Avenant relatif à la sécurité de l’information

Introduction

Le présent avenant relatif à la sécurité de l’information (« ISA ») est incorporé par référence au contrat de services conclu entre le Client et Snyk (« Contrat »). Le présent ISA décrit les normes minimales de sécurité de l’information que Snyk applique pour protéger les Données du Client. Les exigences du présent ISA s’ajoutent à celles du Contrat. Les termes commençant par une majuscule qui sont utilisés dans le présent ISA sans y être définis ont le sens qui leur est attribué dans le Contrat.

1. Programme de sécurité de Snyk

1.1 Portée et contenu. 

Le programme de sécurité de Snyk : (A) comprend des mesures de protection administratives, techniques et physiques raisonnablement conçues pour protéger la confidentialité, l’intégrité et la disponibilité des Données du Client ; et (B) est adapté à la nature, à la taille et à la complexité des activités de Snyk. 

Snyk respecte les exigences AICPA ISAE3402 SOC2 Type II, ISO27001:2022 et ISO27017:2015, et fait examiner ses contrôles chaque année par des auditeurs externes indépendants, qualifiés et impartiaux. Snyk réalise également des audits internes conformes aux contrôles de son programme de sécurité de l’information et à ces référentiels de conformité. Ces audits internes vérifient l’efficacité opérationnelle des contrôles. Tout problème identifié est documenté, suivi et corrigé. Pour plus de commodité, les clients peuvent accéder aux rapports d’audit tiers et à la documentation de sécurité connexe sur le portail Snyk Trust. 

Toute référence, dans le présent ISA, aux normes ISO27001:2022 ou ISO27017:2015 s’applique aux Services, à l’exception de Snyk API & Web.

1.2 Modifications du programme de sécurité. 

Le responsable de la sécurité des systèmes d’information de Snyk, ou tout autre dirigeant désigné par Snyk, ainsi que l’équipe de sécurité élaborent, tiennent à jour, examinent et approuvent les politiques de sécurité de Snyk. Les politiques et procédures opérationnelles de Snyk relatives à la sécurité, à la confidentialité, à l’intégrité et à la disponibilité sont accessibles à l’ensemble du personnel de Snyk sur l’intranet de l’entreprise. Les politiques de sécurité sont examinées, mises à jour si nécessaire et approuvées au moins une fois par an. Le personnel de Snyk doit prendre connaissance des politiques de sécurité et en accuser réception lors de son intégration.

1.3 Formation et sensibilisation à la sécurité. 

L’ensemble du personnel de Snyk doit suivre chaque année au moins une formation de sensibilisation à la sécurité et à la confidentialité. Snyk organise régulièrement des formations de sensibilisation à la sécurité afin de guider le personnel dans la création et le maintien d’un environnement de travail sécurisé.

2. Sécurité des ressources humaines

Lors du recrutement, Snyk met en œuvre les contrôles suivants :

• Snyk vérifie les antécédents professionnels des sept dernières années, les antécédents judiciaires et les listes de l’Office of Foreign Assets Control (OFAC) pour l’ensemble de son personnel, dans la mesure autorisée par les lois et réglementations locales ; 

• Des vérifications supplémentaires des antécédents peuvent être exigées selon le poste, à la discrétion de Snyk. Elles peuvent comprendre la vérification des dossiers de conduite, des antécédents financiers ou de crédit, la consultation du registre local ou national des délinquants sexuels et/ou une vérification des réseaux sociaux et de la réputation, afin de confirmer que la personne ne présente pas de risque susceptible d’avoir des conséquences négatives pour Snyk ou sa communauté.

• Snyk conclut des contrats de travail qui imposent la protection des données personnelles et des informations confidentielles pendant et après la période d’emploi.

Snyk dispose d’une procédure disciplinaire lui permettant de prendre des mesures à l’encontre du personnel qui ne respecte pas les politiques de l’entreprise, notamment les politiques de sécurité de Snyk.

L’accès aux systèmes et réseaux de Snyk est désactivé rapidement dès la notification de la fin d’emploi d’un membre du personnel.

3. Configuration et sécurité des actifs

Snyk utilise une technologie de détection et de réponse sur les terminaux (EDR) sur tous ses terminaux afin de détecter les virus et les logiciels malveillants. Les terminaux sont analysés en temps réel et la surveillance de l’agent antivirus garantit la réalisation régulière des analyses. La technologie EDR déploie automatiquement les mises à jour des définitions virales sur tous les terminaux. Tous les terminaux sont protégés par un chiffrement intégral du disque et surveillés à l’aide d’outils reconnus par le secteur, qui signalent tout écart entre les politiques de sécurité de Snyk et les paramètres des terminaux des utilisateurs. Snyk tient à jour un inventaire de ses actifs matériels, logiciels et d’infrastructure cloud d’entreprise, et le rapproche systématiquement chaque année. En outre, Snyk classe les informations conformément à ses directives de classification des données.

