Sécurité
ManageEngine

Sécurité physique

Sur le lieu de travail

Nous contrôlons l’accès à nos ressources (bâtiments, infrastructures et installations), y compris l’entrée, l’utilisation et la consommation des ressources, au moyen de badges d’accès. Les employés, sous-traitants, fournisseurs et visiteurs disposent de badges différents qui n’autorisent que les accès strictement nécessaires à l’objet de leur présence sur site. L’équipe des ressources humaines définit et maintient les droits associés aux rôles. Nous conservons des journaux d’accès afin d’identifier et de traiter les anomalies.

Dans les centres de données

Dans nos centres de données, un prestataire de colocation est responsable du bâtiment, du refroidissement, de l’alimentation électrique et de la sécurité physique, tandis que nous fournissons les serveurs et le stockage. L’accès aux centres de données est limité à un petit groupe de personnes autorisées. Tout autre accès fait l’objet d’un ticket et n’est accordé qu’après approbation des responsables concernés. Une authentification à deux facteurs et une authentification biométrique supplémentaires sont requises pour entrer sur les sites. En cas d’incident, les journaux d’accès, les enregistrements d’activité et les images des caméras sont disponibles.

Surveillance

Nous surveillons tous les mouvements d’entrée et de sortie dans nos locaux, centres d’activité et centres de données au moyen de caméras de vidéosurveillance déployées conformément aux réglementations locales. Les enregistrements sont conservés pendant une durée déterminée selon les exigences applicables à chaque site.

Sécurité de l’infrastructure

Sécurité réseau

Nos techniques de sécurité et de surveillance réseau sont conçues pour fournir plusieurs couches de protection et de défense. Nous utilisons des pare-feu afin d’empêcher les accès non autorisés et le trafic indésirable. Nos systèmes sont segmentés en réseaux distincts pour protéger les données sensibles. Les systèmes dédiés aux activités de test et de développement sont hébergés sur un réseau séparé de celui qui prend en charge l’infrastructure de production de ManageEngine.

Nous surveillons les accès aux pare-feu selon un calendrier strict et régulier. Un ingénieur réseau examine chaque jour toutes les modifications apportées aux pare-feu. Ces modifications font en outre l’objet d’un examen semestriel afin de mettre à jour et de réviser les règles. Notre équipe dédiée du centre d’opérations réseau (NOC) surveille l’infrastructure et les applications afin de détecter toute anomalie ou activité suspecte. Tous les paramètres critiques sont surveillés en continu à l’aide de notre outil propriétaire, et des notifications sont déclenchées en cas d’activité anormale ou suspecte dans notre environnement de production.

Redondance réseau

Tous les composants de notre plateforme sont redondants. Nous utilisons une architecture distribuée afin de protéger nos systèmes et services contre les conséquences d’éventuelles défaillances de serveurs. En cas de panne d’un serveur, les utilisateurs peuvent poursuivre leurs activités normalement, car leurs données et les services cloud ManageEngine restent disponibles.

Nous utilisons également plusieurs commutateurs, routeurs et passerelles de sécurité afin d’assurer une redondance au niveau des équipements. Cela évite les points uniques de défaillance dans le réseau interne.

Prévention des attaques DDoS

Nous utilisons des technologies fournies par des prestataires reconnus et fiables afin de prévenir les attaques DDoS contre nos serveurs. Elles offrent plusieurs mécanismes d’atténuation des attaques DDoS qui bloquent le trafic malveillant tout en laissant passer le trafic légitime. Nos sites web, applications et API restent ainsi hautement disponibles et performants.

Durcissement des serveurs

Tous les serveurs provisionnés pour les activités de développement et de test sont durcis (désactivation des ports et comptes inutilisés, suppression des mots de passe par défaut, etc.). Le durcissement des serveurs est intégré à l’image de base du système d’exploitation (OS), qui est déployée sur les serveurs afin d’assurer une configuration homogène.

