Sécurité de l'information
Développement de logiciels et services informatiques sécurisés
Avec BCS, vous bénéficiez d'un système ERP et de gestion de projet sécurisé, développé selon les normes les plus strictes en Allemagne. C'est pourquoi nous accordons une grande importance à la gestion globale de la sécurité de l'information. Grâce à la certification ISO/IEC 27001, à des mises à jour de sécurité régulières et à des mesures complètes pour l'hébergement, le développement de logiciels, les interfaces, le portail d'assistance et l'application BCS, BCS garantit une confidentialité, une intégrité et une disponibilité maximales de vos données, tant dans le cloud (SaaS) que sur site. Découvrez ici les mesures que nous avons mises en œuvre pour vous fournir des services d'hébergement sécurisés et un produit sûr avec BCS.
Qualité certifiée par le TÜV - Produit sûr BCS
Projektron GmbH accorde une grande importance à la sécurité de l'information et a donc mis en place un système complet de gestion de la sécurité de l'information (ISMS). Avec l'introduction de ce système, nous avons ancré la sécurité de l'information dans l'organisation de l'entreprise et établi des processus centraux tels que la gestion des risques. Nos objectifs globaux sont toujours les suivants :
| Confidentialité | Intégrité | Disponibilité |
Un élément central de notre gestion de la sécurité et de la qualité de l'information est la certification ISO 27001 par le TÜV Rheinland. Cette certification confirme que nos processus, systèmes et contrôles répondent aux exigences strictes de la norme ISO 27001. Notre certification ISO/CEI 27001:2022 A1 couvre non seulement l'exploitation du développement et des services informatiques, mais aussi notre support et notre administration informatique. Notre ISMS est régulièrement contrôlé et adapté pour répondre aux nouvelles menaces et aux nouveaux défis. Cela garantit que nos mesures de sécurité sont toujours à jour et que vos données sont protégées en permanence.
Développement de produits
Développement logiciel sécurisé - logiciel sécurisé : La sécurité de l'information dans le processus de développement est fondamentale pour offrir, avec BCS, un produit logiciel qui constitue une base sûre pour vos besoins commerciaux et qui garantit la confidentialité, l'intégrité et la disponibilité de vos informations.
Nos mesures pour un développement logiciel sécurisé
Contrôle d’accès et authentification | |
|---|---|
Modèle de rôles et d’autorisationsUn modèle de rôles et d’autorisations personnalisable selon les besoins du client constitue la base permettant de restreindre l’accès aux données ou aux informations aux seules personnes autorisées. |
Single Sign-OnBCS prend en charge l’authentification via SAML, Active Directory (LDAP/KERBEROS) ou OAuth 2.0 avec OpenID Connect. |
Politiques de mots de passeBCS prend en charge des politiques de mots de passe concernant la complexité des mots de passe et la fréquence de modification. |
Authentification à deux facteursLa connexion peut être sécurisée davantage au moyen d’un second facteur généré selon la méthode TOTP. |
PasskeysBCS prend en charge les passkeys, une méthode d’authentification sans mot de passe qui remplace les mots de passe par un procédé asymétrique, améliorant ainsi la convivialité et réduisant les faiblesses telles que le phishing, le vol de mots de passe et les mots de passe faibles. | |
Sécurité des données et mécanismes de protection | |
Connexions chiffréesPour une transmission sécurisée des données entre BCS et les utilisateurs ou les systèmes externes, une communication chiffrée est possible (HTTPS, IMAPS, SMTPS). |
Coffre-fort de mots de passeLes mots de passe nécessaires aux systèmes tiers peuvent être stockés de manière cryptographiquement sécurisée dans un coffre-fort de mots de passe. |
Mots de passe sécurisésDans BCS, les mots de passe sont sécurisés à l’aide de l’algorithme PBKDF2 ainsi que d’un salt et d’un pepper. |
Attaques par force bruteLes comptes utilisateurs sont protégés par des délais d’attente ou par le verrouillage du compte après plusieurs tentatives de connexion échouées. L’accès à certains comptes peut être restreint à des adresses IP et plages d’adresses IP spécifiques. |
Tests et vérification | |
Analyse des vulnérabilitésLe logiciel est régulièrement analysé afin de détecter les failles de sécurité connues. |
