Aller au contenu

Sécurité de nos SaaS Squash

Notre offre SaaS Squash est conçue pour être simple, efficace, performante et sécurisée par défaut. Vous trouverez ci-dessous les informations concernant l'hébergement de notre offre SaaS sur Squash TM, son infrastructure et sa sécurité.

Hébergement

L'offre SaaS Squash d'Henix propose une instance Squash TM ainsi qu'optionnellement une instance du gestionnaire d'anomalies Jira Cloud (propriétaire par Atlassian).

Hébergement Squash TM

L'instance SaaS de Squash TM fournie par Henix, ainsi que ses données, incluant les sauvegardes, est hébergée dans des centres de données situés physiquement en France et gérés par des sociétés de droit français.

Les hébergeurs utilisés par l'offre SaaS Squash d'Henix sont :

L'accès physique à nos serveurs est strictement contrôlé par nos fournisseurs, lesquels possèdent les certifications suivantes :

  • ISO 27001 : 2013 - Système de management de la sécurité
  • ISO 50001 : 2018 - Système de management de l'énergie
  • RGPD
  • Tier 3 Uptime Institute : 2014
  • SWIPO

Vous trouverez plus d'informations sur leurs sites web officiels :

Hébergement Jira Cloud (Atlassian)

Si l'offre Squash SaaS choisie comprend l'utilisation de Squash TM avec le logiciel JiraCloud d'Atlassian, l'instance JiraCloud est hébergée directement par la société Atlassian et suit les directives officielles Atlassian. Henix ne peut pas garantir que les données synchronisées entre Squash TM et JiraCloud restent dans des centres de données en France et soient hébergées par des sociétés de droit Français. Le client est invité à se renseigner auprès d'Atlassian s'il souhaite contrôler ou connaître le site d'hébergement. Atlassian affirme respecter les exigences européennes notamment en matière de confidentialité (RGPD).

RGPD

Les SaaS sont conformes aux attentes du Règlement Général de Protection des Données (RGPD) :

  • Aucune donnée à caractère personnel (DCP) n'est demandée ni traitée dans le cadre du fonctionnement des applications hébergées. Les utilisateurs sont responsables des données saisies dans les applicatifs et Henix n'y applique aucun traitement autre que ceux nécessaires à ses engagements de services (sauvegardes, journaux de connexion) ;
  • Henix n'emploie pas d'entreprise sous-traitante qui serait amenée à traiter des données à caractère personnel ou qui utiliserait une infrastructure en dehors de l'Union Européenne ;
  • Seuls les agents habilités ont accès aux données dont ils ont besoin ;
  • L'accès aux locaux d'Henix est sécurisé.

Tout client peut contacter Henix via le formulaire de contact sur son site afin d'exercer ses droits :

  • droit d’accès : la personne accède à toutes les informations détenues sur elle ;
  • droit de rectification : la personne modifie des informations détenues sur elle ;
  • droit d’effacement : la personne demande la suppression des informations détenues sur elle (suivant le cadre établi par le RGPD)
  • droit à la portabilité : la personne récupère dans un format ouvert et lisible par machine les informations détenues sur elle.

Infrastructure et Sécurisation

Architecture de l'application

L'offre SaaS Squash d'Henix repose sur les composants suivants :

  • Apache 2 ;
  • Squash TM et son serveur applicatif embarqué ;
  • Environnement d’exécution Java (version de support à long terme uniquement) ;
  • Base de données PostgreSQL ;
  • Optionnel : XSquash-Cloud pour l’offre JiraCloud.

Le tout fonctionne en environnement virtualisé sur système d'exploitation basé Linux (distribution Debian stable en cours de support).

Politique des accès à l'application Squash TM

Les contrôles d'accès sont guidés par le principe du moindre privilège. Un compte applicatif avec un rôle administrateur Squash TM est fourni au client à la création du SaaS et tout utilisateur créé dans l'application Squash TM n'a, par défaut, aucun accès aux projets existants. C'est au compte administrateur client d'attribuer un droit d'accès en lecture et écriture pour chaque projet et chaque utilisateur.

Pour accéder à Squash TM, les utilisateurs doivent entrer leur identifiant, les comptes sont créés et gérés par le client. La mise en place d'une authentification unique (« SSO ») optionnelle est possible sur demande. Le protocole pris en charge est SAML 2.0.

Politique de rétention des journaux

Les journaux d'accès et d'activité (« logs ») de l'application Squash TM sont conservés un mois et une rotation des logs automatique est en place. Toutes les activités systèmes et réseaux du SaaS sont enregistrées dans des fichiers de log et sont accessibles uniquement par les administrateurs systèmes et réseaux ainsi que leur responsable IT. Les logs de l'application Squash TM sont également disponibles aux comptes administrateurs logiciels ainsi qu'au personnel de l'équipe support.

Plan de reprise d'activité

Henix dispose d'un plan de reprise d'activité (PRA) qui garantit un impact minime pour nos clients et une disponibilité applicative sur l'année conformes aux Conditions Générales de Ventes (CGV). Des sauvegardes quotidiennes, multiples, testées et redondantes (sur plusieurs hébergeurs) des applications et de leur base de données autorisent une perte de données maximale admissible de 24h (pire scénario). La politique de sauvegarde est décrite dans les CGV.

Sécurité système et réseau

L'hébergement de l'ensemble des instances SaaS de Squash TM est répartie sur plusieurs serveurs, chaque client étant dans son propre conteneur isolé des autres avec sa propre IP publique. Le pare-feu n'autorise que les flux chiffrés via HTTPS (protocole TLS 1.2 minimum). Aucun autre flux n'est autorisé. L’équipe administration système et réseau d'Henix est la seule à avoir accès aux infrastructures logiques sous-jacentes de l'offre SaaS d'Henix. L'accès physique à nos serveurs est strictement contrôlé par nos hébergeurs.

Politique de mises à jour

Pour chaque instance SaaS, les mises à jour de sécurité du système d'exploitation (incluant les intergiciels type serveur web, bases de données, environnement Java, etc.) sont effectuées automatiquement dans les 24 à 48 heures qui suivent leurs mises à disposition sur les dépôts officiels. Les mises à jour non critiques du système d'exploitation sont installées de manière hebdomadaire selon la même procédure.

Concernant les mises à jour de sécurité applicative de l'offre SaaS (Squash TM, XsquashCloud), les clients sont avertis au plus tôt par courriel de la sortie de cette mise à jour ainsi que du créneau sur lequel le ou les applicatifs SaaS seront mis à jour. Les mises à jour ont toujours lieu en dehors des heures ouvrées (correspondant aux heures d'ouverture du support Squash).

La mise à jour de JiraCloud dépend de la politique d'Atlassian.