Détection et prévention des intrusions

Notre mécanisme de détection des intrusions tient compte des signaux basés sur l’hôte au niveau des périphériques individuels et des signaux réseau provenant de points de surveillance au sein de nos serveurs. Les accès administratifs, l’utilisation de commandes privilégiées et les appels système sur tous les serveurs de notre réseau de production sont journalisés. Des règles et des mécanismes d’intelligence machine appliqués à ces données avertissent les ingénieurs sécurité en cas d’incident potentiel. Au niveau applicatif, notre WAF propriétaire fonctionne avec des règles de liste blanche et de liste noire.

Au niveau des fournisseurs d’accès à Internet (FAI), une approche de sécurité multicouche combine le nettoyage du trafic, le routage réseau, la limitation de débit et le filtrage afin de traiter les attaques depuis la couche réseau jusqu’à la couche applicative. Ce dispositif fournit un trafic assaini, un service proxy fiable et un signalement rapide des attaques éventuelles.

Sécurité des données

Sécurité dès la conception

Chaque modification et nouvelle fonctionnalité est soumise à une politique de gestion des changements afin de garantir que toute modification applicative est autorisée avant sa mise en production. Notre cycle de vie du développement logiciel (SDLC) impose le respect de recommandations de codage sécurisé ainsi que l’analyse des modifications de code afin de détecter les problèmes de sécurité potentiels au moyen de nos outils d’analyse de code, scanners de vulnérabilités et processus de revue manuelle.

Notre cadre de sécurité robuste, fondé sur les standards OWASP et mis en œuvre au niveau de la couche applicative, fournit des fonctions permettant d’atténuer des menaces telles que les injections SQL, les attaques de type cross-site scripting (XSS) et les attaques DoS au niveau applicatif.

Isolation des données

Notre infrastructure distribue et gère l’espace cloud de nos clients. Les données de service de chaque client sont séparées logiquement de celles des autres clients à l’aide d’un ensemble de protocoles sécurisés intégrés au framework. Cela garantit qu’aucun client ne peut accéder aux données de service d’un autre client.

Les données de service sont stockées sur nos serveurs lorsque vous utilisez nos services. Vous restez propriétaire de vos données, et non Zoho. Nous ne partageons pas ces données avec des tiers sans votre consentement.

Chiffrement

En transit : toutes les données clients transmises à nos serveurs via des réseaux publics sont protégées par des protocoles de chiffrement robustes. Nous imposons l’utilisation de Transport Layer Security (TLS 1.2/1.3) avec des suites cryptographiques robustes pour toutes les connexions à nos serveurs, notamment les accès web et API, nos applications mobiles et les accès IMAP/POP/SMTP des clients de messagerie. Cela permet d’authentifier les deux parties et de chiffrer les données transférées. Pour la messagerie, nos services utilisent également le TLS opportuniste par défaut, qui chiffre et transmet les e-mails de manière sécurisée lorsque les services correspondants prennent en charge ce protocole.

Nous prenons entièrement en charge la Perfect Forward Secrecy (PFS) pour nos connexions chiffrées, ce qui garantit que même en cas de compromission future, les communications antérieures ne pourraient pas être déchiffrées. Nous avons activé l’en-tête HTTP Strict Transport Security (HSTS) pour toutes nos connexions web afin que les navigateurs modernes se connectent uniquement via une liaison chiffrée, même lorsqu’une URL non sécurisée de notre site est saisie. En outre, tous nos cookies d’authentification web sont marqués comme sécurisés.

Au repos : les données clients sensibles sont chiffrées à l’aide de l’Advanced Encryption Standard (AES) 256 bits. Les données chiffrées au repos varient selon les services souscrits. Nous détenons et gérons les clés à l’aide de notre service interne de gestion des clés (KMS). Des couches de sécurité supplémentaires sont assurées par le chiffrement des clés de chiffrement des données au moyen de clés maîtresses. Les clés maîtresses et les clés de chiffrement des données sont physiquement séparées et stockées sur des serveurs distincts à accès limité.

Cliquez ici pour obtenir des informations détaillées sur le chiffrement chez Zoho et consultez le tableau ci-dessous pour savoir quelles données sont chiffrées dans nos services.

