L’infrastructure pneumatic est hébergée de manière sécurisée sur Google Cloud et gérée par ce dernier. Ce partenariat exploite la technologie de centre de données de pointe et la gestion de Google, garantissant des niveaux élevés de fiabilité et de conformité aux normes de l’industrie. Google est reconnu mondialement pour ses capacités de gestion des risques et respecte des normes telles que ISO 27001, SOC 1 et 2, niveau 1 de PCI, FISMA modéré et SOX.
La sécurité physique de nos centres de données, certifiée selon les normes ISO 27001 et FISMA, comprend des contrôles de périmètre de qualité militaire, des limites naturelles et des conceptions de bâtiments peu identifiables pour prévenir tout accès non autorisé. Le contrôle d’accès est strictement appliqué grâce à des agents de sécurité professionnels, des caméras de surveillance et des systèmes de détection d’intrusion avancés. Le personnel autorisé est soumis à une authentification multi-facteur à plusieurs reprises pour accéder au centre de données, tandis que les visiteurs sont escortés en tout temps.
Nos centres de données sont stratégiquement situés aux États-Unis (Oregon) pour optimiser les performances et la sécurité.
Une équipe dédiée est en attente pour traiter les préoccupations de sécurité, joignable via security@pneumatic.app.
Notre réseau est protégé par les systèmes de pare-feu de Google Cloud, qui contrôlent l’accès en fonction des besoins spécifiques de l’entreprise et des politiques de sécurité. Cela comprend des pare-feu basés sur l’hôte pour une protection accrue et des mesures pour prévenir les attaques de brouillage et d’écoute indiscrète.
Des évaluations régulières de sécurité par des plateformes logicielles spécialisées garantissent des améliorations continues de la sécurité. Notre infrastructure est conçue pour empêcher l’accès non autorisé, y compris le “packet sniffing” et le balayage de ports, chaque incident étant soigneusement investigué.
Notre fournisseur de services est testé en matière de sécurité par des entreprises de sécurité indépendantes de manière régulière. Les résultats de toutes ces évaluations sont examinés avec les évaluateurs, tous les risques identifiés sont classés et des actions sont prises pour les minimiser.
En cas d’incident de sécurité, nos ingénieurs analysent de nombreux journaux système pour résoudre et atténuer rapidement le problème.
Notre fournisseur de services (Google Cloud) utilise des techniques avancées de mitigation des attaques DDoS, telles que les cookies TCP Syn et la limitation du taux de connexion, pour se protéger contre les attaques de déni de service.
L’accès au réseau de production est étroitement contrôlé et vérifié, avec une authentification multi-facteurs requise pour tout le personnel.
La cryptographie des donnés gérée par CSP (par défaut) est appliquée. Notre service de messagerie assure des connexions TLS sécurisées.
Les sauvegardes sont créées automatiquement quotidiennement entre 3h et 7h UTC, avec une limite de 7 sauvegardes.
Chiffrement des données au repos (type de chiffrement par défaut géré par le CSP). L’utilisation de clés de chiffrement gérées par le client (CMEK) est possible mais non applicable au type de stockage SSD avec ce CSP.
Pneumatic maintient un temps de disponibilité de 99,9%, avec une surveillance continue. Des rapports détaillés sont disponibles sur demande.
L’infrastructure de Google Cloud élimine les points de défaillance unique et garantit une récupération rapide en cas de panne, en restaurant automatiquement les applications et bases de données des clients.
L’intégration continue (CI) est mise en œuvre via le versioning du produit (Git + Atlassian Bitbucket), l’écriture de tests, l’intégration continue avec la branche principale du produit, les tests automatisés des nouvelles versions (en utilisant Ansible + Docker + Jenkins), ainsi que des tests manuels de bout en bout et de fumée par l’équipe QA avant le déploiement des nouvelles versions du produit.
Notre service QA examine et teste notre base de code. Les ingénieurs d’application dédiés identifient, testent et trient les vulnérabilités de sécurité dans le code.
L’analyse statique continue du code aide à identifier et à résoudre les vulnérabilités de sécurité dans notre code source.
La gestion des identités et des accès est prise en charge.
Le langage de balisage des assertions de sécurité SSO est pris en charge.
Les méthodes d’autorisation à deux facteurs, MFA, et autres méthodes d’authentification fournies par les fournisseurs d’autorisation (Google, Microsoft, SSO) sont intégrées via le flux de code d’autorisation OAuth 2 le plus sécurisé au niveau du serveur.
Le contrôle d’accès basé sur les rôles utilise des listes de contrôle d’accès, ce qui signifie que tous les utilisateurs ont des rôles à différents niveaux d’accès et avant qu’un utilisateur puisse effectuer une action sur une entité, la liste des opérations autorisées que cet utilisateur peut effectuer sur cette entité est vérifiée. Le principe du moindre privilège est suivi à tous les niveaux.
Toutes les communications avec les serveurs du fournisseur de services de Pneumatic sont cryptées en utilisant HTTPS, un standard de l’industrie. Cela garantit que tout le trafic entre vous et Pneumatic est sécurisé lors du transit.
Nous avons des politiques de sécurité complètes en place et menons régulièrement des programmes de formation et de sensibilisation pour tous les employés et les sous-traitants.
Tous les nouveaux employés reçoivent une formation obligatoire en matière de sécurité. La sensibilisation à la sécurité fait également partie de la routine de Pneumatic, car les mises à jour sont partagées entre toutes les équipes par e-mail, des articles de blog et lors de présentations lors d’événements internes.
Pneumatic effectue des vérifications des antécédents sur tous les nouveaux employés conformément aux lois locales. L’enquête de fond comprend une vérification des antécédents criminels, éducatifs et professionnels.
Tous les nouvelles recrues sont vérifiées au cours du processus de recrutement et doivent signer des accords de non-divulgation et de confidentialité conformément aux lois locales.