À propos de la sécurité des informations dans ClearID
L'ensemble des données et des fichiers importés dans Genetec ClearIDMC sont chiffrés, et toutes les communications avec la plate-forme sont sécurisées. Ces mesures de chiffrement et de sécurité garantissent que les données sensibles, les fichiers et les communications ne sont visibles que par les utilisateurs qui disposant des accès adéquats.
Normes de chiffrement
- Chiffrement des données
- Toutes les données personnelles gérées par ClearID sont chiffrées par AES-256 (Advanced Encryption Standard sur 256 bits) avec des clés symétriques générées automatiquement. Ce chiffrement automatique garantit que chaque blob de données, comme une identité, reçoit une clé AES unique.
Pour une protection supplémentaire, la clé AES est également chiffrée avec une clé privée associée exclusivement à la clé privée du compte. Toutes les clés de chiffrement utilisées par ClearID sont gérées de manière sécurisée dans Azure Key Vault, qui prend en charge les HSM validés par la norme FIPS 140-2 de niveau 2.
- Intégrité des données
- Une signature numérique (SHA-512 ave RSA) est générée pour détecter toute tentative de modification des données et garantir l’intégrité des informations et des actions au sein du système. L'analyse et l'identification unique de toutes les données à l'aide d'un algorithme complexe empêchent les attaquants de supprimer, modifier ou ajouter du contenu aux données stockées dans ClearID.
- Chiffrement des communications
- Les communications au sein de la plate-forme sont sécurisées par le protocole HTTPS (Hypertext Transfer Protocol Secure) et par des certificats TLS (Transport Layer Security) pour garantir que seuls les tiers de confiance puissent accéder aux données gérées par ClearID. Ce chiffrement des communications garantit la confidentialité des informations et limite les risques d’attaques malveillantes visant à intercepter ou modifier les communications en transit.
Sécurité des réseaux et informations
En tant que fournisseur de solutions de sécurité de confiance pour des agences gouvernementales et des organisations publiques et privées de premier plan dans le monde, nous prenons très au sérieux le respect des lois locales. Cette conformité prend en compte les lois relatives à la sécurité des données et à la protection de la confidentialité des pays dans lesquels nous commercialisons nos produits et services.
- Développement et opérations sécurisés
- Nos équipes de développement et d'exploitation sont certifiées ISO 27001:2013. Notre équipe dédiée à la sécurité gère et examine les exigences d'architecture et de conception, en veillant au respect des normes et réglementations les plus strictes du secteur, y compris le Règlement général sur la protection des données (RGPD). Chaque modification apportée à ClearID est soumise à une série de tests automatisés très stricts et à des tests de pénétration répétés par des spécialistes du secteur de la sécurité informatique.
- Architecture à confiance zéro
- Les données clients sont segmentées à travers une série de microservices. Chaque microservice a un rôle spécifique dans le système et le service a uniquement accès aux données minimales requises pour effectuer cette tâche. Il n'existe aucun référentiel central des données susceptible d'être attaqué. Les informations sont réparties entre des référentiels en silos indépendants. Le réseau du centre de données est considéré comme dangereux dans notre architecture de confiance zéro. Toutes les données transmises et reçues entre les microservices sont cryptées et signées numériquement.
- Surveillance des services
- Nous sommes abonnés à divers fils et services de suivi des menaces, dont Check Point, Microsoft, Mandiant et Hyphen. En fonction de la nature des menaces en évolution, nous adaptons nos contrôles aussi souvent que nécessaire. Les environnements de production sont constamment surveillés à l'aide des services de surveillance suivants :L'objectif est de détecter les erreurs transitoires, les problèmes de centre de données, la dégradation des performances et les pannes des FAI avant que les utilisateurs ne s'aperçoivent du problème sur leur système.
- Exécution d'une série de transactions synthétiques toutes les 5 minutes pour émuler des utilisateurs dans le monde entier.
- Suivi en permanence de toute une série d'indicateurs sur les serveurs pour détecter toute anomalie, comme un nombre inhabituel d’échecs de requêtes web.
- Déclenchement automatique d'une alarme auprès de notre équipe de développement et d'exploitation, qui prend alors des mesures immédiates pour corriger le problème et limiter tout impact sur l'environnement de production.
Authentification des utilisateurs
Par défaut, ClearID utilise Azure Active Directory B2C et Azure AD B2B pour l’authentification des utilisateurs. Les entreprises peuvent également fédérer leurs identités utilisateur Active Directory (AD) existantes via Microsoft Azure Active Directory ou tout système prenant en charge la norme OpenID Connect pour fournir une fonction d'authentification unique (SSO) et s'assurer que le système est conforme aux exigences des politiques d'entreprise pour l'authentification des utilisateurs.
Le système d'authentification est basé sur le modèle d'authentification passive avec OAuth 2.0 et OpenID Connect, ce qui permet d'intégrer le serveur d'identité (AD ou autre) directement sur la page de connexion. Les administrateurs d'identité peuvent définir la façon dont les utilisateurs seront authentifiés. Il peut s’agir de mots de passe, jetons, biométrie, ou une combinaison de plusieurs de ces techniques.
L'utilisation d'Active Directory permet aux entreprises d'appliquer une grande variété de règles de validation des utilisateurs et des mots de passe, ainsi que des exigences d'expiration. Parmi ces exigences figurent notamment l'authentification multifacteur, la désactivation des identifiants utilisateur après plusieurs tentatives de connexion infructueuses et bien d'autres options de configuration.