Conservation et suppression des données

Nous conservons les données de votre compte tant que vous utilisez les services cloud ManageEngine. Une fois votre compte utilisateur Zoho résilié, vos données sont supprimées de la base de données active lors du prochain nettoyage, effectué tous les six mois. Les données supprimées de la base active sont ensuite supprimées des sauvegardes au bout de trois mois. Si votre compte gratuit reste inactif pendant 120 jours consécutifs, nous nous réservons le droit de le résilier après vous avoir préalablement informé et vous avoir donné la possibilité de sauvegarder vos données.

La mise au rebut des équipements inutilisables est confiée à un prestataire vérifié et autorisé. Dans l’attente de leur élimination, ces équipements sont classés et stockés dans un emplacement sécurisé. Toutes les informations qu’ils contiennent sont effacées avant leur mise au rebut. Les disques durs défaillants sont démagnétisés puis détruits physiquement à l’aide d’un broyeur. Les disques SSD défaillants font l’objet d’un effacement cryptographique puis sont également broyés.

Gestion des identités et des accès

Authentification unique (SSO)

Zoho propose l’authentification unique (SSO), qui permet aux utilisateurs d’accéder à plusieurs services à l’aide de la même page de connexion et des mêmes identifiants. Toute connexion à un service Zoho s’effectue via notre service intégré de gestion des identités et des accès (IAM). Nous prenons également en charge SAML pour l’authentification unique, ce qui permet aux clients d’intégrer le fournisseur d’identité de leur entreprise, tel que LDAP ou ADFS, lors de la connexion aux services Zoho.

Le SSO simplifie le processus de connexion, favorise la conformité, fournit un contrôle d’accès et des rapports efficaces, et réduit le risque de fatigue liée aux mots de passe et donc l’utilisation de mots de passe faibles.

Authentification multifacteur

L’authentification multifacteur ajoute une couche de sécurité en exigeant une vérification supplémentaire en plus du mot de passe. Elle réduit fortement le risque d’accès non autorisé si le mot de passe d’un utilisateur est compromis. Vous pouvez configurer l’authentification multifacteur avec Zoho OneAuth. Plusieurs méthodes sont prises en charge, notamment Touch ID ou Face ID biométriques, les notifications push, les codes QR et les mots de passe à usage unique basés sur le temps (TOTP).

Nous prenons également en charge les clés de sécurité matérielles YubiKey pour l’authentification multifacteur.

Accès administrateur

Nous appliquons des contrôles d’accès techniques et des politiques internes afin d’empêcher les employés d’accéder arbitrairement aux données des utilisateurs. Nous respectons les principes du moindre privilège et des autorisations basées sur les rôles afin de réduire le risque d’exposition des données.

L’accès aux environnements de production est géré par un annuaire central et authentifié à l’aide d’une combinaison de mots de passe robustes, d’une authentification à deux facteurs et de clés SSH protégées par phrase secrète. Cet accès s’effectue en outre via un réseau distinct soumis à des règles plus strictes et utilisant des périphériques durcis. Toutes les opérations sont journalisées et auditées périodiquement.

Sécurité opérationnelle

Journalisation et surveillance

Nous surveillons et analysons les informations recueillies à partir des services, du trafic interne de notre réseau et de l’utilisation des périphériques et terminaux. Ces informations sont enregistrées sous forme de journaux d’événements, d’audit, d’erreurs, d’administrateurs et d’opérateurs. Ces journaux sont automatiquement surveillés et analysés dans une mesure appropriée afin d’identifier des anomalies telles qu’une activité inhabituelle sur les comptes d’employés ou des tentatives d’accès aux données clients. Ils sont stockés sur un serveur sécurisé isolé d’un accès complet au système afin de centraliser le contrôle d’accès et d’assurer leur disponibilité.

Des journaux d’audit détaillés couvrant toutes les opérations de mise à jour et de suppression effectuées par l’utilisateur sont disponibles pour les clients dans chaque service cloud ManageEngine.

