Notre approche globale de la sécurité

Afin de réduire au minimum les risques de sécurité, une approche holistique de la sécurité est nécessaire. Nos processus de sécurité sont nés d'une définition claire des menaces qui pèsent sur notre système.

Objectifs de sécurité

Confidentialité -Les informations au sein de notre infrastructure et de nos systèmes ne seront accessibles qu'aux utilisateurs autorisés

Intégrité -Les données et informations au sein de notre infrastructure ne peuvent être altérées par un utilisateur non autorisé

Protection des données -Les données dans les systèmes ne peuvent pas être endommagées, supprimées ou détruites

Identification et authentification – Garantit que tout utilisateur du système est bien celui qu'il prétend être et élimine les risques d'usurpation d'identité

Protection du service réseau – Garantit que l'équipement réseau est protégé contre les tentatives de piratage malveillant ou les attaques qui menacent la disponibilité

Notre modèle de sécurité holistique

Notre plate-forme de sécurité et notre processus s'appuient sur plusieurs niveaux de sécurité -composés de systèmes de sécurité et équipement1 associés à des procédures et pratiques de sécurité2 et à des processus d'audit3, pour assurer une sécurité inégalée pour tous les services que nous offrons. La plateforme aborde la sécurité à 7 niveaux différents

Sécurité de centre de données de niveau 1

Nos partenariats mondiaux de centres de données sont le résultat d'un processus complet de diligence raisonnable. La sécurité et la stabilité sont deux des variables les plus importantes de notre processus de diligence raisonnable. Tous les centres de données sont équipés de surveillance caméras, verrous biométriques, politiques d'accès basées sur l'autorisation, accès limité au centre de données, personnel de sécurité et équipements, processus et opérations de sécurité standard similaires.

Ce qui nous sépare cependant est le fait que notre dû Le processus de diligence intègre également une mesure de proactivité démontrée par le datacenter vis-à-vis de la sécurité. Ceci est mesuré en évaluant les pratiques passées, les études de cas de clients et le temps que le centre de données consacre vers la recherche et l'étude de la sécurité.

Sécurité réseau de niveau 2

Nos déploiements d'infrastructures mondiales intègrent des atténuateurs DDOS, Systèmes de détection d'intrusion et pare-feu à la périphérie et à la périphérie Niveau rack. Nos déploiements ont résisté au piratage et au DDOS fréquents tentatives (parfois jusqu'à 3 en une seule journée) sans aucune dégradation.

Pare-feu - Notre système de protection par pare-feu 24 heures sur 24 sécurise le périmètre et offre la meilleure première ligne de défense. Il utilise fortement une technologie d'inspection adaptative et avancée pour protéger vos données, site Web, e-mail et applications Web en bloquant le réseau non autorisé accéder. Il assure une connectivité contrôlée entre les serveurs qui stocker vos données et Internet grâce à l'application de la sécurité politiques élaborées par des experts en la matière.

Système de détection d'intrusion réseau - Notre détection, prévention et vulnérabilité des intrusions sur le réseau système de gestion fournit une protection rapide, précise et complète contre les attaques ciblées, les anomalies de trafic, les vers "inconnus", logiciels espions/adwares, virus de réseau, applications escrocs et autres exploits. Il utilise des processeurs réseau ultramodernes à hautes performances qui effectuer des milliers de vérifications sur chaque flux de paquets simultanément avec pas d'augmentation perceptible de la latence. Au fur et à mesure que les paquets transitent par notre systèmes, ils sont entièrement examinés pour déterminer s'ils sont légitime ou nuisible. Cette méthode de protection instantanée est la mécanisme le plus efficace pour s'assurer que les attaques nuisibles n'atteignent pas leurs cibles.

Protection contre les attaques par déni de service distribué (DDoS) - Le déni de service est actuellement la principale source de perte financière due à cybercriminalité. Le but d'une attaque par déni de service est de perturber votre activités commerciales en arrêtant le fonctionnement de votre site web, email ou des applications Web. Ceci est réalisé en attaquant les serveurs ou réseau qui hébergent ces services et surchargent les ressources clés telles que que la bande passante, le processeur et la mémoire. Les motifs typiques derrière de telles attaques sont l'extorsion, le droit de se vanter, les déclarations politiques, compétition, etc. Pratiquement toute organisation qui se connecte au Internet est vulnérable à ces attaques. L'impact commercial des grandes les attaques DoS soutenues sont colossales, car elles entraîneraient des pertes de profits, insatisfaction des clients, perte de productivité, etc. due à l'indisponibilité ou détérioration du service. Une attaque DoS dans la plupart des cas atterrirait même vous avec la plus grande facture de dépassement de bande passante que vous ayez jamais vue.

