Centre de confiance HCL BigFix
La sécurité des logiciels revêt une importance cruciale pour HCL et nos précieux clients. Elle est également au cœur du processus de développement de HCL BigFix. La stratégie de sécurité HCL couvre tous les aspects de notre activité, y compris les politiques de sécurité d'entreprise et d'organisation, la gestion des incidents et la réponse aux incidents, la continuité de l'activité et la reprise après sinistre, les processus de développement de logiciels sécurisés et la confidentialité.
Cette page Web traite spécifiquement du processus de développement sécurisé de HCL BigFix, ainsi que des certifications de notre entreprise et de nos produits qui revêtent une importance particulière pour nos clients du secteur privé et du secteur public. Elle explique comment la solution HCL BigFix aide les équipes informatiques et de sécurité à sécuriser leur parc de nœuds finaux.
Développement de produits sécurisé
HCL Software respecte des processus de développement rigoureux afin de protéger le code que nous développons et fournissons à nos clients, tant du secteur privé que du secteur public.
De plus, le contenu BigFix est protégé de plusieurs manières. Tout d'abord, les serveurs de contenu BigFix sont hébergés dans des centres de données sécurisés. Deuxièmement, les listes de contrôle d'accès aux fichiers (FACL) limitent l'accès et les modifications aux utilisateurs autorisés. Enfin, le contenu BigFix lui-même est signé cryptographiquement au cours du processus de compilation sécurisé. Tout contenu qui n'est pas correctement signé est rejeté par les serveurs BigFix et consigné comme une erreur. Par conséquent, le contenu téléchargé par nos clients à partir des serveurs de contenu BigFix est protégé et sécurisé.
Assistance produit sécurisée
Nos équipes d'assistance produit protègent nos données et informations clients en ne collectant que les informations essentielles, en limitant l'accès aux coordonnées des clients et aux données de cas aux seules personnes qui travaillent activement à résoudre le problème signalé, et en chiffrant les informations sensibles des clients, ce qui les rend illisibles pour toute personne autre que la partie visée. Nous appliquons la politique de protection des données suivante :
- Ne recueillir que les coordonnées et des informations vitales sur l'entreprise.
- Communiquer les informations et les données client via les protocoles HTTPS et TLS (Transport Layer Security).
- Envoyer les données de diagnostic via SFTP ou HTTPS à l'aide des protocoles TLS et chiffrer les données stockées à l'aide de l'algorithme AES.
Le service d'assistance de HCLSoftware a obtenu la certification ISO 27001. Des auditeurs externes ont examiné les pratiques, les politiques et les procédures de HCL Software et ont conclu que notre système de gestion de la sécurité de l'information répond aux exigences de la norme. La conformité à la norme ISO 27001 démontre notre capacité à protéger les données et les informations de nos clients.
Bulletins de sécurité HCL BigFix
L'équipe PSIRT (Product Security Incident Response Team, équipe d'intervention en cas d'incident de sécurité des produits) de HCL gère la réception, l'analyse et la coordination interne des vulnérabilités de sécurité signalées concernant les offres de produits HCLSoftware. L'équipe PSIRT collabore avec les équipes de développement des produits, qui analysent les vulnérabilités de sécurité signalées et définissent le plan d'intervention approprié. Une fois le plan d'intervention défini, les équipes produit communiquent avec les parties prenantes internes et externes dans le cadre de la mise en œuvre de notre processus de réponse aux vulnérabilités. Pour en savoir plus, rendez-vous sur la page de l'équipe PSIRT du logiciel HCLSoftware.
L'équipe PSIRT de HCL publie des bulletins de sécurité à l'intention de nos clients et partenaires. Chaque bulletin de sécurité décrit le CVE et renvoie vers des informations complémentaires ainsi que vers les mesures correctives. Une liste des bulletins de sécurité HCL BigFix est disponible sur le forum communautaire HCLSoftware.
Certifications des produits
HCL collabore avec divers organismes chargés d'évaluer notre conformité aux normes de sécurité du secteur, afin que nos clients et partenaires puissent avoir l'assurance de l'intégrité de nos produits. Pour plus d'informations sur la conformité d'entreprise de HCL Software, consultez la page Conformité de HCL Software. Les certifications HCL et BigFix suivantes ont été obtenues ou sont en cours d'obtention, comme indiqué ci-dessous.