Gestion des vulnérabilités

Nous disposons d’un processus dédié de gestion des vulnérabilités qui recherche activement les menaces de sécurité à l’aide d’une combinaison d’outils d’analyse tiers certifiés, d’outils internes et de tests d’intrusion automatisés et manuels. Notre équipe sécurité examine également les rapports de sécurité reçus et surveille les listes de diffusion publiques, articles de blog et wikis afin de repérer les incidents susceptibles d’affecter l’infrastructure de l’entreprise.

Lorsqu’une vulnérabilité nécessitant une remédiation est identifiée, elle est enregistrée, priorisée en fonction de sa gravité et attribuée à un responsable. Nous identifions ensuite les risques associés et suivons la vulnérabilité jusqu’à sa clôture, soit par l’application de correctifs aux systèmes vulnérables, soit par la mise en œuvre de contrôles appropriés.

Protection contre les logiciels malveillants et le spam

Nous analysons tous les fichiers des utilisateurs au moyen de notre système automatisé conçu pour empêcher la propagation de logiciels malveillants dans l’écosystème Zoho. Notre moteur antimalware propriétaire reçoit régulièrement des mises à jour provenant de sources externes de renseignement sur les menaces et analyse les fichiers à la recherche de signatures répertoriées comme malveillantes et de schémas suspects. Notre moteur de détection propriétaire, associé à des techniques d’apprentissage automatique, contribue également à protéger les données clients contre les logiciels malveillants.

Zoho Corporation prend en charge DMARC (Domain-based Message Authentication, Reporting, and Conformance) afin de prévenir le spam. DMARC utilise SPF et DKIM pour vérifier l’authenticité des messages. Nous utilisons également notre moteur de détection propriétaire pour identifier les abus des services cloud ManageEngine, tels que les activités de phishing et de spam. Une équipe antispam dédiée surveille en outre les signaux remontés par le logiciel et traite les signalements d’abus. Pour plus d’informations, cliquez ici.

Sauvegarde

Nous effectuons chaque jour des sauvegardes incrémentielles et chaque semaine des sauvegardes complètes de nos bases de données à l’aide de Zoho Admin Console (ZAC) pour les centres de données ManageEngine. Les données de sauvegarde sont stockées dans le même centre de données et chiffrées avec l’algorithme AES-256. Elles sont conservées au format tar.gz pendant trois mois. Si un client demande une récupération de données pendant la période de rétention, nous restaurons ses données et lui fournissons un accès sécurisé. Le délai de restauration dépend du volume de données et de la complexité de l’opération.

Pour garantir la sécurité des données sauvegardées, nous utilisons un réseau redondant de disques indépendants (RAID) sur les serveurs de sauvegarde. Toutes les sauvegardes sont planifiées et suivies régulièrement. En cas d’échec, une nouvelle exécution est lancée et le problème est corrigé immédiatement. Les contrôles d’intégrité et de validation des sauvegardes complètes sont effectués automatiquement par l’outil ZAC.

De votre côté, nous vous recommandons vivement de planifier des sauvegardes régulières de vos données en les exportant depuis les services Zoho concernés et en les stockant localement dans votre infrastructure.

Reprise après sinistre et continuité des activités

Les données applicatives sont stockées sur une infrastructure résiliente répliquée entre les centres de données. Les données du centre de données principal sont répliquées dans le centre secondaire presque en temps réel. En cas de défaillance du centre principal, le centre secondaire prend le relais et les opérations se poursuivent avec une interruption minimale, voire inexistante. Les deux centres disposent de plusieurs fournisseurs d’accès à Internet.

Nous disposons de systèmes d’alimentation de secours, de contrôle de la température et de prévention des incendies comme mesures physiques de continuité des activités. Ces mesures renforcent notre résilience. Outre la redondance des données, nous avons mis en place un plan de continuité des activités pour nos opérations majeures, notamment le support et la gestion de l’infrastructure.

Gestion des incidents

Signalement

Nous disposons d’une équipe dédiée à la gestion des incidents. Nous vous informons des incidents survenus dans notre environnement qui vous concernent, ainsi que des actions appropriées que vous pouvez être amené à entreprendre. Nous suivons et clôturons les incidents en appliquant les mesures correctives adéquates. Lorsque cela est pertinent, nous identifions, collectons et vous fournissons les éléments de preuve nécessaires sous forme de journaux applicatifs et d’audit relatifs aux incidents concernés. Nous mettons également en place des contrôles afin d’éviter la récurrence de situations similaires.