4. Contrôles d’accès et d’authentification

Les employés de Snyk s’identifient et s’authentifient au moyen de l’authentification unique (SSO) et de l’authentification multifacteur (MFA) pour accéder au réseau et aux outils de l’entreprise. Snyk impose une complexité minimale des mots de passe pour tout accès au réseau d’entreprise. Les contrôles d’accès de Snyk sont fondés sur les rôles et respectent le principe du moindre privilège. Les demandes d’accès aux outils de sécurité de Snyk sont approuvées par les personnes habilitées de l’équipe de sécurité ou des technologies de l’information avant que l’accès ne soit accordé.

En outre, Snyk utilise des comptes d’administration distincts, réservés au personnel autorisé à exécuter des fonctions à privilèges. Snyk examine : (A) deux fois par an les accès des administrateurs aux systèmes confidentiels et à accès restreint ; et (B) chaque trimestre les autorisations d’accès à l’environnement de production et aux systèmes d’entreprise sensibles. Tout accès inadapté aux fonctions du rôle est rapidement supprimé, et la personne concernée ainsi que son responsable direct sont informés de la modification. 

Le réseau de production de Snyk est protégé par un périmètre défini par logiciel (SDP). Par ailleurs, pour accéder aux Services de Snyk, y compris au réseau de production, les employés de Snyk doivent utiliser l’authentification multifacteur (MFA). La combinaison du SDP et de la MFA permet à Snyk de contrôler avec précision les autorisations, la connectivité et l’auditabilité.

5. Chiffrement et gestion des clés

Snyk applique des techniques de chiffrement conformes aux normes du secteur pour chiffrer les Données du Client au repos et en transit, au moyen de TLS1.2, AES-256-CBC ou de normes de chiffrement supérieures. Snyk suit les bonnes pratiques en matière de chiffrement et met à jour ses normes de chiffrement, le cas échéant, afin de les aligner sur les normes du secteur. Toutes les connexions sont authentifiées et chiffrées à l’aide d’une technologie de chiffrement conforme aux normes du secteur. Snyk utilise des clés générées selon des méthodes conformes aux pratiques reconnues par le secteur ; ces clés sont examinées et remplacées au moins une fois par an. Snyk surveille l’intégrité des Données du Client, notamment leur exactitude, leur exhaustivité et leur cohérence pendant leur transmission, afin de détecter toute altération ou corruption des données.

6. Sécurité physique

Les bureaux de Snyk sont des espaces de collaboration pour ses employés ; aucun des Services n’y est hébergé. Snyk accorde l’accès aux bureaux en fonction de la situation géographique et des responsabilités professionnelles des employés. L’accès est supprimé dans les 24 heures, ou dès que cela est raisonnablement possible par la suite, lors d’un départ ou d’un changement de poste interne, dès lors que cet accès n’est plus nécessaire. L’accès aux bureaux de Snyk est géré par un système de badges qui enregistre les accès, y compris les tentatives non autorisées, lesquelles sont refusées. Snyk tient un registre des visiteurs et exige qu’ils soient accompagnés par un membre de son personnel. 

Snyk utilise les centres de données d’Amazon Web Services (AWS) et de Google Cloud Platform (GCP) pour l’ensemble de ses besoins d’hébergement. AWS et GCP sont responsables des politiques de sécurité physique et environnementale de leurs environnements d’hébergement. Ces contrôles sont validés chaque année afin de vérifier leur conformité aux normes ISO27001:2022 et SOC2 en matière de sécurité physique.

7. Journalisation et surveillance

Snyk surveille en continu les applications, l’infrastructure, le réseau, l’espace de stockage des données et les performances des systèmes. Snyk utilise un système de gestion des informations et des événements de sécurité (SIEM) pour collecter en temps réel les journaux de sécurité des serveurs, pare-feu, routeurs et dispositifs de détection d’intrusion (IDS). Le SIEM fait l’objet d’une surveillance permanente. Les journaux indiquent la date, l’heure, la source et le type des événements. Snyk examine ces informations et, le cas échéant, corrige les risques de sécurité potentiels.

8. Sécurité du réseau

Snyk utilise les solutions de défense du périmètre réseau de GCP et d’AWS, ainsi que des systèmes IDS internes et des pare-feu, pour surveiller, détecter et prévenir les activités réseau malveillantes. L’équipe de sécurité prend les mesures appropriées pour répondre aux activités anormales. Les modifications des règles de pare-feu suivent le processus de gestion des changements de Snyk et doivent être approuvées par les personnes habilitées. Les réseaux d’entreprise et cloud de Snyk sont segmentés logiquement au moyen de réseaux locaux virtuels (VLAN), et les pare-feu surveillent le trafic afin de limiter l’accès aux utilisateurs, systèmes et services autorisés.

