Sécurité certifiée chez Bizneo HR

Analyse régulière des systèmes pour identifier de nouveaux risques et évaluer les mesures d’atténuation en place, avec un examen approfondi au moins une fois par an ou dans les cas suivants :

• Modifications des informations.
• Changements dans les services.
• Incident de sécurité majeur.
• Problèmes de non-conformité détectés lors d'audits internes ou externes.
• Évolutions législatives.
• Nouveaux besoins en matière de qualité.

• Notre équipe de sécurité reste informée des dernières vulnérabilités et correctifs pour maintenir notre infrastructure protégée contre les attaques, notamment les récentes attaques visant les protocoles SSL.
• Dans le cadre de notre processus de développement sécurisé, lors de la phase d’intégration continue, toutes les vulnérabilités récemment identifiées par les principales communautés de sécurité applicative, telles que OWASP et SANS, sont analysées.
• Grâce à une surveillance constante, nous pouvons anticiper la détection des vulnérabilités et en informer nos clients par une notification formelle.
• De plus, nous disposons d’un canal dédié permettant, aussi bien en interne qu’à travers nos clients, de signaler toute éventuelle incidence (par le biais de notre canal de support ou à l’adresse : security@bizneo.com).

• Tous les collaborateurs de Bizneo HR suivent une formation annuelle sur notre Politique de Sécurité de l’Information.
• Signature d'une politique de confidentialité au début de leur collaboration.
• Évaluation stricte des fournisseurs pour garantir leur conformité avec nos normes.

• Nous limitons et contrôlons l'accès à nos systèmes et données. Nous définissons qui peut accéder aux ressources et dans quelle mesure, en veillant à ce que seul le personnel autorisé dispose des permissions nécessaires pour accomplir ses tâches.
• Le Système de Sécurité de l'Information mis en œuvre chez Bizneo repose sur le Principe du Moindre Privilège, selon lequel les utilisateurs du système se voient accorder uniquement les niveaux (ou permissions) d'accès minimaux nécessaires à l'exécution de leurs fonctions. L'objectif est de restreindre l'accès aux informations et aux ressources uniquement à ce qui est strictement requis pour accomplir une tâche spécifique.
• Ce principe garantit que chaque entité (qu'il s'agisse d'un processus, d'un utilisateur ou d'un programme) n'accède qu'aux éléments essentiels à son objectif légitime, sans octroi de privilèges superflus.
• En limitant les privilèges, nous réduisons l'exposition aux cyberattaques et évitons l'accumulation de privilèges.

• Nous disposons d’un système d’auto-scalabilité automatique grâce à Kubernetes, ce qui nous permet de répondre en quelques secondes à des demandes de trafic élevées en augmentant rapidement le nombre de serveurs.
• L'auto-scalabilité est implémentée à la fois sur les serveurs de l'application et sur ceux dédiés au traitement des informations de nos clients.
• Grâce à ces mesures, et à d’autres encore, nous atteignons une disponibilité supérieure à 99,5 %, ayant même frôlé les 100 % ces derniers mois.

• Les applications proposées par Bizneo S.L en tant que SaaS sont exécutées et hébergées intégralement sur les services Amazon Web Services (AWS).
• Les services AWS utilisés sont certifiés selon les normes ISO 27001, PCI-DSS Compliance, SOC 1 et SOC 2/SSAE, entre autres. Plus d'informations sur la sécurité d'AWS ici.

• Bizneo repose sur des systèmes d'information. Par conséquent, nous prenons les mesures nécessaires pour les protéger contre tout dommage accidentel ou intentionnel pouvant affecter la disponibilité, l'intégrité, la confidentialité, l'authenticité ou la traçabilité des informations et des services fournis.
• Des procédures et politiques appropriées ont été développées pour la gestion et le traitement des informations. Cela inclut la mise en œuvre de mesures de chiffrement et de protection pour garantir la sécurité des informations à tout moment, que ce soit lors de leur stockage ou de leur transmission.
• Données au repos : Nos bases de données sont sécurisées par des contrôles de confidentialité et d'intégrité utilisant des algorithmes de chiffrement AES-256 GCM.
• Données en transit : Toutes les données en transit sont chiffrées via HTTPS, utilisant les protocoles SSL correspondants (TLS 1.2 et TLS 1.3).
• Gestion des clés : Nous utilisons le service géré AWS KMS. Lors de la génération des clés, un module de sécurité matériel (HSM) est utilisé. Ce module respecte les normes SP800-90B et produit une entropie de haute qualité allant jusqu'à 20 Mb/s par HSM.

