Déclaration de sécurité GroupCamp

Dernière Mise à jour le Lundi 16 mai 2011

Cette déclaration de sécurité précise les mesures que nous prenons pour assurer la sécurité de notre plate-forme Cloud et la protection des données confiées par nos clients. Si vous avez des questions, n'hésitez pas à nous contacter via le formulaire de contact.

Sécurité de transmission de documents via Email versus via GroupCamp

Dans la plupart des entreprises les documents sont échangés en pièces jointes d'un email, que ce soit en interne ou en externe avec des clients ou des fournisseurs. Ces document, y compris ceux sensibles, transitent donc en clair sur Internet.

Avec GroupCamp, l'envoi et la récupération de documents (upload/download) sont sécurisés en SSL. Ainsi lorsque l'émetteur charge un fichier, la transmission de ce dernier sur Internet vers la plate-forme GroupCamp est sécurisée. Lorsqu'un fichier est téléchargé de la plate-forme GroupCamp vers un de ses abonnés, la transmission est également sécurisée.

Introduction

Le service de GroupCamp est divisé en plusieurs sous services (www.groupcamp.com, Comptes Clients, CDN, GID, SI, etc..). Chacun de ces sous services utilise les services logiques suivants de notre Cloud : répartition de charge & pare feu, web, base de données, stockage et sauvegarde.

Comme vous le verrez en détail ci-après, chaque service logique s'exécute sur au minimum 2 serveurs physiques (2 machines), chacun de ces serveurs physiques est réparti sur au minimum 2 centres d'hébergement géographiquement distincts afin d'avoir une infrastructure technique robuste et à tolérance de panne.

Les liaisons entre les différents serveurs logiques s'effectuent sur le réseau Internet public avec l'encryptage SSL ou sur des réseaux privés (Vlan).

Les services logiques, les serveurs physiques et les composants réseaux sous-jaccents (routeurs, switchs) sont surveillés en temps réel par nos équipements de supervision distants et ceux de nos prestataires techniques.

GroupCamp exploite elle-même ses services.

Mécanismes de disponibilité et de redondance des services logiques

Service logique de répartition de charge & pare feu

Le service de partage de charge permet de distribuer le flux des requêtes, pour un service donné, sur l'ensemble des serveurs disponibles sur le moment. Il effectue donc une supervision des serveurs physiques, lui permettant de déterminer quels serveurs sont actifs et quels serveurs ne le sont pas, à tout instant, pour diriger toute nouvelle connexion vers un serveur effectivement apte à répondre. Ce mécanisme, extrêmement classique, est le coeur même de la redondance de toutes les applications web.

Le mécanisme de partage de charge utilisé par GroupCamp, distribué sur les mêmes sites que les serveurs physiques mis en oeuvre dans chaque service logique, permet d'assurer la continuité du service, y compris en cas de perte d'un site physique.

L'architecture de firewalling retenue s'appuie sur les capacités de protection de chacun des systèmes mis en oeuvre, ainsi par exemple chaque serveur web est muni des éléments de firewalling essentiels à sa protection, s'appuyant sur les capacités des systèmes d'exploitation GNU-Linux utilisés. Cette architecture permet de prémunir la création d'un point central de traitement de l'ensemble des flux, qui serait alors un point de faille possible, et un point d'engorgement potentiel.

Service logique Web

Ce service logique reçoit et interprète les requêtes en provenance des navigateurs. Ils supportent la logique applicative : envois des pages HTML, réponses aux requètes Ajax, accèdent aux services logiques de Base de données, de Stockage et pour certains au service logique de Sauvegarde.
Le service logique Web étant sans état (Stateless), il s'exécute sur plusieurs serveurs physiques répartis sur plusieurs sites physiques. Sa redondance est assurée par cette simple multiplication des serveurs physiques.

Service logique de Base de données

Ce service logique reçoit les requêtes des Services logiques Web et retourne les données clients. Ce service logique s'exécute sur un serveur physique primaire qui traite 100% des requêtes qui met à jour en temps réel un serveur physique secondaire en attente sur un centre d'hébergement géographiquement distant.
En cas d'indisponibilité du serveur physique primaire, le serveur secondaire devient le serveur primaire par simple reconfiguration. Un nouveau serveur physique devient serveur secondaire.
Afin de s'assurer en permanence de la qualité des données du serveur secondaire, tous nos traitements différés sont exécutés sur ce serveur. Ce serveur secondaire utilise également le service logique de Sauvegarde si d'aventure un retour arrière s'avérait nécessaire.

Service logique de Stockage

Ce service logique est utilisé pour stocker les fichiers (ie fichiers de l'application Documents de l'offre Projet, les images (Photos, logos, etc), les pages html (ie pages de l'application Wiki de l'offre GroupCamp Projet)).
Le service logique de Stockage est en charge de stocker chaque fichier sur au minimum 2 sites physiques distincts. L'un des sites distincts pouvant être le service logique de Sauvegarde.

