière inappropriée depuis les environnements AWS de GGWP Inc. ;
  • Des équipements ou appareils contenant des informations ont été perdus ou volés ;
  • Des équipements ou appareils contenant des informations ont fait l’objet d’activités non autorisées (par exemple, piratage, logiciels malveillants) ;
  • Des données personnelles ont été divulguées, consultées ou transférées de manière inappropriée.
• Analyse : évaluation immédiate par notre équipe DevOps dès la détection d’un incident pour en déterminer la cause racine probable. L’analyse est consignée et documentée.
• Confinement : intervention rapide pour atténuer les effets de la cause racine et éviter des dommages supplémentaires. Peut impliquer la mise en place de contrôles supplémentaires.
• Éradication : élimination des vulnérabilités et des compromissions de nos systèmes, y compris de l’accès de l’attaquant à l’environnement.
• Reprise : efforts coordonnés pour rétablir le fonctionnement complet des systèmes affectés.
• Après l’incident :
  • Examen par la direction générale.
  • Veiller à une communication appropriée en interne et en externe.
  • Peut impliquer un accompagnement juridique ou une collaboration avec les forces de l’ordre.
  • Mesures préventives : mises en œuvre sur la base du retour d’expérience et de l’examen post-incident.

Plan de reprise d’activité

• Gestion des versions
  • Version 2.0
  • Révisé chaque année et mis à jour dès que des lacunes dans les processus sont identifiées
• Objectifs
  • RTO et RPO : 24 heures maximum pour les incidents de gravité 1, conformément aux contrats SLA.
• Guides opérationnels
  • Faible gravité : couvre les interruptions simples, généralement résolues par un retour à une version antérieure du code.
  • Gravité élevée : couvre les pertes de données, les violations de données et les interruptions prolongées. Un guide opérationnel détaillé est disponible.
• Personnel
  • Faible gravité : prise en charge par les ingénieurs d’astreinte.
  • Gravité élevée : mobilisation des ingénieurs d’astreinte et des ingénieurs DevOps.
• Procédures
  • Faible gravité : le retour à une version antérieure du code est la solution habituelle.
  • Gravité élevée : comprend le retour à une version antérieure du code, le déploiement d’une version corrective, la restauration des bases de données et les procédures de sécurité.
• Suivi
  • Journal des événements : suivi détaillé des événements et des solutions possibles.
• Tests
  • Revue annuelle : le guide opérationnel de reprise d’activité est exécuté et testé chaque année, avec une analyse rétrospective.

Communication avec les clients

En cas d’incident grave affectant l’intégrité ou la confidentialité des données, GGWP enverra des notifications dans les meilleurs délais raisonnablement possibles, via tous les canaux de communication disponibles.