Sécurité

Hébergement des données, chiffrement et sécurité réseau

Emplacement des données

Notre centre de données principal est Hetzner Online GmbH, situé en Allemagne, dans l'Union européenne.

Sauvegardes

Une sauvegarde quotidienne des bases de données de Mindomo est stockée chez Amazon AWS à Francfort, en Allemagne. Par ailleurs, chaque utilisateur peut choisir d'utiliser les intégrations Google Drive, OneDrive, Dropbox et FTP pour sauvegarder ses données. Il peut connecter son compte Mindomo à son compte Google Drive, OneDrive, Dropbox et/ou FTP et effectuer une sauvegarde quotidienne de tous ses diagrammes.

Fiabilité

• Tout le contenu client est instantanément écrit sur plusieurs serveurs.
• Les fichiers téléchargés par nos clients sont stockés sur plusieurs serveurs.
• Notre infrastructure est entièrement redondante et regroupée en clusters.
• Nous effectuons régulièrement des tests de reprise après sinistre.

Chiffrement en transit

Sur les réseaux publics, nous n'envoyons des données qu'au moyen d'un chiffrement fort. Nous utilisons des certificats SSL délivrés par Sectigo RSA et RapidSSL CA. La connexion utilise un chiffrement 256-bit. Vous pouvez consulter les algorithmes de chiffrement actuellement pris en charge ici.

Chiffrement au repos

Nous appliquons un chiffrement conforme aux normes du secteur pour le contenu client, comme suit :

Paiements et stockage des données de carte bancaire

Tous les paiements effectués pour Mindomo passent par https://stripe.com (certifié PCI). Pour plus d'informations, veuillez consulter https://stripe.com/privacy. Aucune donnée de carte bancaire ni aucune information liée aux paiements n'est stockée sur les serveurs de Mindomo. Nous utilisons également www.paypal.com pour les paiements effectués via votre compte PayPal.

Accès et gestion du contenu client

Nous avons mis en place les procédures formelles suivantes afin de limiter l'accès au contenu client :

Sécurité réseau

• Notre infrastructure logicielle est régulièrement mise à jour avec les derniers correctifs de sécurité.
• L'accès aux systèmes n'est possible qu'au moyen d'une authentification par clé publique.
• Chaque système utilise les algorithmes de chiffrement et de clés les plus sûrs disponibles.
• Nous mettons en œuvre des pare-feu correctement configurés, des contrôles d'accès réseau et d'autres mesures techniques destinées à empêcher tout accès non autorisé à nos systèmes.
• Nous mettons en œuvre des contrôles adéquats pour garantir que les correctifs de sécurité des systèmes et applications utilisés pour fournir le service sont correctement évalués, testés et appliqués.
• Nous consignons les accès privilégiés aux serveurs traitant le contenu client.
• Des experts en sécurité tiers indépendants réalisent chaque année des tests d'intrusion sur Mindomo.

Sécurité physique

Nos serveurs de pointe sont hébergés chez Hetzner Online GmbH, un centre de données sécurisé certifié ISO 27001, situé au cœur de Nuremberg et à Falkenstein/Vogtland, en Allemagne. Les deux parcs de centres de données de Hetzner Online offrent à notre produit une excellente infrastructure respectueuse de l'environnement. Des connexions réseau multi-redondantes vers des points d'échange Internet majeurs garantissent un accès rapide au site. Seul le personnel autorisé a accès au centre de données. Une présence sur site 24 h/24 et 7 j/7 offre une protection supplémentaire contre les intrusions et les failles de sécurité.

Le centre de données est protégé par une clôture périphérique de haute sécurité sous vidéosurveillance, entourant l'ensemble du parc de centres de données :

• Entrée via des terminaux de contrôle d'accès électronique avec clé à transpondeur ou carte d'admission.
• Des caméras de surveillance ultramodernes assurent une surveillance 24 h/24 et 7 j/7 des voies d'accès, des entrées, des systèmes d'interverrouillage des portes de sécurité et des salles de serveurs.

Sécurité applicative

Sécurité du code

Notre équipe de développement examine attentivement l'ensemble du code avant chaque publication. Les développeurs vérifient la logique et les flux de données des nouvelles fonctionnalités afin de s'assurer qu'aucune vulnérabilité de sécurité n'est introduite. Nous utilisons des outils automatisés de vérification du code pour identifier et résoudre les problèmes de qualité et de sécurité. Plusieurs méthodes de test sont employées pour garantir que l'application se comporte comme prévu.

Redondance et clustering

Surveillance des systèmes

Surveillance des performances du site web

Pour la surveillance des performances de notre site web, nous utilisons Pingdom https://www.pingdom.com. Notre page de statut publique indiquant les temps de disponibilité et les temps de réponse est accessible à l'adresse https://secure-stats.pingdom.com/xja2xu2u4o0b/430732.

Surveillance du système

La surveillance des systèmes est assurée par Prometheus https://prometheus.io, un outil de surveillance puissant qui détecte les problèmes et alerte nos administrateurs système avant qu'ils n'affectent les utilisateurs finaux et les clients.

Grâce à Prometheus, nous pouvons :

• Planifier les mises à niveau de l'infrastructure avant que des systèmes obsolètes ne provoquent des pannes.
• Réagir aux problèmes dès les premiers signes.
• Corriger automatiquement les problèmes dès leur détection.
• Coordonner la réponse des équipes techniques.

Fonctionnement du système de surveillance :

• Nous configurons Prometheus pour surveiller les composants critiques de l'infrastructure informatique, notamment les indicateurs système, les protocoles réseau, les applications, les services, les serveurs et l'infrastructure réseau.
• Prometheus envoie des alertes en cas de panne et de rétablissement des composants critiques de l'infrastructure, nous informant des événements importants par e-mail, SMS ou script personnalisé. Notre personnel peut accuser réception des alertes et commencer immédiatement à résoudre les pannes et à enquêter sur les alertes de sécurité. Les alertes peuvent être escaladées vers différents groupes si elles ne sont pas prises en compte dans un délai raisonnable.
• Des rapports fournissent un historique des pannes, des événements, des notifications et des réponses aux alertes, pour un examen ultérieur.
• Les périodes d'arrêt planifiées évitent le déclenchement d'alertes pendant les opérations de maintenance planifiées et les mises à niveau du système d'exploitation.
• Des graphiques et rapports de tendances et de planification des capacités nous permettent d'identifier les mises à niveau d'infrastructure nécessaires avant que des pannes ne surviennent.

Gestion du personnel

Mindomo procède à une vérification des antécédents professionnels, comprenant la validation de la preuve d'identité, la vérification des diplômes et de l'expérience professionnelle, ainsi que des contrôles de casier judiciaire pour les nouvelles recrues occupant des postes nécessitant un accès aux systèmes et applications stockant le contenu client, conformément à la législation applicable.