Notre système de protection contre le déni de service distribué fournit protection inégalée contre les attaques DoS et DDoS sur votre infrastructures accessibles sur Internet, c'est-à-dire vos sites Web, votre courrier électronique et votre mission applications Web critiques, en utilisant des technologies de pointe technologie qui se déclenche automatiquement dès qu'une attaque est lancé. Le système de filtrage de l'atténuateur DDoS bloque presque tous trafic frauduleux et garantit que le trafic légitime est autorisé jusqu'à la plus grande mesure possible. Ces systèmes ont parfaitement protégé plusieurs sites Web de pannes de service importantes causées par des des attaques atteignant plus de 300 Mbps dans le passé, permettant ainsi aux organisations pour se concentrer sur leur entreprise.

Sécurité de l'hôte de niveau 3

Système de détection d'intrusion basé sur l'hôte - Avec l'avènement d'outils capables de contourner le blocage des ports systèmes de défense périmétrique tels que les pare-feu, il est désormais essentiel pour entreprises à déployer un système de détection d'intrusion basé sur l'hôte (HIDS) qui se concentre sur la surveillance et l'analyse des composants internes d'un ordinateur système. Notre système de détection d'intrusion basé sur l'hôte aide à détecter et identifier les modifications apportées au système et aux fichiers de configuration -que ce soit par accident, à partir d'une altération malveillante ou d'une intrusion externe -en utilisant analyseurs heuristiques, informations du journal de l'hôte et système de surveillance activité. La découverte rapide des changements diminue le risque de potentiel dommages, et réduit également les temps de dépannage et de récupération, ainsi réduire l'impact global et améliorer la sécurité et le système disponibilité.

Standardisation du matériel- Nous avons standardisé sur les fournisseurs de matériel qui ont une expérience de des normes de sécurité élevées et un support de qualité. La plupart de nos infrastructures et les partenaires de centres de données utilisent des équipements de Cisco, Juniper, HP, Dell, etc.

Sécurité logicielle de niveau 4

Nos applications fonctionnent sur une myriade de systèmes avec une myriade de logiciels serveur. Les systèmes d'exploitation incluent diverses versions de Linux, BSD, Windows. Le logiciel serveur comprend des versions et des versions d'Apache, IIS, Resin, Tomcat, Postgres, MySQL, MSSQL, Qmail, Sendmail, Proftpd, etc. Nous assurons la sécurité malgré la diversité du portefeuille de logiciels produits que nous utilisons en suivant une approche axée sur les processus

Application en temps opportun des mises à jour, des corrections de bogues et des correctifs de sécurité - Tout les serveurs sont enregistrés pour les mises à jour automatiques afin de s'assurer qu'ils sont toujours avoir installé le dernier correctif de sécurité et que tout nouveau les vulnérabilités sont corrigées dès que possible. Le plus grand nombre des intrusions résultent de l'exploitation de vulnérabilités connues, erreurs de configuration ou attaques de virus où les contre-mesures SONT Déjà disponible. Selon le CERT, les systèmes et les réseaux sont impactés par ces événements car ils n'ont "pas systématiquement" déployé les correctifs qui ont été libérés.

Nous comprenons parfaitement l'exigence d'un correctif et d'une mise à jour solides processus de gestion. À mesure que les systèmes d'exploitation et les logiciels de serveur obtiennent de plus en plus complexe, chaque nouvelle version est parsemée de failles de sécurité. Les informations et les mises à jour des nouvelles menaces de sécurité sont publiées sur un presque quotidiennement. Nous avons construit des processus cohérents et reproductibles et un cadre d'audit et de reporting fiable qui garantit que tous nos les systèmes sont toujours à jour.