Service logique de Sauvegarde

Le service logique de Sauvegarde est piloté par le service logique de stockage et/ou les programmes de traitement différés d'exploitation, notamment, pour les sauvegardes du service logique de Base de données.
Le service logique de Sauvegarde peut être situé sur des serveurs physiques exploités par GroupCamp ou bien par des prestataires externes (en mode Cloud).

Environnement

Serveurs physiques

En fonction des services logiques, plusieurs types de serveurs peuvent être utilisés par GroupCamp.
Tous nos serveurs sont de technologie récente et bénéficient d'une excellente redondance interne (double alimentation, double Lan, etc). Les serveurs qui stockent des données utilisent des systèmes RAID.

Systèmes d'exploitation & autres composants logiciels

Les composants logiciels utilisés par GroupCamp sont maîtrisés par son équipe d'exploitation. Ils sont tous issus du monde du logiciel libre, ce qui garanti l'absence de back-door et une forte réactivité en cas d'apparition d'un trou de sécurité. Enfin, les patchs de sécurité sont systématiquement appliqués après tests de non régression.

Centres d'hébergement (datacenter)

GroupCamp dispose de plusieurs fermes de serveurs localisés dans des centres d'hébergement situés en Europe. L'accès à ces centres d'hébergements est hautement sécurisé et avec un contrôle d'accès renforcé aux salles, aux baies et aux serveurs.

Alimentation électrique - Climatisation

Les locaux sont de type informatique, double plancher, protection incendie par gaz neutre avec sécurité associées, triple climatisation mixte air - eau.
L'alimentation électrique se fait par arrivées distinctes depuis 2 centrales électriques ou plus sur des liens séparés, onduleurs, secours batteries 1/2 heure minimum, alimentation spécifique séparée en cas de maintenance des onduleurs. Des groupes électrogènes prennent ensuite le relais.

Accès Télécoms & bande passante

La bande passante globale vers les sites d'hébergement GroupCamp utilise des infrastructures d'opérateur. Elle est répartie sur au minimum 3 liens physiques, via des chemins physiques distincts. La bande passante est constituée de plusieurs fournisseurs majeurs de Transit IP avec un mécanisme de reprise automatique en cas de chute d'un fournisseur. Les liens physiques sont redondés ainsi que les équipements réseaux sous-jacents (Routeurs et Switchs).

GroupCamp dispose ainsi d'une très haute disponibilité en bande passante, le mécanisme BGP4 permettant le basculement du trafic entre nos opérateurs en cas de panne de l'un d'eux. Le dimensionnement de la bande passante permet de plus de disposer de réserve en pointe pour continuer d'offrir un trafic fluide et des temps de réponse optimums.

Prestataires et/ou partenaires techniques

GroupCamp a procédé à une sélection rigoureuse de ses prestataires qui sont tous connus, respectables et respectés.
Nos partenaires font l'objet d'audits ou de mesures réguliers de la part de sociétés externes. GroupCamp est également amenée à faire ses propres audits.

Ces fournisseurs peuvent être des fournisseurs de baies louées vides et/ou des fournisseurs de serveurs et/ou matériels de commutation IP (Routeurs, Switchs) ou des fournisseurs de réseaux (Internet et/ou liens dédiés) ou encore des fournisseurs de service cloud (sauvegardes et stockage de masse) ou encore des fournisseurs et/ou tiers de services financiers et/ou légaux.

Sécurité des communications, Sécurité des données

Mots de passe des utilisateurs

Les mots de passe sont chiffrés de façon asymétrique et stockés en base de données. Ce mécanisme fait que GroupCamp stocke une version chiffrée du mot de passe qui n'est pas déchiffrable, mais qui nous permet de vérifier que le mot de passe saisi lors de l'authentification, chiffré de la même manière, produit le même résultat. En cas d'intrusion malveillante et/ou pour nos exploitants, l'association mot de passe / identité est donc impossible.

Flux navigateurs

Les flux entre les navigateurs des clients et la plate-forme GroupCamp sont chiffrés en SSL 256 bits. Ce chiffrement est équivalent à celui utilisé par le domaine bancaire et donc pour la consultation de vos comptes sur Internet.

Flux prestataires

Les flux échangés avec nos différents prestataires sont systématiquement chiffrés en SSL. En particulier les flux réglementaires (Ex. déclaration VIES pour la TVA intracommunautaire) et/ou les flux avec les prestataires financiers (TPE virtuel, banques, etc).

Lorsque GroupCamp est amenée à stocker des données confidentielles de ses clients chez des prestataires externes, par exemple pour des sauvegardes hors-sites, en plus du chiffrement SSL de la couche de transport, les données stockées chez le prestataire sont chiffrées avant d'être transmises. Le chiffrement utilisé est de niveau RSA/DSA avec des clés de 2048 bits.

Flux internes

Les flux internes (entre les services logiques situés dans un même cluster du Cloud GroupCamp) s'effectuent via des liens privés (VLAN).