Nous traitons en priorité les incidents de sécurité ou de confidentialité que vous nous signalez à l’adresse incidents@zohocorp.com. Pour les incidents généraux, nous informons les utilisateurs via nos blogs, forums et réseaux sociaux. Pour les incidents propres à un utilisateur ou à une organisation, nous informons la partie concernée par e-mail, à l’adresse principale de l’administrateur de l’organisation enregistrée auprès de nous.

Notification des violations

En tant que responsables du traitement, nous notifions toute violation à l’autorité de protection des données compétente dans les 72 heures suivant le moment où nous en prenons connaissance, conformément au Règlement général sur la protection des données (RGPD). Selon les exigences applicables, nous informons également les clients lorsque cela est nécessaire. En tant que sous-traitants, nous informons sans délai injustifié les responsables du traitement concernés.

Divulgation responsable

Un programme de signalement de vulnérabilités de type « Bug Bounty » est en place afin de mobiliser la communauté des chercheurs et de reconnaître et récompenser leur travail. Nous nous engageons à collaborer avec cette communauté pour vérifier, reproduire et traiter les vulnérabilités signalées, puis mettre en œuvre les solutions appropriées.

Si vous découvrez une vulnérabilité, veuillez la signaler sur https://bugbounty.zohocorp.com. Pour nous signaler directement une vulnérabilité, écrivez-nous à security@manageengine.com.

Gestion des fournisseurs et prestataires tiers

Nous évaluons et qualifions nos fournisseurs conformément à notre politique de gestion des fournisseurs. Nous intégrons de nouveaux fournisseurs après avoir étudié leurs processus de prestation et réalisé des évaluations des risques. Nous prenons les mesures nécessaires pour maintenir notre niveau de sécurité en établissant des accords imposant aux fournisseurs de respecter les engagements de confidentialité, de disponibilité et d’intégrité pris envers nos clients. Nous contrôlons l’efficacité de leurs processus et mesures de sécurité au moyen d’examens périodiques de leurs contrôles.

Mesures de sécurité côté client

Nous avons présenté les mesures que nous mettons en œuvre pour assurer la sécurité de nos clients. Voici les actions que vous pouvez entreprendre, en tant que client, pour renforcer la sécurité de votre côté :

• Choisissez un mot de passe unique et robuste, et protégez-le.
• Utilisez l’authentification multifacteur.
• Utilisez les versions les plus récentes des navigateurs, des systèmes d’exploitation mobiles et des applications mobiles afin de bénéficier des derniers correctifs de vulnérabilités et fonctionnalités de sécurité.
• Prenez les précautions appropriées lorsque vous partagez des données depuis notre environnement cloud.
• Classez vos informations comme personnelles ou sensibles et étiquetez-les en conséquence.
• Surveillez les périphériques associés à votre compte, les sessions web actives et les accès de tiers afin de repérer toute activité anormale, et gérez les rôles et privilèges associés à votre compte.
• Restez vigilant face aux menaces de phishing et de logiciels malveillants en vous méfiant des e-mails, sites web et liens inconnus susceptibles d’exploiter vos informations sensibles en usurpant l’identité de Zoho ou d’autres services de confiance.

Pour savoir comment collaborer avec Zoho afin de bénéficier d’un environnement cloud sécurisé, consultez notre ressource consacrée à la compréhension de la responsabilité partagée avec Zoho. Elle présente une analyse détaillée du modèle de responsabilité partagée et explique comment nos clients et Zoho peuvent collaborer tout en assumant leurs responsabilités respectives en matière de sécurité et de confidentialité dans le cloud.

Conclusion

La sécurité de vos données est votre droit et constitue une mission permanente pour Zoho. Nous continuerons à tout mettre en œuvre pour protéger vos données, comme nous l’avons toujours fait. Pour toute question complémentaire, consultez notre FAQ ou écrivez-nous à security@manageengine.com.