Tests d’intrusionDes tests d’intrusion sont régulièrement réalisés en collaboration avec nos clients. Les résultats de ces tests sont intégrés en continu au développement et à la protection de BCS. |
Tests automatisésBCS est testé tant sur le plan fonctionnel que sur celui de la convivialité. Les schémas d’attaque courants peuvent être vérifiés automatiquement. Les tests automatisés sont intégrés au pipeline d’intégration continue (CI) afin de garantir que chaque modification du code est testée immédiatement. |
Tests d’intégrationNous réalisons des tests d’intégration afin de garantir que les différents composants du logiciel fonctionnent ensemble de manière sécurisée et qu’aucune nouvelle faille de sécurité n’est introduite. |
Tests unitairesPour chaque user story, nous développons des tests unitaires afin de vérifier le bon fonctionnement et la sécurité au niveau du code. |
Rapports de couverture des testsNous créons des rapports de couverture des tests qui indiquent la couverture des user stories par les tests et garantissent qu’aucune zone critique pour la sécurité ne reste non testée. |
Tests de bout en boutNous créons des tests de bout en bout qui couvrent l’ensemble de la user story et garantissent que l’application fonctionne comme prévu et reste sécurisée. | |
Mesures de sécurité internes | |
Définition des exigences de sécuritéLes objectifs et exigences de sécurité sont clairement définis au début du projet. |
Planification de la sécuritéNous suivons un plan de sécurité détaillé décrivant les mesures et procédures de sécurité. |
Équipe d’experts dans le développement produitUne équipe spécialisée traite en continu les sujets actuels liés à la sécurité informatique et met en œuvre les mesures de sécurité les plus récentes dans BCS. Cela garantit que notre logiciel respecte toujours les normes de sécurité les plus élevées. |
Directive interne « Développement logiciel sécurisé »La directive interne vise à minimiser les lacunes de sécurité et les vulnérabilités dans le développement de BCS et à y répondre de manière appropriée. Cela se fait en tenant compte du SANS Top 25, qui répertorie les 25 vulnérabilités logicielles les plus dangereuses et les plus pertinentes, ainsi que de l’OWASP Top 10, qui décrit les dix vulnérabilités les plus répandues et les plus importantes pour les applications web. |
Formation des employésNos développeurs sont régulièrement formés et sensibilisés aux aspects de sécurité et aux bonnes pratiques. |
Programmes de sensibilisationNous mettons en place des programmes visant à promouvoir la sensibilisation à la sécurité au sein de toute l’équipe de développement. |
Documentation de sécuritéToutes les exigences, mesures et tests de sécurité sont documentés en détail. |
ReportingUn reporting régulier sur l’état de la sécurité et les incidents survenus est fourni aux parties prenantes concernées. |
Programmation sécurisée et directives de développement | |
Normes et directives de codageNous respectons des normes et directives de codage éprouvées afin d’éviter les failles de sécurité. |
Revues de code et revues par les pairsLe code est régulièrement examiné par des collègues afin d’identifier rapidement les problèmes de sécurité potentiels. |
Analyse statique du codeDes outils d’analyse statique du code sont utilisés afin de détecter les vulnérabilités dans le code source. |
Évaluation des risquesLes risques de sécurité potentiels sont identifiés et évalués tout au long du processus de développement. |
Gestion des vulnérabilitésUn processus correspondant a été mis en œuvre afin de détecter, d’évaluer et de corriger les failles de sécurité. | |
Gestion des versions et gestion de la configuration | |
Gestion des versionsNous utilisons des systèmes de gestion de versions, comme Git, afin de suivre les modifications du code et d’assurer la traçabilité. |
Gestion de la configurationNous veillons à ce que toutes les configurations soient gérées et documentées de manière sécurisée. |
Réponse aux incidents et planification d’urgence | |
Plans d’urgenceDes plans d’urgence ont été établis et sont maintenus en continu afin de permettre une réaction rapide et efficace en cas d’incident de sécurité. |
Réponse aux incidentsNous avons établi un processus de réponse aux incidents de sécurité, comprenant l’analyse et la correction des causes. |
Hébergement / SAAS
Nous savons qu'un système sécurisé est important pour vous, surtout si vous hébergez BCS chez nous ou chez notre prestataire de services.