Analyses de sécurité périodiques - Des contrôles fréquents sont exécutés utiliser un logiciel de sécurité de niveau entreprise pour déterminer si des serveurs présentent des vulnérabilités connues. Les serveurs sont analysés par rapport au les bases de données les plus complètes et les plus à jour des vulnérabilités connues. Cela nous permet de protéger de manière proactive nos serveurs contre les attaques et assurer la continuité des activités en identifiant les failles de sécurité ou vulnérabilités avant qu'une attaque ne se produise.

Processus de test préalable à la mise à niveau - Les mises à niveau logicielles sont publié fréquemment par divers éditeurs de logiciels. tandis que chaque fournisseur suit ses propres procédures de test avant la publication de toute mise à niveau, ils ne peuvent pas tester les problèmes d'interopérabilité entre les différents logiciels. Pour exemple, une nouvelle version d'une base de données peut être testée par la base de données vendeur. Cependant, l'impact du déploiement de cette version sur une production système exécutant divers autres logiciels FTP, Mail, Web Server ne peut pas être directement déterminée. Notre équipe d'administration système documente les analyse d'impact de diverses mises à niveau logicielles et si l'une d'entre elles est perçus comme présentant un risque élevé, ils sont d'abord bêta-testés dans nos laboratoires avant le déploiement en direct.

Sécurité des applications de niveau 5

Tout du logiciel d'application qui est utilisé dans la plate-forme est construit par nous. Nous ne sous-traitons pas le développement. Tout produit tiers ou Les composants passent par des procédures de formation et de test complètes où tous les éléments de ces produits sont décomposés et les connaissances sur leur architecture et leur mise en œuvre sont transférées à notre équipe. Cette nous permet de contrôler complètement toutes les variables impliquées dans tout produit particulier. Toutes les applications sont conçues à l'aide de notre processus d'ingénierie de produit propriétaire qui suit une approche proactive approche de la sécurité.

Chaque application est décomposée en plusieurs composants tels que l'interface utilisateur, l'API principale, la base de données principale, etc. couche d'abstraction a ses propres contrôles de sécurité, malgré la sécurité contrôles effectués par une couche d'abstraction supérieure. Toutes les données sensibles sont stocké dans un format crypté. Notre ingénierie et développement pratiques garantissent le plus haut niveau de sécurité vis-à-vis de tous logiciel d'application

Sécurité du personnel de niveau 6

Le maillon le plus faible de la chaîne de sécurité est toujours celui en qui vous avez confiance. Personnel, personnel de développement, fournisseurs, essentiellement toute personne ayant un accès privilégié à votre système. Notre sécurité holistique L'approche tente de minimiser les risques de sécurité provoqués par le "Human Facteur". Les informations ne sont divulguées qu'en cas de "besoin d'en connaître". L'autorisation expire à l'expiration de l'exigence. Le personnel est coaché ​​spécifiquement sur les mesures de sécurité et la criticité des les observant.

Chaque employé disposant de privilèges d'administrateur sur l'un de nos les serveurs passent par une vérification complète des antécédents. Les entreprises qui ignorer cela met en danger toutes les données sensibles et importantes appartenant à leurs clients, car peu importe combien d'argent est investi dans des solutions de sécurité haut de gamme, une mauvaise embauche -avoir le droit quantité d'accès -peut causer des dommages plus importants que n'importe quelle attaque externe.

Processus d'audit de sécurité de niveau 7

Dans un vaste déploiement de serveurs distribués à l'échelle mondiale, les processus d'audit sont nécessaires pour assurer la réplication des processus et la discipline. Sont tous les serveurs sont-ils régulièrement patchés ? Les scripts de sauvegarde exécutent-ils tous les temps? Les sauvegardes hors site sont-elles alternées comme vous le souhaitez ? Sont appropriés vérifications des références effectuées sur tout le personnel ? Est-ce que la sécurité l'équipement envoie-t-il des alertes en temps opportun ?

Ces questions et bien d'autres sont régulièrement vérifiées dans un processus hors bande qui implique enquêtes, enquêtes, tentatives de piratage éthique, interviews, etc. Notre les mécanismes d'audit nous alertent d'un défaut dans nos processus de sécurité avant qu'il est découvert par des utilisateurs externes.