Sauvegarde (Backup) - Bizneo dispose d’un système de sauvegarde robuste pour assurer la sécurité des configurations et des données de ses clients, tout en minimisant le temps de réaction en cas de problème. - Fréquence et durée : Sauvegardes complètes automatiques quotidiennes, conservées pendant au moins 1 an. - Type de sauvegarde : Snapshots AWS et dumps journaliers stockés sur des espaces de stockage longue durée avec chiffrement au repos (AES-256). Restauration Point In Time. - Séparation des fichiers : Les fichiers ne sont jamais stockés dans la base de données. Ils sont hébergés sur AWS S3, qui offre ses propres solutions de sauvegarde et de redondance. - Tests de restauration : Des tests hebdomadaires sont effectués dans des environnements contrôlés pour vérifier la fiabilité des sauvegardes. - Plateforme et protection : Toutes les sauvegardes sont gérées au sein d'AWS, où elles sont chiffrées en repos (AES-256) et en transit (HTTPS, TLS 1.2/1.3).

-Récupération : L’entreprise a mis en place une procédure pour faire face aux interruptions de l’activité commerciale et protéger les processus critiques des effets des pannes majeures dans les systèmes d’information, en garantissant leur rétablissement immédiat. À cet effet, un plan de continuité des activités a été élaboré pour réduire l’impact sur l’infrastructure de Bizneo, et par conséquent sur l’entreprise, ainsi que pour permettre la récupération des actifs d’information (qu’il s’agisse d’accidents, de pannes d’équipement, d’actes délibérés, etc.) afin que les processus des départements atteignent un niveau acceptable de continuité grâce à des mesures de récupération correctives et préventives.

• L’entreprise a réalisé une analyse complète des risques et obtenu des résultats qui ont permis de définir leur gestion. Cette analyse permet d’évaluer l’impact de la perte de disponibilité des actifs, de déterminer leur criticité et la probabilité qu’une menace se concrétise en exploitant des vulnérabilités techniques ou procédurales, tout en identifiant leurs interdépendances.
• Sur la base de ces résultats, les situations susceptibles de provoquer une interruption de la continuité de l’entreprise sont prises en compte, et différents scénarios sont élaborés, accompagnés d’une échelle d’effets. Des actions de réponse sont définies en tenant compte des contrôles en place pour résoudre l’interruption lorsqu’ils peuvent être exploités.
• Parmi ses autres caractéristiques, notre infrastructure peut être déployée dans n’importe quelle région d’Europe. Notre sauvegarde quotidienne peut être restaurée sur une autre instance AWS en moins d’une journée (en cas de sinistre sur notre instance principale : EU-WEST-1).

• La méthodologie de développement utilisée chez Bizneo est le S-SDLC (Secure Software Development Life Cycle), qui consiste à intégrer les exigences de sécurité à toutes les phases du développement logiciel - depuis la définition jusqu’à la vérification avant la mise en production.

• Cela garantit que les mesures préventives pour assurer la sécurité des informations et des systèmes sont prises en compte dès les premières phases du développement, réduisant ainsi les frictions et les coûts liés à leur mise en œuvre.

• Les clés de cette méthodologie sont l’attention au détail, l’identification précoce des vulnérabilités (en surveillant les dernières publications des principales communautés de sécurité comme OWASP) et l’amélioration continue tout au long du cycle de développement.

• Bizneo, en matière de sécurité, respecte les normes établies au sein de la communauté internationale, comme en témoignent nos certifications ISO 27001 et ENS.
• De plus, pour vérifier et renforcer ces garanties, nous réalisons au moins une fois par an un pentest externe, en analysant minutieusement les résultats afin de prendre toutes les mesures nécessaires.
• Nous sommes également ouverts à ce que nos clients réalisent leur propre série de tests de pentesting sur Bizneo si nécessaire.

Continue du Processus de Sécurité

Nous sommes pleinement engagés dans le développement, la mise en œuvre, le maintien et l’amélioration continue de notre Politique de Sécurité et de notre Système de Gestion de la Sécurité de l’Information (SGSI).