Le protocole SCAP (Security Content Automation Protocol, protocole d'automatisation du contenu de sécurité) v1.3 définit un ensemble de normes visant à automatiser la configuration de la sécurité, l'évaluation des vulnérabilités et la production de rapports de conformité. En respectant les normes SCAP, les solutions logicielles garantissent une validation précise de la conformité et l'alignement sur les références mondiales en matière de sécurité informatique.
Dans le cadre du processus de validation, les produits doivent démontrer leur capacité à générer et à évaluer des listes de contrôle de conformité issues de sources définies par le SCAP, à les appliquer aux systèmes d'exploitation et aux applications, et à rendre compte des résultats sans aucune erreur dans des environnements de test à grande échelle.
Le contenu SCAP repose sur des formats reconnus, tels que les formats XCCDF (Extensible Configuration Checklist Description Format) et OVAL(Open Vulnerability and Assessment Language), qui permettent d'établir des définitions de politiques et de contrôles de sécurité cohérentes et lisibles par machine.
HCL BigFix v11 a obtenu la validation SCAP 1.3, après avoir satisfait aux exigences rigoureuses du programme de validation SCAP du NIST. HCL BigFix figure ainsi parmi les cinq seuls produits au monde à bénéficier de cette reconnaissance. Cette certification renforce notre position en tant que solution de confiance pour les organisations des secteurs fédéraux et hautement réglementés, garantissant une gestion de la conformité des nœuds finaux sécurisée, fiable et conforme aux normes.
Le profil CPP_APP_SW_V1.0e (Common Criteria Protection Profile for Application Software) décrit des exigences de sécurité strictes pour les logiciels applicatifs, répondant à divers scénarios d'utilisation et environnements. Ces exigences couvrent plusieurs domaines essentiels, notamment l'installation sécurisée, la gestion de la configuration, l'utilisation des clés cryptographiques, la protection des données, les mises à jour logicielles sécurisées, l'authentification des utilisateurs, le contrôle d'accès et la vérification de l'intégrité en exécution. En respectant ces normes, les solutions logicielles démontrent qu'elles appliquent des pratiques de sécurité rigoureuses, conformes aux références mondiales en matière de sécurité informatique.
En outre, le protocole PKG_TLS_v2.0 (Functional Package for Transport Layer Security) définit les exigences fonctionnelles de la mise en œuvre des protocoles TLS (Transport Layer Security) et DTLS (Datagram TLS). Ces exigences visent à améliorer la sécurité des produits en permettant leur évaluation.
HCL BigFix v11 a obtenu avec succès la certification NIAP, ayant satisfait aux exigences rigoureuses du profil de protection des logiciels d'application et du package fonctionnel Transport Layer Security (TLS). Cette certification contribue à renforcer sa position en tant que solution de gestion des nœuds finaux sécurisée, fiable et digne de confiance.
La certification ISO 20243 est une norme ouverte O-TTPS (Open Trusted Technology Provider™ Standard) destinée à atténuer les produits malveillants et contrefaits. Il s'agit d'un ensemble de lignes directrices, de recommandations et d'exigences qui contribuent à garantir l'intégrité du développement technologique et à empêcher que des produits altérés de manière malveillante ou contrefaits n'entrent dans la chaîne d'approvisionnement mondiale. La norme est axée sur des processus vérifiables et des éléments de preuve de mise en œuvre pour répondre aux préoccupations des clients, intégrateurs, fournisseurs, organismes d'audit et organismes de réglementation, ainsi qu'aux meilleures pratiques de mise en œuvre tout au long du cycle de vie d'un produit : conception, approvisionnement, fabrication, exécution, distribution, maintien et mise au rebut.
Certification ISO 20243 pour une chaîne d'approvisionnement sécurisée
La norme ISO/IEC 27001 définit les exigences relatives à la mise en place, à la mise en œuvre, au maintien et à l'amélioration continue d'un système de gestion de la sécurité de l'information (ISMS) dans le contexte de l'organisation. Conformément à la norme ISO/IEC 27001, l'équipe HCLSoftware Security and Compliance (Sécurité et conformité des logiciels) a été créée afin de protéger les actifs d'information stratégiques en mettant en œuvre et en améliorant continuellement un ISMS, dans le but de garantir la réalisation des objectifs de sécurité de l'information applicables et de permettre au ISMS de s'adapter aux changements internes et externes. L'objectif de l'ISMS est de protéger les actifs informationnels de HCLSoftware et de ses clients contre les menaces identifiées, qu'elles soient internes ou externes, intentionnelles ou accidentelles.
