Sécurité de Humi

Haute disponibilité de l'infrastructure AWS

Humi exploite Amazon Web Services (AWS) pour assurer la prestation des services de la plateforme infonuagique adaptable à haute disponibilité et fiabilité.

AWS a recours à des contrôles redondants et à plusieurs niveaux, une validation et des essais continus, ainsi ainsi qu'à un niveau élevé d'automatisation pour veiller à ce que l'infrastructure sous-jacente soit surveillée et protégée 24 heures sur 24, 7 jours sur 7.

AWS aide Humi à sécuriser les transactions entre des données et des applications logicielles distinctes, à reproduire les données dans plusieurs centres de données physiques et à obtenir et configurer la capacité

AWS enables Humi to ensure secure transactions between separate data and software applications, data replication across multiple physical data center locations, and to obtain and configure capacity with minimal friction.

Sécurité des réseaux

AWS fournit plusieurs capacités et services de sécurité pour renforcer la confidentialité et contrôler l'accès au réseau. Humi a recours aux services suivants :

• Pare-feu intégrés permettant de contrôler l'accès au réseau
• Chiffrement des données en transit au moyen du protocole TLS pour tous les services
• Atténuation des attaques par déni de service distribué (DDoS)
  

Sécurité matérielle

Les centres de données de Humi sont situés dans les locaux des fournisseurs de centres de données les plus respectés au monde. Humi exploite toutes les capacités de ces fournisseurs, y compris la sécurité physique et les contrôles environnementaux, pour sécuriser son infrastructure contre les menaces physiques ou les répercussions. Chacun des centres est doté d'un personnel 24 heures sur 24, 7 jours sur 7 et 365 jours par année, et d'un système de sécurité physique sur place pour empêcher tout accès non autorisé. Les contrôles de sécurité fournis par les centres de données comprennent, sans s'y limiter, les éléments suivants :

• Services de garde de sécurité physique 24 heures sur 24 et 7 jours sur 7
• Restrictions d'accès physique à la propriété et à l'établissement
• Couverture optimale de télévision en circuit fermé à l'extérieur et à l'intérieur de l'établissement
• Lecteurs biométrique avec authentification à deux facteurs
• Facilities are unmarked as to not draw attention from the outside
• Batterie de secours et génératrice
• Generator fuel carrier redundancy
• Zone de chargement sécuritaire pour la livraison de l'équipement

L'accès à l'infrastructure du réseau de gestion est assuré par des points d'authentification multifactorielle qui limitent l'accès à l'infrastructure à l'échelle du réseau selon la fonction exercée, en se fondant sur le principe du moindre privilège. Tous les accès aux points d'entrée sont étroitement surveillés et font l'objet de mécanismes rigoureux de contrôle des modifications.

Les systèmes sont protégés par une authentification par clés et l'accès est limité par un contrôle d'accès basé sur les rôles. Ce dernier assure que seuls les utilisateurs qui ont besoin d'accéder à un système peuvent se connecter. Nous accordons la plus haute importance à tous les systèmes qui conservent les données sur les clients que nous recueillons ou les systèmes qui conservent les données que les clients nous confient. À ce titre, l'accès à ces systèmes est extrêmement limité et étroitement surveillé.

En outre, les disques durs et l'infrastructure sont effacés en toute sécurité avant d'être mis hors service ou réutilisés afin de garantir la sécurité de vos données.

Contrôle de l'accès

Humi se sert de AWS CloudWatch pour assurer la surveillance continue de nos environnements de production. Notre journalisation comprend les opérations effectuées par le système ainsi que les accès et les commandes émis par nos administrateurs de système.

Les journaux sont examinés pour repérer les activités potentiellement malveillantes dans notre infrastructure. Les comportements des utilisateurs et des systèmes sont surveillés pour détecter toute activité suspecte, et des enquêtes sont menées conformément à nos procédures de signalement et d'intervention en cas d'incident.

Consignation de vérification

Toutes les opérations de la base de données sont enregistrées à l'aide d'un numéro d'identification de l'utilisateur, d'une adresse IP, d'un horodatage et de renseignements sur les activités effectuées.

Accès des employés

Humi tire parti de la gestion de l'identité et du contrôle d'accès d'AWS pour autoriser l'accès à tous les environnements. Les clés utilisées par AWS sont des clés de chiffrement RSA pour le protocole SSH-2 à 2048 bits et sont considérées comme étant une norme de l'industrie. Humi met en œuvre des processus internes pour attribuer et récupérer les clés des employés autorisés.

Transmission et stockage des données

Toutes les données sont chiffrées en transit à l'aide du protocole TLS, au moyen d'une clé à 2 048 bits, signée à l'aide de l'algorithme standard industriel du chiffrement RSA de l'algorithme de hachage sécurisée (SHA256). Data at rest (residing in our data centers) is encrypted using the industry standard AES-256 algorithm. All data is stored securely on servers located in Canada, and meets Canadian data compliance requirements for certain industries such as the financial and public sectors.

Analyse sélective et sauvegarde

Humi récupère, chiffre et stocke des sauvegardes horaires de nos systèmes de stockage de données opérationnelles. Ces sauvegardes résident dans nos centres de données à des fins de sécurité et de conformité.

Attestations et certificats

Tous les centres de données AWS respectent et dépassent les lois les plus strictes en matière de certification et de conformité. Notamment :

• SOC 1/SSAE 16/ISAE 3402 (anciennement SAS 70)
• SOC 2
• SOC 3
• FISMA (Loi fédérale sur la gestion de la sécurité des informations), DIACAP (Processus de certification et d'accréditation de la sécurité des technologies de l'information du DOD) et FedRAMP

• DOD CSM Levels 1-5
• PCI DSS Level 1
• ISO 9001 / ISO 27001
• ITAR
• FIPS 140-2
• MTCS Level 3
  

Développement des applications

Humi applique des pratiques de CCES auxquelles s'ajoutent des contrôles internes pour rassurer les utilisateurs. Les développeurs effectuent une batterie de tests pour toutes les demandes de modification concernant plusieurs environnements afin d'assurer la cohérence et la rétrocompatibilité.

La gestion et le déploiement des versions sont conduits par une architecture pipeline AWS, permettant de revenir sur les modifications à tout moment. L'authentification par jeton offre aux administrateurs de Humi un contrôle intégral de l'accès et de l'expiration de l'accès.

Accord sur les niveaux de service

Humi has service level agreements in-place with our infrastructure and monitoring vendors. AWS provides a 99.99% uptime guarantee across all services and applications that Humi leverages.

Opération financière

Humi uses Stripe as our credit card storage and processing vendor. Stripe has been audited by a PCI-certified auditor and is certified to PCI Service Provider Level 1. This is the most stringent level of certification available in the payments industry.

All card numbers are encrypted on disk with AES-256. Decryption keys are stored on separate machines. None of Stripe’s internal servers and daemons are able to obtain plaintext card numbers; instead, they can just request that cards be sent to a service provider on a static whitelist. Stripe’s infrastructure for storing, decrypting, and transmitting card numbers runs in separate hosting infrastructure, and doesn’t share any credentials with Stripe’s primary services.

Humi Payroll partners with a leading Canadian Schedule I bank for payment processing.‍

‍

Dernière mise à jour : le 23 avril 2019