# Sécurité et confidentialité Ce chapitre fournit un aperçu des questions fréquemment posées concernant la sécurité de l’information, la confidentialité et l’assurance qualité. ## Traitement des données et autorisations ### 1. Depuis quel centre de données RealmJoin opère-t-il ? * Région Azure Europe Ouest (principal) * Région Azure Europe du Nord (sauvegarde) ### 2. Quelles données sont traitées par RealmJoin ? * État de l’ordinateur * Données utilisateur/appareil/groupe de Entra ID (cela contient les données UPN / adresse e-mail, prénom, nom, photo de profil) * Données Intune * Données ATP * Fichiers journaux ### 3. Quelles données sont stockées de manière persistante par/pour le compte de RealmJoin et comment ? * État de l’ordinateur * Références utilisateur/appareil de Entra ID (cela contient les données UPN / adresse e-mail) * Informations pour la gestion des applications * Fichiers journaux Les données sont stockées dans une combinaison de stockage blob et de bases de données. ### 4. Existe-t-il un mécanisme d’archivage pour les journaux ? L’état de l’ordinateur est archivé pendant 90 jours, puis les politiques de conservation suppriment les données. ### 5. Quelles autorisations de locataire les utilisateurs accédant au portail web RealmJoin doivent-ils accepter ? Veuillez vous référer à [Autorisations requises](https://docs.realmjoin.com/fr/deploiement-de-realmjoin/required-permissions). ### 6. Quelles données sont mises à disposition en accordant le(s) consentement(s) de la question 5 ? Veuillez vous référer à [Autorisations requises](https://docs.realmjoin.com/fr/deploiement-de-realmjoin/required-permissions). ### 7. Quels points de terminaison accessibles de l’extérieur RealmJoin expose-t-il ? 1. RealmJoin Portal * Un portail web qui facilite l’administration du service. 2. RealmJoin Client-API * API pour les applications clientes (usage interne). 3. RealmJoin Customer-API * API pour les clients. 4. RealmJoin Internal-API * API pour les opérations backend associées (usage interne). 5. RealmJoin CDN * Données binaires avec prise en charge de BranchCache. 6. RealmJoin Package Server * Registre de packages nuget personnalisé. ### 8. Comment les points de terminaison de la question 7 sont-ils protégés ? 1. RealmJoin Portal * Sécurisés via une authentification OAuth 2.0 avec Microsoft Entra ID (Azure AD). 2. RealmJoin Client-API * Sécurisés via une authentification OAuth 2.0 avec Microsoft Entra ID (Azure AD). * Authentification personnalisée à l’aide de Entra-Device-Certificate. 3. RealmJoin Customer-API * Clé prépartagée par client. 4. RealmJoin Internal-API * Clé prépartagée par client. 5. RealmJoin CDN * Non authentifié par définition, peut être protégé à l’aide de fichiers chiffrés. 6. RealmJoin Package Server * Clé prépartagée par client. ### 9. Quels ports et protocoles sont utilisés par les points de terminaison de la question 7 ? 1. Tous les points de terminaison utilisent TLS par défaut. * HTTPS (TCP / 443). 2. RealmJoin CDN * Autorise HTTP (TCP / 80) à des fins de dépannage. * Les URL configurées utilisent exclusivement HTTPS (TCP / 443). ## Identité ### 1. Quels schémas d’autorisation sont utilisés pour obtenir l’accès à RealmJoin ? L’accès administratif est réalisé via une authentification OAuth 2.0 avec Microsoft Entra ID (Azure AD) pour les utilisateurs inscrits sur la plateforme. ### 2. Existe-t-il des contrôles d’accès conditionnel / basés sur les rôles pour protéger RealmJoin ? Oui. Le portail d’administration RealmJoin fournit des fonctionnalités permettant d’attribuer [des rôles](https://docs.realmjoin.com/fr/parametres-realmjoin/permission) à chaque utilisateur. Rôles par défaut disponibles : * Admin * Auditeur * Supporter * Exécuteur de runbook * Agent logiciel * Demandeur de logiciels * Demandeur de logiciel organique * Agent de notification En outre, RealmJoin permet de créer des rôles personnalisés. ### 3. Les identifiants d’accès peuvent-ils être récupérés ? Si oui, comment ? RealmJoin utilise le SSO et est soumis aux politiques Microsoft Entra ID (Azure AD) dans le locataire du client. ## Protection des données ### 1. Comment les *données au repos* sont-elles protégées contre tout accès non autorisé ? * Accès