Certifications ISO/IEC 27001
La norme CC (Common Criteria) est une norme internationale de certification de la sécurité informatique. Elle garantit que le processus de spécification, de mise en œuvre et d'évaluation d'un produit de sécurité informatique a été mené de manière rigoureuse, normalisée et reproductible, à un niveau correspondant à son environnement d'utilisation cible.
L'OCSI a achevé l'évaluation de HCL BigFix V10. L'OCSI gère l'évaluation et la certification des systèmes et produits de sécurité informatique.
Certification CC
La norme FIPS (Federal Information Processing Standard) 140-2 définit les exigences de sécurité auxquelles doit satisfaire un module cryptographique, en proposant quatre niveaux qualitatifs croissants destinés à couvrir un large éventail d'applications et d'environnements potentiels. Les domaines couverts, liés à la conception et à la mise en œuvre sécurisées d'un module cryptographique, comprennent la spécification ; les ports et les interfaces ; les rôles, les services et authentification ; le modèle à l'état fini ; la sécurité physique ; l'environnement opérationnel ; la gestion des clés cryptographiques ; l'EMI/l'EMC (Electromagnetic Interference/Electromagnetic Compatibility) ; les tests automatiques ; l'assurance de la conception ; ainsi que l'atténuation d'autres attaques.
Le module cryptographique FIPS intégré à BigFix v11 a reçu la
HCL BigFix Compliance a obtenu la certification CIS Benchmark Remediation pour 69 référentiels — couvrant Windows, macOS, Linux, les bases de données, les serveurs web et les plateformes applicatives — ce qui en fait la plateforme de conformité des terminaux fla plus largement certifiée du secteur pour la remédiation automatisée selon les normes CIS.
La certification « CIS Benchmark Remediation »est décernée par le Center for Internet Security (CIS) aux produits de sécurité capables de corriger automatiquement les postes clients pour les rendre conformes aux référentiels CIS Benchmarks. Il s'agit du niveau de certification CIS le plus élevé pour les outils de conformité des terminaux ; elle va au-delà de la simple évaluation et du reporting pour attester qu'un produit peut remédier activement aux dérives de configuration sur les systèmes.
Pour obtenir cette certification, un produit doit automatiser au moins 90 % des recommandations incluses dans chaque référentiel (benchmark) certifié, maintenir des processus de précision et d'assurance qualité pour l'ensemble de ces référentiels, et faire l'objet d'une évaluation annuelle par le CIS. Il s'agit d'une exigence délibérément élevée : si la plupart des outils de gestion des terminaux peuvent effectuer des analyses et générer des rapports basés sur les référentiels CIS, rares sont ceux capables de démontrer une couverture de remédiation automatisée suffisamment approfondie pour décrocher cette certification à grande échelle. Grâce à cette certification, HCL BigFix Compliance permet aux entreprises de passer de la simple identification des dérives de configuration à leur correction en continu, renforçant ainsi le durcissement des terminaux, la préparation aux audits et la conformité à l'échelle de l'organisation.
Les références CIS sont fournies à titre de meilleures pratiques pour sécuriser les systèmes d'exploitation et les logiciels, afin d'éliminer toute vulnérabilité liée à la configuration susceptible de donner lieu à des cyberattaques.
Les listes de contrôle de conformité BigFix ont obtenu la certification CIS pour les logiciels de sécurité selon les référentiels CIS.
Certification CIS pour les logiciels de sécurité
Considérations relatives au gouvernement fédéral des États-Unis
Les clients du gouvernement fédéral des États-Unis
visit sont invités à consulter la page HCL BigFix dédiée au gouvernement fédéral des États-Unis pour en savoir plus.
Confidentialité
Nous nous engageons à protéger la confidentialité des visiteurs de nos sites Web, des personnes qui s'inscrivent pour utiliser nos produits et services, de celles qui s'inscrivent pour participer à nos événements d'entreprise et webinaires, ainsi que de nos partenaires commerciaux. Pour plus d'informations, consultez la Déclaration de confidentialité de HCL
Récapitulatif
Nos clients peuvent être assurés que la sécurité reste notre priorité lorsque nous développons, testons et livrons des solutions de gestion des nœuds finaux efficaces et sécurisées à nos clients du secteur privé et du secteur public. Pour en savoir plus, veuillez nous contacter.