Nos mesures pour un hébergement sécurisé
Emplacement et disponibilité | |
|---|---|
Centre de données en AllemagneLe centre de données est situé en Allemagne et est soumis à des niveaux de sécurité élevés. Il appartient à la classe Tier IV et dispose de points de présence FAI redondants. |
Sauvegarde et restaurationLe service d’hébergement propose des sauvegardes et, si nécessaire, une restauration rapide. |
Certifié ISO 27001Notre centre de données ainsi que les domaines de Projektron liés à la sécurité sont certifiés selon la norme ISO 27001. Le centre de données possède également d’autres certifications : VdS ISO 9001 NSL et IS, DIN 14675 pour les systèmes de détection incendie et DIN EN 50518. |
DisponibilitéNous garantissons la disponibilité convenue, qui fait l’objet d’une surveillance continue. |
ISO/IEC 27017 & ISO/IEC 27018Nos services cloud sont certifiés selon les normes ISO/IEC 27017 pour la sécurité du cloud et ISO/IEC 27018 pour la protection des données personnelles dans le cloud. Nous complétons ainsi de manière ciblée nos normes de sécurité existantes par des exigences spécifiques aux environnements cloud et renforçons en particulier la protection des données, la transparence ainsi que la définition claire des responsabilités dans l’exploitation cloud. |
Attestation C5En outre, notre hébergement satisfait aux exigences du Cloud Computing Compliance Controls Catalogue (C5) de l’Office fédéral allemand de la sécurité des technologies de l’information avec une attestation C5 de type 1. Celle-ci confirme l’adéquation des mesures de sécurité mises en œuvre au moment de l’audit. Une attestation C5 de type 2, qui démontre en plus l’efficacité de ces mesures sur une période définie, est actuellement en cours de planification et devrait être finalisée en mars 2027. |
Sécurité physique et contrôle d’accès | |
Contrôle d’accèsL’accès au centre de données est réservé aux personnes autorisées chargées de l’exécution des tâches correspondantes et uniquement après inscription préalable. |
Service de sécuritéLe centre de données est surveillé sur site par un service de sécurité 24 h/24, 7 j/7 et 365 jours par an. |
Tests de sécurité et mises à jour | |
Mises à jour automatiséesLes machines virtuelles ainsi que BCS sont mis à jour automatiquement afin que vous disposiez toujours de la version la plus récente et la plus sécurisée. |
Fenêtres de maintenanceDes fenêtres de maintenance planifiées régulières sont prévues pour l’installation des mises à jour et des correctifs. En cas de faille de sécurité critique, des mises à jour non planifiées sont effectuées avec un préavis de deux heures. |
Test d’intrusionNotre hébergement fait l’objet d’un test d’intrusion annuel. | |
Sécurité des données et des accès | |
Serveurs de base de données séparésLes données clients sont stockées sur des serveurs de base de données séparés. Cela permet de meilleures performances et la mise en place d’interfaces individuelles. |
SSLDans le cadre de l’hébergement, vous accédez à BCS via une connexion chiffrée avec certificat SSL. |
Tunnel VPNLes machines virtuelles ne sont pas accessibles via Internet. Projektron y accède uniquement au moyen de tunnels VPN. |
Pare-feuUn pare-feu centralisé avec des règles de filtrage strictes, adaptées individuellement à chaque client, vous protège contre les attaques externes. Un pare-feu pour applications web peut être mis à disposition sur demande. |
Connexions sécurisées via HTTPS/SFTP/SSH & SCPVous accédez généralement à votre machine virtuelle uniquement via des connexions sécurisées, par exemple via HTTPS/SFTP/SSH, et créez ainsi des sauvegardes ou des copies de données, notamment via SCP. | |
Services supplémentaires et formations | |
KVDNos clients sont automatiquement raccordés au service de versionnement des configurations (KVD). Cela signifie que leurs configurations sont gérées au sein d’un référentiel SVN. |
FormationsLes employés reçoivent des formations adaptées aux besoins sur la sécurité des services d’hébergement. |
Les entreprises du secteur de la sécurité informatique font confiance à BCS
Les entreprises du secteur de la sécurité informatique et des logiciels font également confiance à BCS pour gérer leurs projets de manière sûre, efficace et transparente.
