Sécurité, Confidentialité et Confiance

Conçu pour les moments où tout le reste doit tenir.

Control-C existe pour protéger les données dont votre entreprise dépend.
La sécurité, la confidentialité et la résilience opérationnelle ne sont pas des fonctionnalités : elles sont la base de tout.

Chaque sauvegarde, chaque snapshot, chaque parcours de restauration et chaque interaction de conseil est pensé avec un principe :

Si vous nous confiez vos données, nous les protégeons comme si nous dirigions votre entreprise.

Cadre SMB1001 Cyber Security

Contrôles alignés Silver : certification en préparation.

Control-C aligne son programme de sécurité sur les pratiques de maturité Silver du cadre SMB1001 Cyber Security. Control-C n’a pas encore demandé ni reçu la certification SMB1001.

SMB1001 est conçu pour les petites et moyennes organisations qui ont besoin de contrôles de sécurité pratiques. Il se mappe directement à :

• ACSC Essential Eight
• UK Cyber Essentials
• CMMC
• ISO 27001
• Right Fit for Risk

Ce que signifie Silver

L’ensemble de contrôles Silver reflète l’exécution constante de politiques et de contrôles clés dans l’ingénierie, l’infrastructure et les opérations métier.

Niveaux SMB1001 (pour contexte)

• Bronze: Protections fondamentales (pare-feu, sauvegardes, correctifs, antivirus, formation)
• Silver: Politiques formalisées avec application cohérente dans toute l’organisation (niveau avec lequel Control-C s’aligne)
• Gold: Supervision renforcée, réponse proactive et contrôles d’accès plus stricts
• Platinum: Validation par audit indépendant
• Diamond: Assurance maximale, résilience avancée face aux menaces

Notre objectif est simple :
construire une résilience qui grandit avec les organisations que nous protégeons.

Défense en profondeur

Plusieurs couches de protection: personnes, processus et technologie.

La sécurité chez Control-C n’est jamais un seul contrôle, outil ou équipe. Nous construisons des couches qui se recoupent et fonctionnent ensemble.

Gouvernance et supervision

• Conseil de sécurité piloté par la direction
• Évaluations de risques annuelles
• Revues régulières de politiques alignées sur SMB1001
• Responsabilités claires de l’ingénierie au leadership

Formation et sécurité humaine

• Sensibilisation à la sécurité pour toute l’entreprise
• Formation d’ingénierie sécurisée par rôle
• Simulations et tests de phishing récurrents
• Pratiques secure-by-default intégrées à l’onboarding

Gestion des accès

• SSO partout
• MFA obligatoire
• Conformité des appareils
• Revues d’accès trimestrielles sur tous les systèmes de production et internes
• Accès à privilège minimal par conception

Cycle de développement sécurisé

La sécurité intégrée à chaque étape de l’ingénierie.

Conception

• Modélisation des menaces pour les nouvelles fonctionnalités
• Analyses d’impact sur la vie privée
• Jalons de revue architecturale

Construction

• Scan automatisé des dépendances
• Analyses statiques et dynamiques de code
• Validation de l’infrastructure as code

Release

• Revue par pairs obligatoire
• Ségrégation des rôles
• Déploiements progressifs avec rollback automatique
• Intégration continue avec garde-fous de sécurité

Résultat :
Les fonctionnalités ne partent en production que lorsqu’elles répondent à nos exigences de sécurité, de confidentialité et de résilience.

Infrastructure et opérations

Sécurisé par défaut. Résilient sous pression.

Hébergement et sécurité réseau

• Infrastructure principale de plateforme hébergée à Wellington, Nouvelle-Zélande
• Infrastructure secondaire de basculement hébergée à Auckland, Nouvelle-Zélande
• Conception réseau carrier-neutral et architecture à exposition minimale
• Segmentation réseau et exposition contrôlée des services
• Web Application Firewall (WAF)
• Mitigation DDoS et limitation de débit

Observabilité et monitoring

• Journaux en temps réel et détection d’anomalies
• Alertes automatiques vers notre fonction Security Operations
• Surveillance proactive des activités risquées ou inhabituelles

Intégrité des sauvegardes

• Données chiffrées en transit et au repos
• Réplication bi-région entre Wellington et Auckland pour la durabilité
• Exports de sauvegarde téléchargeables et accès hors ligne In-Control comme chemins de reprise indépendants
• Tests de restauration trimestriels pour valider intégrité et récupérabilité

Gestion des vulnérabilités

Détecter tôt. Corriger vite.

• Scan hebdomadaire des conteneurs, hôtes et dépendances
• Pipelines de patch automatisés
• Objectifs de remédiation :
  • Critique : 7 jours
  • Élevée : 14 jours
  • Moyenne : 30 jours
• Tests d’intrusion tiers annuels
• Tests ad hoc supplémentaires pour les changements majeurs de produit

Notre engagement :
Les risques sont identifiés rapidement, priorisés de manière responsable et résolus dans des SLAs stricts.

Réponse aux incidents

Playbooks clairs. Répondeurs dédiés. Communication honnête.

Control-C maintient un programme structuré de réponse aux incidents couvrant :

• Événements de sécurité
• Incidents de confidentialité
• Événements de continuité
• Pannes fournisseurs
• Scénarios de reprise après sinistre

Pendant un incident actif

• Répondeurs dédiés disponibles 24/7
• Communication via notre Trust Center et la page de statut
• Clients informés tôt et tenus à jour
• Contention, investigation et reprise selon des playbooks formels

Après un incident

• Revues post-incident
• Apprentissages documentés
• Améliorations des contrôles, de l’automatisation et de la prévention

Chaque incident est traité comme une occasion de renforcer toute la plateforme.

Signalement et contact

Si vous avez une question, vous pouvez nous joindre directement.

Problèmes de sécurité :
[email protected]
(Clé PGP disponible dans le Trust Center)

Questions de confidentialité :
[email protected]

Escalade urgente :
Trust Hotline : +1 (800) 555-9824

Dernière mise à jour : 20 mars 2025

Control-C: Un backup qui se souvient de tout.