La sécurité chez Cal.com
Certifié ISO 27001, SOC 2 Type II, HIPAA, GDPR et CCPA, avec les documents pour le prouver.
Conformité
Accédez aux documents de conformité, certifications et accords de protection des données
Comment nous maintenons ce niveau
En tant qu’entreprise certifiée ISO 27001, SOC 2 Type II, CCPA, GDPR et HIPAA, nous comprenons l’importance critique de la sécurité de l’information dans le paysage numérique actuel. La fréquence et la sophistication croissantes des cyberattaques montrent à quel point les entreprises doivent faire de la sécurité une priorité pour protéger leurs données et préserver la confiance de leurs clients. En appliquant des mesures de sécurité et des bonnes pratiques conformes aux standards du secteur, nous démontrons notre engagement constant en faveur de la protection des informations sensibles et de l’intégrité de nos opérations. Nous sommes fiers des protocoles de sécurité rigoureux que nous avons mis en place et nous nous engageons à maintenir les plus hauts standards d’excellence en matière de sécurité.
Comment y sommes-nous parvenus ?
En tant qu’organisation, nous comprenons l’importance de rester conformes aux pratiques et aux normes de sécurité. C’est pourquoi nous utilisons des plateformes d’automatisation de la sécurité et de la conformité afin de rester conformes en continu et de respecter les protocoles de sécurité applicables.
Nous disposons d’une plateforme centralisée qui automatise l’évaluation et la surveillance de différents contrôles et procédures de sécurité. En s’intégrant à nos systèmes et outils existants, nos plateformes nous donnent une vue complète de notre posture de sécurité, identifient les problèmes potentiels et veillent à ce que nous soyons toujours à jour avec les derniers protocoles de sécurité et standards du secteur. Cela nous donne l’assurance de suivre les bonnes pratiques du secteur et de fournir un environnement sécurisé à nos clients et parties prenantes.
Que se passe-t-il si un élément n’est plus conforme ?
Si un élément devait sortir du cadre de conformité, notre plateforme d’automatisation de la conformité détecterait le problème et nous alerterait immédiatement. Nous pourrions ainsi agir rapidement pour le corriger et revenir vite en conformité. En utilisant une telle plateforme d’automatisation de la conformité, nous pouvons garder la maîtrise de nos obligations et prendre des mesures proactives pour rester conformes aux pratiques et normes de sécurité applicables. Cela nous donne l’assurance de fournir un environnement sécurisé à nos clients et parties prenantes, et nous aide à maintenir notre réputation d’organisation fiable et digne de confiance.
Procédures et contrôles
Politiques et procédures sécurisées
Des politiques et procédures écrites de sécurité de l’information garantissent que l’entreprise dispose de contrôles documentés et testés pour protéger les données des clients et répondre efficacement aux incidents de sécurité.
Tests de vulnérabilité et d’intrusion
Des tests réguliers de vulnérabilité et d’intrusion aident à identifier et corriger les faiblesses de sécurité potentielles avant qu’elles ne puissent être exploitées par des attaquants. Cal.com fait réaliser chaque année un test d’intrusion externe de notre application web par un tiers afin d’identifier d’éventuelles vulnérabilités de sécurité. Cela nous permet ensuite de faire remonter ces problèmes en interne et de les corriger immédiatement. Un rapport officiel est transmis à Cal.com indiquant que les problèmes trouvés sont désormais corrigés. Nous effectuons également des tests d’intrusion internes réguliers. Nous utilisons aussi l’analyse automatisée des vulnérabilités dans notre code et ses dépendances.
Chiffrement des données
Le chiffrement des données sensibles permet de s’assurer que les données ne peuvent pas être consultées ni lues par des personnes non autorisées. Le chiffrement de notre base de données permet aux clients d’utiliser notre produit en toute confiance, car il protège les données en transit comme au repos.
Authentification multifacteur
L’authentification multifacteur aide à empêcher les accès non autorisés aux systèmes de l’entreprise, ce qui contribue à protéger les données des clients contre le vol ou l’altération.
Cycle de développement sécurisé
L’authentification multifacteur aide à empêcher les accès non autorisés aux systèmes de l’entreprise, ce qui contribue à protéger les données des clients contre le vol ou l’altération. Tous les changements apportés à notre base de code sont protégés par la protection des branches : pour déployer une nouvelle modification de code en production, celle-ci doit avoir été approuvée par un autre ingénieur et réussir plusieurs tests automatisés qui vérifient les problèmes de sécurité introduits par le code ou ses dépendances, ainsi que des tests de bout en bout, entre autres. Ainsi, aucun acteur malveillant, interne ou externe à Cal.com, ne peut pousser du code malveillant grâce à notre processus de revue sécurisé.
Surveillance
La surveillance continue des journaux d’accès aux systèmes et du trafic réseau aide à détecter les incidents de sécurité potentiels et à y répondre, réduisant ainsi le risque de compromission des données des clients.
Formation et sensibilisation des employés
Des programmes réguliers de formation et de sensibilisation des employés permettent de s’assurer qu’ils sont capables de traiter les données des clients de manière sécurisée, réduisant ainsi le risque d’erreur humaine ou de violation intentionnelle des données. Nous veillons en priorité à ce qu’ils soient suivis immédiatement par tous les nouveaux employés et chaque année par tous les employés en poste.