administrateur restreint conformément aux meilleures pratiques. * Utilisation de l’authentification multifacteur Passkey. * Les bases de données sont limitées aux adresses IP VPN pour l’accès externe. ### 2. Comment les *données en transit* sont-elles protégées contre tout accès non autorisé ? La communication entre le service RealmJoin (backend) et l’agent RealmJoin (client) est sécurisée avec Transport Layer Security (TLS) 1.2 ou supérieur. En outre, certains contenus (par ex. les packages logiciels) sont signés par le service RealmJoin, afin que l’agent RealmJoin puisse garantir que les données n’ont pas été modifiées pendant le transport. ### 3. Comment les locataires clients sont-ils séparés les uns des autres ? Selon les contraintes du service et les considérations de performance, soit par des groupes/conteneurs séparés, soit par partitionnement des tables. Les chemins de code utilisent un contexte client basé sur l’environnement pour la séparation. ## Sécurité dès la conception ### Nous nous engageons à respecter des normes de sécurité élevées * Nos équipes de développement et d’exploitation sont certifiées ISO 27001. * Nous travaillons avec les derniers outils de développement cloud (par ex. GitHub) et le code est stocké dans des dépôts sécurisés. * Nous nous engageons à adopter des méthodologies de développement, de construction et d’exploitation à la pointe de la technologie (par ex. CI/CD). * Les membres de notre équipe utilisent des identités Entra ID et sont tenus d’utiliser l’authentification multifactorielle. * Les points de terminaison, les identités et les services sont protégés par les dernières technologies (par ex. Microsoft Sentinel et la suite M365 Defender, y compris EDR) et surveillés par un Security Operations Center. * Tous les systèmes sont mis à jour en continu. ### 1. Quelles technologies, piles et plateformes ont été utilisées pour concevoir RealmJoin ? * `Azure` ## Disponibilité ### 1. Comment assurez-vous la disponibilité de RealmJoin ? Afin de maintenir une haute disponibilité de RealmJoin, plusieurs stratégies clés sont mises en œuvre, chacune conçue pour fournir un accès robuste et ininterrompu au service. Ces mesures comprennent : * **Infrastructure redondante**: Déploiement dans plusieurs centres de données afin d’assurer un service continu en cas de défaillance d’un site. RealmJoin s’appuie sur Azure IaaS dans plusieurs centres de données Azure. * **Processus de basculement automatisés**: Des systèmes sont en place pour rediriger automatiquement le trafic vers les serveurs opérationnels en cas de panne, minimisant ainsi les temps d’arrêt. * **Architecture évolutive**: La capacité d’augmenter ou de réduire rapidement les ressources en fonction de la demande contribue à maintenir les performances pendant les périodes de forte utilisation. * **Mises à jour et correctifs réguliers**: Des opérations de maintenance et des mises à jour de routine sont appliquées pour corriger les vulnérabilités et améliorer les performances, garantissant ainsi que la plateforme reste sécurisée et efficace. * **Surveillance et alertes**: Surveillance continue de l’état du système et alertes automatisées pour tout problème susceptible d’affecter la disponibilité du service. * **Plans de reprise**: Nous avons mis en œuvre plusieurs niveaux de mesures de reprise : nous pouvons restaurer l’état principal du système sur les dernières semaines, car nos bases de données disposent d’une restauration à un instant donné. De plus, dans le cas peu probable d’une défaillance complète du système, les principaux services RealmJoin peuvent être restaurés à l’aide d’une approche IaC (Terraform), ce qui réduit considérablement le temps de reprise. ## RGPD et résidence des données ### 1. Les données quittent-elles l’Europe ? Non. ### 2. Quels fournisseurs cloud tiers RealmJoin utilise-t-il et pourquoi ?
EntrepriseServicesContactObjectif
Microsoft CorporationServices cloud (Azure)Building 3, Carmanhall Road Sandyford,
Industrial Estate 18, Dublin,
Irlande		Services cloud (Azure)
GitHub B.V.dépôt de code git, intégration, tests et automatisation des mises en productionPrins Bernhardplein 200, Amsterdam, 1097JB
Pays-Bas		Dépôt de code, pipeline CI/CD.
