Bonjour ! Ce site est en langue Français. Est-ce correct?
Aperçu de la Sécurité des Données
Date de révision : mars 2025
Le document suivant a pour but de fournir un résumé de l'approche de Prosci en matière de confidentialité et de sécurité de l'information pour nos solutions destinées aux clients.
Notre engagement en matière de protection de la vie privée et de sécurité
Prosci s'engage à assurer la sécurité de toutes les données qu'elle recueille auprès de ses clients, en suivant les normes et les protocoles les plus performants du secteur. Pour renforcer cet engagement, Prosci est certifiée ISO 27001, une norme internationale de sécurité de l'information.
Veuillez cliquer ici pour accéder au certificat ou contacter privacyandsecurity@prosci.com pour toute question supplémentaire.
Approche de la protection des données
Prosci s'engage fermement à maintenir l'intégrité des informations que vous nous autorisez à traiter et dispose d'une politique de confidentialité en conséquence. Vous trouverez des détails sur les informations que nous recueillons et sur la manière dont nous les utilisons dans la déclaration de politique de confidentialité de Prosci sur notre site web.
En outre, Prosci utilise les sous-traitants tiers suivants pour nous aider à vous fournir nos services. Ces sous-traitants traitent les données que vous introduisez dans les services, qui peuvent inclure des données personnelles. Comme Prosci, nos sous-traitants donnent la priorité à la confidentialité des données et, le cas échéant, ont accepté contractuellement de protéger les données personnelles des clients de Prosci conformément aux réglementations et normes mondiales en matière de confidentialité des données. Une liste des sous-traitants est tenue à jour ici.
Sécurité des applications de Prosci en contact avec la clientèle
Lorsque Prosci a conçu et développé des solutions pour ses clients, la confidentialité et la sécurité des données étaient des priorités absolues. C'est pourquoi nous avons soigneusement sélectionné des partenaires capables de travailler avec nous pour fournir le niveau de protection que nous estimions nécessaire.
Nous avons choisi l'environnement de plateforme d'application Heroku de Salesforce pour héberger et gérer nos solutions. Nous avons notamment choisi d'investir dans Heroku Shield Private Spaces pour offrir à nos clients le protocole de sécurité et de confidentialité le plus rigoureux disponible dans Salesforce.
Suite à cette décision, nous avons soigneusement sélectionné des plates-formes de développement et des partenaires de développement capables de respecter ce niveau d'engagement en matière de sécurité des informations. Avant qu'un fournisseur n'ait accès aux systèmes de Prosci, Prosci établit des accords de confidentialité écrits avec le fournisseur.
Voici un aperçu de l'approche de la sécurité de la solution basée sur la plateforme Salesforce Heroku
Aperçu de Heroku
Le code de l'application et la base de données d'informations pour nos solutions basées sur des concentrateurs (actuellement Prework, Knowledge Hub, Research Hub et Proxima) sont hébergés sur Heroku, une plateforme sécurisée d'hébergement de logiciels dans le nuage appartenant à Salesforce. Heroku est connu pour l'importance qu'il accorde à la sécurité.
Heroku est une plateforme d'applications en nuage utilisée par des Organisations de toutes tailles pour déployer et exploiter des applications dans le monde entier. La plateforme est conçue pour protéger les clients contre les menaces en appliquant des contrôles de sécurité à chaque couche, du physique à l'application, en isolant les applications et les données des clients, et grâce à sa Capacité à déployer rapidement des mises à jour de sécurité sans interaction avec le client ni interruption de service.