Nos solutions basées sur le web répondent aux exigences les plus élevées en matière de sécurité de l'information et de protection des données, un facteur décisif pour les organisations qui travaillent elles-mêmes avec des données sensibles.
Portail d'assistance & BCS-App
Les mesures suivantes offrent un aperçu des principaux paramètres de sécurité et de configuration qui rendent le portail de support et la BCS-App encore plus sûrs et efficaces. Découvrez comment protéger vos données de manière optimale et comment personnaliser la plateforme en fonction de vos besoins.
Nos mesures de sécurité pour le portail d'assistance et l'application BCS
Portail de support | |
|---|---|
Sécurité du transportLa sécurité du transport dans le portail de support est assurée par l’utilisation facultative, mais recommandée, de HTTPS. |
Échange de messages et authentificationL’échange de messages s’effectue via SOAP, l’authentification étant assurée au moyen du nom d’utilisateur et du mot de passe dans l’en-tête SOAP. L’utilisateur de synchronisation doit être protégé par un mot de passe fort, car il dispose de droits étendus. Ce mot de passe doit être stocké dans le coffre-fort de mots de passe. |
Configuration des attributs à synchroniserLes attributs à synchroniser peuvent être configurés, ce qui permet d’exclure les attributs sensibles de la synchronisation. |
Restrictions de portsDes restrictions de ports peuvent être appliquées afin de limiter de manière ciblée les échanges HTTP entre les systèmes concernés. |
Application BCS | |
Sécurité du transportLa sécurité du transport de l’application BCS est assurée, car elle ne peut être utilisée qu’en combinaison avec HTTPS. |
Authentification et gestion des cookiesL’authentification s’effectue au moyen d’un nom d’utilisateur et d’un mot de passe, suivie de l’utilisation d’un cookie à longue durée de vie, conservé de manière sécurisée en mémoire et supprimé de l’application lors d’une déconnexion explicite. |
Application des droits lors de la synchronisationLors de la synchronisation de l’application BCS vers BCS, les droits définis dans BCS sont appliqués. | |
Interfaces
Vous trouverez ici un aperçu des aspects centraux de la sécurité lors de l'utilisation d'interfaces dans BCS. Que vous intégriez Microsoft Exchange, Microsoft 365 (Exchange Online) ou Jira, vous apprendrez ici comment garantir la sécurité du transport et quelles méthodes d'authentification et d'autorisation sont utilisées.
