DefenceLevel
Comment nous protégeons les données de My Defence
My Defence décrit votre infrastructure : éditeurs, produits et, si vous le souhaitez, notes avec modèles et versions. Pour qui travaille dans la sécurité, ce sont des informations sensibles, et nous les traitons comme telles. Voici ce que nous conservons, où, qui peut le voir et ce que nous ne faisons pas.
Ce que nous conservons
- les éditeurs et produits que vous choisissez, zone par zone ;
- le schéma : les zones, leurs liaisons, les noms et descriptions que vous écrivez, et les notes que vous ajoutez aux zones ;
- vos choix sur les e-mails : le briefing chaque jour ou seulement sur vos produits, les alertes pour tout ou seulement sur vos produits.
My Defence est facultatif : sans lui, vous recevez quand même le briefing complet et les alertes.
Chiffrées, avec la clé hors de la base de données
Dans la base de données, éditeurs, produits, schéma et notes sont chiffrés avec AES-256-GCM. La clé n'est pas dans la base de données : elle est conservée à part, dans les paramètres protégés du service. Quiconque accéderait seulement à la base de données, à l'une de ses sauvegardes ou à un export ne verrait que du texte chiffré.
- Le service déchiffre les données uniquement en mémoire, quand c'est nécessaire : pour vous les afficher dans le tableau de bord et pour choisir quelles entrées du briefing et quelles alertes vous concernent.
- Chaque texte chiffré est lié à votre compte : copié sur un autre compte, il ne se déchiffre pas.
- Pour reconnaître un choix déjà fait, nous utilisons une empreinte qui ne permet pas de retrouver le nom et qui change d'un compte à l'autre : deux entreprises avec le même produit n'ont pas la même empreinte.
Où sont les données
- La base de données est dans l'Union européenne, en Irlande ; les fonctions du service tournent aussi en Irlande, à Dublin.
- Chaque connexion est chiffrée. Les prestataires chiffrent aussi les disques et les sauvegardes.
- La liste des prestataires, avec leur rôle et leur siège, figure dans la politique de confidentialité.
Qui peut les voir
- Aucun autre abonné. Les noms que notre catalogue ne connaît pas, nous les recherchons dans la National Vulnerability Database du NIST sans aucune donnée vous concernant : s'ils existent, ils entrent dans le catalogue sous leur nom officiel, le même pour tous ; sinon, les autres ne les voient pas.
- Personne en dehors du service. L'accès public à la base de données est fermé : sans les identifiants du service, aucune table n'est accessible de l'extérieur.
- Pas l'espace d'administration. On n'y voit que le nombre de produits et de zones d'un compte, jamais lesquels.
- Pas l'intelligence artificielle. Les contrôles par IA qui rédigent et vérifient les textes du briefing et des alertes ne lisent que des données publiques sur les vulnérabilités, avec un utilisateur de la base de données qui ne peut pas ouvrir les données des abonnés.
- Les e-mails. Si vous choisissez « Seulement mes produits », les e-mails que vous recevez parlent des vulnérabilités qui vous concernent et, comme tout e-mail, passent par le prestataire qui les envoie.
Nous n'utilisons pas ces données à d'autres fins, nous ne les partageons avec personne et nous ne les vendons pas.
Pendant combien de temps
Jusqu'à ce que vous les retiriez de la page My Defence. Si vous supprimez votre compte, elles sont supprimées immédiatement ; dans les sauvegardes de la base de données, elles restent chiffrées jusqu'à leur expiration, 7 jours au maximum.
Vérifications et signalements
Nous organisons un test de sécurité indépendant, réalisé par une société spécialisée : une fois terminé, nous en publierons ici le résultat. Si vous trouvez un problème de sécurité dans nos systèmes, écrivez-nous comme indiqué sur la page Signalements de sécurité.
Pour les entreprises
Si votre entreprise a besoin d'un accord de traitement des données (DPA), par exemple pour les obligations de la NIS2 envers les fournisseurs, il est prêt : téléchargez le PDF (en anglais), complétez les informations de votre entreprise, signez-le et envoyez-le à privacy@defencelevel.com. Nous vous le renvoyons signé par nous aussi.