Contrôles d’accès et vérifications des antécédents
Les contrôles d’accès et les vérifications des antécédents des employés, fournisseurs tiers et prestataires de services permettent de s’assurer qu’ils sont dignes de confiance et qu’on peut compter sur eux pour traiter les données des clients de manière sécurisée. Des vérifications des antécédents sont effectuées pour toutes les nouvelles embauches que l’entreprise peut réaliser, afin que Cal.com puisse avoir confiance dans les employés que nous choisissons de recruter. De plus, limiter l’accès aux applications nécessaires à des usages précis est essentiel pour rester conforme. Chaque trimestre, nous examinons les accès aux applications et les niveaux d’accès de tous les employés afin de nous assurer qu’ils n’ont accès qu’aux applications nécessaires à l’exercice de leur fonction.
Audits et évaluations par des tiers
Des audits et évaluations réguliers par des tiers fournissent une validation indépendante de l’efficacité des contrôles et procédures de sécurité de l’information de l’entreprise, donnant aux clients l’assurance que leurs données sont traitées de manière sécurisée.
Détection d’intrusion
Cal.com utilise des systèmes de détection d’intrusion pour surveiller en continu nos systèmes face aux menaces potentielles pouvant survenir à tout moment. Savoir dès les premières phases qu’une menace pourrait être critique nous permet d’agir rapidement et efficacement pour éviter qu’elle ne cause des problèmes à court ou long terme.
Divulgation des vulnérabilités
Chez Cal.com, nous considérons la sécurité de nos systèmes comme une priorité absolue. Mais quels que soient les efforts que nous consacrons à la sécurité des systèmes, des vulnérabilités peuvent toujours exister.
Si vous découvrez une vulnérabilité, nous souhaitons en être informés afin de prendre des mesures pour la corriger le plus rapidement possible. Nous vous demandons de nous aider à mieux protéger nos clients et nos systèmes.
Vulnérabilités hors périmètre :
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Attaques nécessitant un MITM ou un accès physique à l’appareil d’un utilisateur.
- Toute activité susceptible d’entraîner une interruption de notre service (DoS).
- Problèmes de falsification de contenu et d’injection de texte sans vecteur d’attaque démontré ou sans possibilité de modifier le HTML/CSS.
- Spoofing d’e-mails SPF
- En-têtes DNSSEC, CAA, CSP manquants
- Absence d’attribut Secure ou HTTP only sur des cookies non sensibles
- Liens morts
- Tout ce qui concerne la sécurité DNS ou e-mail
- Limitation du débit
- XSS (Cross-Site Scripting)
Remarque : Cal.com se réserve le droit de désigner toute vulnérabilité signalée comme hors périmètre.
Ce qu’il faut faire et ne pas faire
- N’exécutez pas de scanners automatisés sur notre infrastructure ou notre tableau de bord. Si vous souhaitez le faire, contactez-nous et nous mettrons en place un bac à sable pour vous.
- N’exploitez pas la vulnérabilité ou le problème que vous avez découvert, par exemple en téléchargeant plus de données que nécessaire pour démontrer la vulnérabilité ou en supprimant ou modifiant les données d’autres personnes,
- Ne révélez pas le problème à d’autres personnes tant qu’il n’a pas été résolu,
- N’utilisez pas d’attaques visant la sécurité physique, l’ingénierie sociale, le déni de service distribué, le spam ou des applications de tiers, et
Comment signaler une vulnérabilité
Vous pouvez signaler des vulnérabilités ici : https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
Dans le périmètre : Cal.com Environnement QA
Seules les cibles répertoriées ci-dessous sont autorisées pour les tests de sécurité : (modifié)
| Cible | URL | Type |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Test de site web |
| API Cal.com QA | https://api.cal.qa/ | Test d’API |
Vous pouvez créer et utiliser plusieurs comptes de test dans l’environnement QA lorsque c’est nécessaire, à condition d’utiliser uniquement des comptes et des données de test que vous contrôlez.
Une fois votre soumission reçue, un délai peut être nécessaire avant que nous vous répondions, le temps que notre équipe qualifie le problème.
Veuillez fournir suffisamment d’informations pour reproduire le problème afin que nous puissions le résoudre le plus rapidement possible. En général, l’adresse IP ou l’URL du système concerné et une description de la vulnérabilité suffisent, mais les vulnérabilités complexes peuvent nécessiter des explications supplémentaires.
- Si vous avez suivi les instructions ci-dessus, nous n’engagerons aucune action en justice contre vous concernant le signalement
- Nous traiterons votre signalement avec la plus stricte confidentialité et ne transmettrons pas vos données personnelles à des tiers sans votre autorisation
- Nous vous tiendrons informé de l’avancement de la résolution du problème
- Dans les informations publiques concernant le problème signalé, nous indiquerons votre nom comme la personne l’ayant découvert (sauf si vous souhaitez le contraire)
- Nous nous efforçons de résoudre tous les problèmes aussi rapidement que possible, et nous souhaitons jouer un rôle actif dans la publication finale concernant le problème une fois celui-ci résolu.