Aller au contenu

Sécurité des SaaS Squash

Notre offre SaaS Squash est conçue pour être simple, efficace, performante et sécurisée par défaut. Vous trouverez ci-dessous les informations concernant l'hébergement de notre offre SaaS sur Squash TM, son infrastructure et sa sécurité.

Hébergement

Hébergement Squash

L'instance SaaS de Squash fournie par Henix, ainsi que ses données, incluant les sauvegardes, est hébergée dans des centres de données situés physiquement en France et gérés par des sociétés de droit français.

Les hébergeurs utilisés par l'offre SaaS Squash d'Henix sont :

(OVHcloud n'est utilisé que pour assurer la redondance du stockage - chiffré - des sauvegardes.)

Ils possèdent les certifications décrites sur leurs sites respectifs :

L'accès physique à nos serveurs est strictement contrôlé par ces fournisseurs.

RGPD

Les SaaS sont conformes aux attentes du Règlement Général de Protection des Données (RGPD) :

  • aucune donnée à caractère personnel (DCP) n'est demandée ni traitée dans le cadre du fonctionnement des applications hébergées. Les utilisateurs sont responsables des données saisies dans les applicatifs et Henix n'y applique aucun traitement autre que ceux nécessaires à ses engagements de services (sauvegardes, journaux de connexion) ;
  • Henix n'emploie pas d'entreprise sous-traitante qui serait amenée à traiter des données à caractère personnel ou qui utiliserait une infrastructure en dehors de l'Union Européenne ;
  • seuls les agents habilités ont accès aux données dont ils ont besoin ;
  • l'accès aux locaux d'Henix est sécurisé.

Tout client peut contacter Henix via le formulaire de contact sur son site afin d'exercer ses droits :

  • droit d'accès : la personne accède à toutes les informations détenues sur elle ;
  • droit de rectification : la personne modifie des informations détenues sur elle ;
  • droit d'effacement : la personne demande la suppression des informations détenues sur elle (suivant le cadre établi par le RGPD) ;
  • droit à la portabilité : la personne récupère dans un format ouvert et lisible par machine les informations détenues sur elle.

Sécurisation

Politique des accès à Squash

Les contrôles d'accès sont guidés par le principe du moindre privilège. Un compte applicatif avec un rôle administrateur Squash TM est fourni au client à la création du SaaS et tout utilisateur créé dans l'application Squash TM n'a, par défaut, aucun accès aux projets existants. C'est au compte administrateur client d'attribuer un droit d'accès en lecture et écriture pour chaque projet et chaque utilisateur.

Pour accéder à Squash TM, les utilisateurs doivent entrer leur identifiant, les comptes sont créés et gérés par le client. La mise en place d'une authentification unique ("SSO") optionnelle est possible sur demande. Les protocoles pris en charge sont SAML 2.0 et OpenID.
L'accès aux points de terminaison (endpoints) de Squash Orchestrator est sécurisé à l'aide de jetons.

Politique de rétention des journaux de l'application

Les journaux d'accès et d'activité ("logs") de l'application Squash TM sont conservés trois mois. Ils sont accessibles par les administrateurs de Squash TM ainsi que l'équipe support Henix.

Plan de reprise d'activité

Henix dispose d'un plan de reprise d'activité (PRA) qui garantit un impact minime pour nos clients et une disponibilité applicative sur l'année conformes aux Conditions Générales de Ventes (CGV). Des sauvegardes quotidiennes, multiples, testées et redondantes des applications et de leur base de données autorisent une perte de données maximale admissible de 24h (pire scénario). La politique de sauvegarde est décrite dans les CGV.

Sécurité système et réseau

L'hébergement de l'ensemble des instances SaaS de Squash est répartie sur plusieurs serveurs, chaque client étant dans son propre conteneur isolé des autres avec sa propre IP publique. Le pare-feu n'autorise que les flux chiffrés via HTTPS (protocole TLS 1.2 minimum). Aucun autre flux n'est autorisé. L'équipe plateforme d'Henix est la seule à avoir accès aux infrastructures logiques sous-jacentes de l'offre SaaS d'Henix.

Politique de mises à jour

Les mises à jour de sécurité du système d'exploitation (incluant serveurs web, bases de données, environnements Java…) sont effectuées automatiquement dans les 24 à 48 heures qui suivent leurs mises à disposition sur les dépôts officiels. Les mises à jour non critiques du système d'exploitation sont installées de manière hebdomadaire selon la même procédure.

Concernant les mises à jour de sécurité des applications, les clients sont notifiés et les applications sont mises à jour dans les meilleurs délais, conformément aux dispositions des CGV.