Nos interfaces du point de vue de la sécurité
Portail de support | |
|---|---|
Sécurité du transportLa sécurité du transport dans le portail de support est assurée par l’utilisation facultative, mais recommandée, de HTTPS. |
Échange de messages et authentificationL’échange de messages s’effectue via SOAP, l’authentification étant assurée au moyen du nom d’utilisateur et du mot de passe dans l’en-tête SOAP. L’utilisateur de synchronisation doit être protégé par un mot de passe fort, car il dispose de droits étendus. Ce mot de passe doit être stocké dans le coffre-fort de mots de passe. |
Configuration des attributs à synchroniserLes attributs à synchroniser peuvent être configurés, ce qui permet d’exclure les attributs sensibles de la synchronisation. |
Restrictions de portsDes restrictions de ports peuvent être appliquées afin de limiter de manière ciblée les échanges HTTP entre les systèmes concernés. |
Application BCS | |
Sécurité du transportLa sécurité du transport de l’application BCS est assurée, car elle ne peut être utilisée qu’en combinaison avec HTTPS. |
Authentification et gestion des cookiesL’authentification s’effectue au moyen d’un nom d’utilisateur et d’un mot de passe, suivie de l’utilisation d’un cookie persistant, conservé de manière sécurisée en mémoire et supprimé de l’application lors d’une déconnexion explicite. |
Application des droits lors de la synchronisationLors de la synchronisation de l’application BCS vers BCS, les droits définis dans BCS sont appliqués. | |
Steffen Späthe
Directeur technique | Navimatix GmbH
Chez Navimatix, nous utilisons BCS pour tous les processus clés de notre entreprise, de l'établissement des devis à la gestion des projets et des clients, en passant par la gestion des contacts, des ressources humaines et de la sécurité de l'information. BCS nous offre une base fiable qui nous permet de relever efficacement les défis quotidiens.
Tanja Maier
Contrôle de gestion, SSC-Services GmbH
« La gestion des risques de [Projektron] nous aide notamment à satisfaire aux exigences des labels TISAX et ISO. Nous déposons des accords tels que des accords de niveau de service et des accords de confidentialité sur les projets correspondants, nous notons si des valeurs d'information pertinentes sont traitées dans le projet et si un délai a été convenu contractuellement. Les risques et, le cas échéant, les opportunités sont déposés sur le projet par le chef de projet ».
Michael Schäfer
Directeur général, Schutzwerk GmbH
"Nous voulions une solution tout-en-un qui réponde à nos exigences élevées en matière de sécurité et qui nous aide à gérer nos projets d'audit dans le domaine de la cybersécurité. Outre l'utilisation des fonctions de base de gestion de projet, notamment pour de nombreux petits projets, la gestion des ressources sur l'ensemble du projet et l'automatisation de la saisie des prestations jusqu'à la facturation sont essentielles pour nous. Projektron BCS nous aide également à mener efficacement nos projets internes, tels que les certifications".
Carsten Münch
First Business Partner & Team Coordinator Application Management, TÜV Rheinland Service GmbH
"Nous avons mis en œuvre l'authentification unique, de sorte que nos collaborateurs n'ont pas à saisir de mot de passe et peuvent utiliser une procédure de connexion sûre et moderne".
Thomas Hackenbuchner
Responsable des finances et de l'administration, MicroNova AG
"En matière de sécurité de l'information, BCS nous aide en nous permettant d'attribuer des attributs supplémentaires aux projets. Nous pouvons par exemple classer les projets en fonction de leur besoin de protection ou marquer s'il s'agit d'un projet avec protection de prototype. Sur la base de ces marquages, nous pouvons déduire et initier d'autres étapes du processus".
Kevin Botsch
BCS Technical Product Management, Finanz Informatik Solutions Plus Kevin Botsch
"En tant que prestataire de services de conseil, de développement et d'intégration d'applications professionnelles dans le secteur financier, la sécurité des logiciels et la transparence des processus sont importantes pour nous. En raison de la croissance que nous avons connue jusqu'à présent et de l'augmentation constante du nombre d'utilisateurs, la convivialité et l'utilisation intuitive sont également devenues des facteurs importants. Avec Projektron BCS, nous avons trouvé un système qui répond exactement à ces exigences. En outre, BCS peut également être adapté de manière flexible à nos besoins et nous permet d'apporter de nombreuses améliorations aux processus".
Gestion de la qualité et de la sécurité de l'information chez Projektron GmbH
Outre le développement de logiciels et l'hébergement sécurisés, des processus commerciaux performants sont au cœur de notre logiciel de gestion de projet et de notre entreprise. C'est pourquoi nous avons mis en place une gestion complète de la qualité et de la sécurité de l'information.
Gestion de la qualité et de la sécurité de l'information chez Projektron GmbH