Flux Email

Les flux email de la plate-forme vers les utilisateurs et des utilisateurs vers la plate-forme ne sont pas chiffrés. Dans le cas où, pour des raisons de confidentialité renforcée, vous ne désirez pas que ces derniers transitent non chiffrés sur Internet, des paramètres vous permettent de limiter l'envoi d'email.

Comme précisez au début du document, les échanges de fichiers (chargement et téléchargement) sont sécurisés en SSL.

Accès exploitant

Les accès de notre équipe d'exploitation à la plate-forme se font par authentification forte sur une liste de clés SSH établie à l'avance. Les accès sont logués et sauvegardés régulièrement pour analyse en cas de doutes sur certaines interventions.

Les données des clients sont potentiellement accessibles par les membres de notre équipe d'exploitation. Ces derniers sont soumis à notre Politique de confidentialité et contractuellement engagés sur le respect le plus scrupuleux de cette politique.

Protection des données stockées

Les données éventuellement stockées sur des plates-formes tierces non exploitées par GroupCamp (Ex. sauvegardes externes) sont systématiquement chiffrées (cf ci-dessus).

Nous ne chiffrons pas les données stockées chez GroupCamp (Base de données et fichiers transmis)  car ce chiffrement n'apporterait pas de sécurité supplémentaire. En effet, étant réalisé par nos soins, nous serions en mesure de déchiffrer ces données, ce qui est d'ailleurs obligatoire pour être capable de vous les restituer.

En conséquence, le seul moyen de vous assurer de la confidentialité de vos fichiers, y compris vis à vis des membres de notre équipe d'exploitation, est que le chiffrement soit réalisé par vos soins avant que les données ne nous soient transmises.

De nombreuses méthodes existent et dépendent de votre organisation. Une des méthodes consiste à utiliser des logiciels de type winzip qui offre une sécurité allant d'une protection du contenu par mot de passe à un niveau de cryptage AES (équivalent RSA/DSA).

Prévention des pannes matérielles et logicielles

Supervision en 24h/7j/365j

GroupCamp dispose d'un double système de supervision (situé sur deux sites techniques géographiquement différents) des équipements matériels, de chaque service logique. Les remontées d'alarme sont transmises à nos équipes 24h/24.

Gestion de la croissance, des capacités

GroupCamp a développé sa propre technologie Cloud basée sur du clustering qui lui permet d'adapter ses infrastructures en fonction de la croissance de ses clients. Ainsi, le sous service Comptes Clients qui sert les comptes clients (les Offres et Gammes) peut être exécuté sur des clusters indépendants répartis géographiquement dans notre Cloud. Un compte client donné est servi par un cluster du Cloud. C'est lors de la création d'un compte client, qu'un cluster lui est attribué. La gestion de la croissance se fait par ajout de nouveaux clusters. Les Comptes clients peuvent être déplacés d'un cluster à l'autre.

Anomalies & traces d'exploitation

GroupCamp a porté une grande attention à la détection des anomalies des applications clients. Dans le cas où des anomalies surviennent, elles sont transmises avec leur contexte à l'équipe d'exploitation pour analyse.
De même, l'équipe support de GroupCamp peut activer des traces sur un Compte client et/ou un utilisateur en particuliers pour détecter des anomalies non reproductibles en dehors de l'environnement propre à l'utilisateur. Cette procédure est décrite dans notre Politique de confidentialité.
Nos traces d'exploitations ne donnent aucune information sur la nature des données tracées, et permettent simplement de dérouler la logique de l'application.

Exemple de trace :

Dans le cas prévu dans notre Politique de confidentialité d'un dysfonctionnement, et après échange avec notre équipe support pour avoir votre accord express, nous pouvons activer des traces plus détaillées qui peuvent éventuellement contenir des données confidentielles.

Exemple de trace :

Plan de reprise en cas de panne ou d'urgence

Perte temporaire d'un centre d'hébergement

Cette perte temporaire (fort peu probable quand même cf Centre d'hébergement) peut arriver dans les cas où le centre n'est plus alimenté en énergie électrique et/ou en connexion télécom. Dans ce cas, le service continue de fonctionner sur le centre secondaire.

Corruption d'un service logique BDD, perte de données.

Dans le cas où la base de données servant une des services logiques est fortement corrompue et demande une restauration d'une ancienne version pour redémarrer. Nous pouvons être amené à rétablir le service en repartant d'une archive récente, dans ce cas, les données mises à jour seront perdues. Dans cette situation, bien que fort peu probable, nous repartons de la dernière version non corrompue (au plus tard J - 1).

Perte définitive d'un centre d'hébergement ou perte d'un Cluster

Cette probabilité est quasi nulle sauf en cas de catastrophe naturelle de grande ampleur et/ou de guerre. Dans ce cas, GroupCamp dispose de son service de sauvegarde et peut transférer les comptes clients vers un autre cluster en fonctionnement autre part sur la planète (Si nous sommes encore vivants, bien sûr).