9. Développement sécurisé

Le processus de cycle de vie du développement logiciel (SDLC) de Snyk régit l’acquisition, le développement, la mise en œuvre, la configuration, la maintenance, la modification et la gestion des Services de Snyk, et garantit notamment leur conformité aux politiques de sécurité de Snyk. Snyk utilise un système de contrôle de version du code pour préserver l’intégrité et la sécurité du code source des applications. Avant la mise en production d’une nouvelle version des Services, le code est testé et certifié dans des environnements hors production. Snyk suit des directives de codage sécurisé, régulièrement examinées et mises à jour, auxquelles les employés peuvent accéder sur l’intranet de l’entreprise. Les développeurs de Snyk suivent chaque année une formation au codage sécurisé.

10. Assistance et maintenance

Snyk déploie les modifications des Services pendant des plages de maintenance planifiées, dont les détails sont publiés sur la page Snyk Status et/ou la page Snyk API & Web Status (selon le cas) avant la période prévue. Snyk publie également les avis d’interruption de service et fournit des mises à jour de statut, des informations générales sur les mises à niveau, la disponibilité des nouvelles versions et les versions minimales requises sur les pages Snyk Updates et Status.

11. Sécurité des tiers

Pour les fournisseurs tiers, nouveaux ou existants, Snyk utilise un modèle de notation fondé sur les risques. Snyk exige des tiers qu’ils concluent des contrats comportant, selon les services fournis, des obligations en matière de sécurité, de disponibilité, d’intégrité du traitement et de confidentialité. Snyk évalue chaque année les contrôles de sécurité physique et les rapports d’assurance de ses centres de données. Snyk évalue l’incidence des problèmes identifiés et suit les mesures correctives mises en œuvre.

12. Réponse aux incidents et notification

Snyk dispose d’un plan de réponse aux incidents prévoyant un processus d’évaluation, d’escalade et de traitement des incidents de sécurité identifiés qui touchent Snyk, ses clients ou des données de Snyk ou de ses clients. Ce plan est régulièrement examiné et mis à jour.

13. Gestion des risques

La politique et le processus d’évaluation des risques de sécurité de Snyk lui permettent d’identifier et de corriger les menaces potentielles pesant sur son infrastructure. Snyk attribue un niveau de risque à chaque risque identifié, et le personnel de sécurité gère les mesures correctives. La direction générale est tenue informée du niveau de risque de l’organisation.

Le programme de sécurité de Snyk comprend un programme de gestion des risques liés aux menaces internes, qui vise à surveiller, signaler et examiner les menaces provenant d’acteurs internes à l’organisation, qu’elles soient malveillantes ou non.

14. Gestion des menaces et des vulnérabilités

Le programme de gestion des menaces et des vulnérabilités de Snyk surveille en continu les vulnérabilités de l’infrastructure produit et des terminaux de Snyk. Snyk effectue chaque mois des analyses de vulnérabilité internes et externes à l’aide d’outils reconnus par le secteur. Les vulnérabilités identifiées sont évaluées, documentées et corrigées afin de traiter les risques associés. Snyk gère un programme continu de prime aux bogues et organise chaque année des tests d’intrusion externes menés par un tiers indépendant. Les résultats de ces tests sont évalués, documentés et corrigés.

15. Gestion des changements

Snyk a mis en place des politiques et procédures de gestion des changements qui encadrent leur demande, leurs tests et leur approbation pour les applications, l’infrastructure et les produits. La documentation relative aux changements et les approbations sont conservées dans un système de gestion des tickets. Les changements apportés au développement des produits font l’objet de différents niveaux d’examen et de tests selon leur nature, notamment des revues de sécurité et de code, des tests de régression et des tests d’acceptation utilisateur avant leur approbation pour déploiement. Une fois les tests terminés avec succès, les changements sont examinés et approuvés par la direction avant leur mise en production. Snyk utilise des environnements dédiés, distincts de la production, pour les activités de développement et de test. L’accès permettant de déployer du code en production est limité au personnel autorisé.

16. Plan de continuité des activités

Snyk dispose d’un plan de continuité des activités et d’un plan de reprise après sinistre pour gérer les perturbations importantes de ses opérations et de son infrastructure. Ces plans sont examinés, mis à jour au besoin et approuvés chaque année. Snyk réalise au moins une fois par an des exercices de continuité des activités afin d’évaluer ses outils, ses processus et son expertise en réponse à des incidents spécifiques. Les résultats de ces exercices sont documentés et tout problème identifié fait l’objet d’un suivi en vue de sa résolution.