Évaluations de la sécurité et de la conformité de Heroku
Data Centers
L'infrastructure physique d'Heroku est hébergée et gérée dans les centres de données sécurisés d'Amazon et utilise la technologie Amazon Web Services (AWS). Amazon gère continuellement les risques et se soumet à des évaluations récurrentes pour garantir la conformité aux normes du secteur. Les opérations du centre de données d'Amazon ont été accréditées selon les normes suivantes :
ISO 27001
SOC 1 et SOC 2/SSAE 16/ISAE 3402 (anciennement SAS 70 Type II)
PCI niveau 1
FISMA modéré
Sarbanes-Oxley (SOX)
PCI
Sécurité physique
Heroku utilise des centres de données certifiés ISO 27001 et FISMA gérés par Amazon. Les centres de données d'AWS sont hébergés dans des installations discrètes, et les installations critiques sont dotées d'un vaste périmètre de contrôle de qualité militaire ainsi que d'autres protections naturelles. L'accès physique est strictement contrôlé à la fois au périmètre et aux points d'entrée des bâtiments par un personnel de sécurité professionnel utilisant la vidéosurveillance, des systèmes de détection d'intrusion à la pointe de la technologie et d'autres moyens électroniques. Le personnel autorisé doit se soumettre à une authentification à deux facteurs, au moins trois fois, pour accéder aux étages du centre de données. Tous les visiteurs et les sous-traitants doivent présenter une pièce d'identité, sont enregistrés et escortés en permanence par le personnel autorisé.
Pour plus d'informations, voir : https://aws.amazon.com/security.
Tests de pénétration et évaluation des vulnérabilités
Les tests de sécurité de l'application Heroku sont effectués par des sociétés de conseil en sécurité indépendantes et réputées. Les conclusions de chaque évaluation sont examinées avec les évaluateurs, classées par ordre de risque et attribuées à l'équipe responsable.
Garanties environnementales
Détection et suppression des incendies
Des équipements automatiques de détection et de suppression des incendies ont été installés pour réduire les risques. Le système de détection des incendies utilise des capteurs de détection de fumée dans tous les environnements des centres de données, les espaces d'infrastructure mécanique et électrique, les salles de refroidissement et les salles d'équipement des générateurs. Ces zones sont protégées par des systèmes d'extincteurs automatiques à eau, à double verrouillage et à préaction, ou à gaz.
L'alimentation électrique
Les systèmes d'alimentation électrique du centre de données sont conçus pour être entièrement redondants et maintenus sans impact sur les opérations, 24 heures sur 24 et sept jours sur sept. Les unités d'alimentation sans interruption (UPS) fournissent une alimentation de secours en cas de panne électrique pour les charges critiques et essentielles de l'installation.
Contrôle du climat et de la température
Le contrôle du climat est nécessaire pour maintenir une température de fonctionnement constante pour les serveurs et autres matériels, ce qui évite la surchauffe et réduit la possibilité de pannes de service. Les centres de données sont conditionnés pour maintenir les conditions atmosphériques à des niveaux optimaux. Les systèmes de surveillance et le personnel du centre de données veillent à ce que la température et l'humidité soient à des niveaux appropriés.
Gestion
Le personnel du centre de données surveille les systèmes et équipements électriques, mécaniques et de survie afin que les problèmes soient immédiatement identifiés. Une maintenance préventive est effectuée pour maintenir le bon fonctionnement des équipements.
Pour plus d'informations, voir : https://aws.amazon.com/security.
Sécurité des réseaux
Pare-feu
Les pare-feu sont utilisés pour restreindre l'accès aux systèmes depuis les réseaux externes et entre les systèmes en interne. Par défaut, tout accès est refusé et seuls les ports et protocoles explicitement autorisés le sont en fonction des besoins de l'entreprise. Du point de vue du réseau, les groupes de sécurité limitent l'accès aux seuls ports et protocoles nécessaires à la fonction spécifique d'un système afin de réduire les risques.
Les pare-feu basés sur l'hôte empêchent les applications clients d'établir des connexions locales sur l'interface réseau de bouclage afin d'isoler davantage les applications clients. Les pare-feu basés sur l'hôte offrent également la Capacité de limiter davantage les connexions entrantes et sortantes selon les besoins.