GitLab, Inc.dépôt de code git, intégration, tests et automatisation des mises en production268 Bush Street #350, San Francisco, CA 94104-3503,
États-Unis		Pipeline de packaging
## Divers ### 1. RealmJoin fait-il partie d’un programme de bug bounty ? Non. ### 2. Quelles mesures de QA sont en place ? * Nous exécutons des binaires signés. * Nos packages d’application sont construits de manière cohérente, en s’appuyant sur des dépôts de code et une méthodologie CI/CD de pointe afin de garantir une intégrité maximale. * Les packages d’application sont signés pendant le processus de build et vérifiés par l’agent RJ avant l’installation sur le client. ### 3. Effectuez-vous régulièrement des tests d’intrusion ? Non. Dans le cadre de nos pratiques de développement sécurisé, nous utilisons des outils (par ex. analyse statique du code) qui analysent la base de code à la recherche de CVE et d’autres exploits courants (y compris les dépendances telles que les bibliothèques tierces) susceptibles d’affecter la sécurité des points de terminaison exposés par RealmJoin. Avant toute publication, toute constatation pertinente est évaluée et corrigée, afin de garantir que RealmJoin reste exempt de toute vulnérabilité connue. Nous n’effectuons nous-mêmes ni tests d’intrusion, ni n’utilisons d’outils tiers de type « Penetration Test-as-a-Service ». Pour le premier cas, nous considérons qu’il existe un conflit d’intérêts inhérent. Pour le second, étant donné que les services de test d’intrusion typiques se contentent souvent de vérifier les points de terminaison exposés par rapport aux CVE et à d’autres exploits connus, nous ne voyons aucune valeur ajoutée par rapport aux vérifications que nous effectuons déjà à l’aide de l’analyse statique du code. Si vous souhaitez effectuer vos propres tests d’intrusion, veuillez [nous contacter](https://www.realmjoin.com/help/) et nous faire part de vos exigences. ### 4. Existe-t-il un processus d’application des correctifs ? Oui, des opérations de maintenance et des mises à jour de routine sont appliquées pour corriger les vulnérabilités et améliorer les performances, garantissant ainsi que la plateforme reste sécurisée et efficace. ### 5. Quels sont les SLA pour les correctifs ? * Correctifs pour CVE / vulnérabilités de sécurité : dès que la vulnérabilité devient publique ou dès que nous identifions une vulnérabilité dans notre propre code, un correctif sera fourni au plus tard 24 heures après que nous avons eu connaissance de la vulnérabilité. * Autres correctifs : pas de SLA. ### 6. RealmJoin effectue-t-il des sauvegardes ? RealmJoin utilise une technologie de restauration à un instant donné sur toutes les données critiques. GitLab (hébergeant le pipeline et le dépôt PACKaaS) est sauvegardé régulièrement. ### 7. Existe-t-il des tests de restauration des sauvegardes ? Non. Veuillez consulter [Disponibilité](#id-1.-how-do-you-ensure-the-availability-of-realmjoin) pour plus de détails. ### 8. Qu’est-ce qui rend les packages RealmJoin plus sûrs que les solutions communautaires ? Contrairement aux solutions communautaires, nous conservons en permanence un contrôle total sur chaque package et chaque binaire. Plusieurs contrôles mis en œuvre garantissent qu’aucune donnée corrompue n’est exécutée sur les appareils. * **Pas de dépôts publics**: Nous hébergeons nos instances GitLab, nuget et cdn. Bien que l’agent RealmJoin utilise actuellement une version modifiée du moteur Chocolatey, la source des packages est limitée aux serveurs de packages glueckkanja AG. * **Dépôts séparés**: Les packages spécifiques à chaque client sont situés dans une section spécifique à ce client de nos serveurs et ne peuvent pas être consultés par d’autres clients. * **Versionnage complet**: Tous les outils ainsi que le stockage de packages RealmJoin fournissent des informations de validation et d’audit. Il est toujours transparent de savoir qui a modifié quoi dans n’importe quel package à un moment donné. * **Éviter les données spécifiques**: La séparation du code des packages et des binaires nous permet généralement de supprimer les informations sensibles des binaires, de sorte que même des binaires interceptés ne puissent pas être utilisés de manière malveillante. * **Chiffrement et hachages**: Les scripts des packages sont stockés sur un serveur chiffré, avec un accès très restreint. L’agent RealmJoin télécharge les scripts via une connexion chiffrée. Pour une sécurité supplémentaire, tous les binaires sont vérifiés par rapport à un hachage codé en dur avant toute action. * **Pentest**: Au cours des dernières années, l’agent RealmJoin a fait partie de plusieurs pentests clients réussis. * **Tests**: Tous les packages RealmJoin sont installés plusieurs fois pendant le QA PACKaaS sur des appareils Windows exécutant Defender. Les analyses de malwares font partie des processus automatisés de build et de déploiement. Les packages maintenus utilisent les sources officielles des fournisseurs.