Sécurité du système Heroku
Configuration du système
La configuration et la cohérence des systèmes sont maintenues grâce à des images standardisées et actualisées, à des logiciels de gestion de la configuration et au remplacement des systèmes par des déploiements actualisés. Les systèmes sont déployés à l'aide d'images actualisées qui sont mises à jour avec les changements de configuration et les mises à jour de sécurité avant le déploiement. Une fois déployés, les systèmes existants sont mis hors service et remplacés par des systèmes actualisés.
Isolation des applications des clients Heroku
Les applications de la plateforme Heroku s'exécutent dans leur propre environnement isolé et ne peuvent pas interagir avec d'autres applications ou zones du système afin d'éviter les problèmes de sécurité et de stabilité. Ces environnements autonomes isolent les processus, la mémoire et le système de fichiers, tandis que les pare-feu basés sur l'hôte empêchent les applications d'établir des connexions au réseau local. Pour de plus amples informations techniques, voir : https://devcenter.heroku.com/articles/dyno-isolation.
Authentification du système Heroku
L'accès au système d'exploitation est limité au personnel d'Heroku et nécessite une authentification par nom d'utilisateur et clé. Les systèmes d'exploitation ne permettent pas l'authentification par mot de passe afin d'éviter les attaques par force brute, le vol et le partage des mots de passe.
Gestion de la vulnérabilité dans Heroku
Le processus de gestion des vulnérabilités est conçu pour remédier aux risques sans interaction ni impact sur le client. Heroku est informé des vulnérabilités par le biais d'évaluations internes et externes, de la surveillance des correctifs du système et de listes de diffusion et de services tiers. Chaque vulnérabilité est examinée pour déterminer si elle s'applique à l'environnement d'Heroku, classée en fonction du risque et attribuée à l'équipe appropriée pour résolution.
Les nouveaux systèmes sont déployés avec les dernières mises à jour, les correctifs de sécurité et les configurations Heroku, et les systèmes existants sont mis hors service au fur et à mesure que les clients migrent vers les nouvelles instances. Ce processus permet à Heroku de maintenir l'environnement à jour. Les applications des clients étant exécutées dans des environnements isolés, elles ne sont pas affectées par ces mises à jour du système central.
Sécurité des applications Heroku
Heroku subit des tests de pénétration, des évaluations de vulnérabilité et des examens du code source pour évaluer la sécurité de notre application, de notre architecture et de notre mise en œuvre. Les évaluations de sécurité par des tiers couvrent tous les domaines de notre plateforme, y compris les tests pour les vulnérabilités des applications web du Top 10 de l'OWASP et l'isolation des applications des clients. Heroku travaille en étroite collaboration avec des évaluateurs de sécurité externes pour examiner la sécurité de la plateforme et des applications Heroku, et appliquer les meilleures pratiques.
Les problèmes trouvés dans les applications Heroku sont classés par risque, priorisés et assignés à l'équipe responsable pour y remédier, et l'équipe de sécurité d'Heroku examine chaque plan de remédiation pour s'assurer qu'il est correctement résolu.
Sauvegardes Heroku
Applications clients
Les applications déployées sur la plateforme Heroku sont automatiquement sauvegardées dans le cadre du processus de déploiement sur un espace de stockage sécurisé, redondant et à accès contrôlé. Heroku utilise ces sauvegardes pour déployer nos applications Prosci sur notre plateforme et pour remettre automatiquement les applications en ligne en cas de panne.
Bases de données Postgres des clients
Les données sont stockées et gérées dans Heroku Postgres. La protection continue assure la sécurité des données sur Heroku Postgres. Chaque modification de vos données est inscrite dans des journaux en avance sur l'écriture, qui sont expédiés vers des centres de données multiples, avec un stockage à haute durabilité. Dans le cas improbable d'une panne matérielle irrémédiable, ces journaux peuvent être automatiquement « rejoués » pour restaurer la base de données à quelques secondes près de son dernier état connu. Pour de plus amples informations techniques, voir : https://devcenter.heroku.com/articles/pgbackups.
Informations complémentaires sur la plateforme Heroku
Des images de nos instances à nos bases de données, chaque composant est sauvegardé dans un espace de stockage redondant, sécurisé et à accès contrôlé. Notre plateforme permet de récupérer les bases de données à quelques secondes près du dernier état connu, de restaurer les instances du système à partir de modèles standard et de déployer les applications et les données des clients. En plus des pratiques de sauvegarde standard, l'infrastructure Heroku est conçue pour évoluer et être tolérante aux pannes en remplaçant automatiquement les instances défaillantes et en réduisant la probabilité de devoir restaurer à partir d'une sauvegarde.
Reprise après sinistre
Applications et bases de données clients
Notre plateforme restaure automatiquement les applications des clients et les bases de données Heroku Postgres en cas de panne. La plateforme Heroku est conçue pour déployer dynamiquement des applications dans le nuage Heroku, surveiller les défaillances et récupérer les composants défaillants de la plateforme, y compris les applications et les bases de données des clients.
Confidentialité Heroku
Outre la politique de confidentialité de Prosci, Heroku a publié une politique de confidentialité qui définit clairement les données collectées et leur utilisation. Heroku et Salesforce s'engagent à protéger la vie privée de leurs clients et à faire preuve de transparence.
Nous prenons des mesures pour protéger la vie privée de nos clients et les données stockées sur la plate-forme. Certaines des protections inhérentes aux produits Heroku comprennent l'authentification, les contrôles d'accès, le cryptage du transport des données, la prise en charge HTTPS pour les applications des clients et la Capacité pour les clients de crypter les données stockées. Pour plus d'informations, voir : https://www.heroku.com/policy/privacy.
Accès aux données des clients
Le personnel d'Heroku et de notre équipe de développement n'accède pas aux données ou aux applications des clients et n'interagit pas avec elles dans le cadre de leurs activités normales. Dans certains cas, Heroku ou nos développeurs peuvent être amenés à interagir avec les données ou les applications des clients à la demande de ces derniers, à des fins d'assistance ou lorsque la loi l'exige. L'accès aux données des clients est contrôlé et tout accès par le personnel d'Heroku est accompagné de l'approbation du client ou d'un mandat gouvernemental, de la raison de l'accès, des actions entreprises par le personnel et de l'heure de début et de fin de l'assistance.
Le personnel de Prosci n'a accès qu'en cas de besoin de savoir, sur la base d'une autorisation d'accès spécifique. Prosci n'extraira ni n'utilisera de données spécifiques aux clients, sauf si elle dispose d'une base légale pour le faire afin de remplir l'objectif pour lequel les données ont été collectées. Prosci examinera les métadonnées afin de comprendre quelles parties des systèmes sont utilisées et de déterminer comment répondre au mieux aux besoins des clients.
Les Meilleures Pratiques de Sécurité Client de Prosci
Chiffrer les données sensibles au repos et en transit
Les données des clients sont cryptées à la fois en transit via HTTPS / SSL et au repos dans la base de données. Les attributs communs des données tels que les mots de passe et les secrets d'autorisation à deux facteurs sont cryptés au repos et filtrés hors des journaux de données dans le cadre des schémas respectifs utilisés pour mettre en œuvre ces fonctionnalités.
Enregistrement
La journalisation de l'espace privé est une fonctionnalité qui nous permet de configurer la capture des journaux au niveau de l'espace plutôt qu'au niveau de l'application, offrant ainsi la Capacité de séparer les journaux pour des environnements clients spécifiques lorsqu'un environnement de bouclier privé spécifique au client est demandé. Pour de plus amples informations techniques, voir : https://devcenter.heroku.com/articles/logging.
Application Hierarchy
La solution Prosci basée sur le hub a été construite sur la pile Heroku-20. La période d'assistance actuelle d'Heroku s'étend jusqu'à avril 2025 au minimum.
Ressources complémentaires
Sécurité, confidentialité et architecture Heroku (SPARC) :
Espaces privés Heroku :
https://www.heroku.com/private-spaces
Bouclier Heroku :