La sécurité chez Cal.com
Certifié ISO 27001, SOC 2 Type II, HIPAA, GDPR et CCPA, avec les documents pour le prouver.
Conformité
Accédez aux documents de conformité, certifications et accords de protection des données
Comment nous la maintenons
En tant qu’entreprise ayant obtenu les certifications ISO 27001, SOC 2 Type II, CCPA, GDPR et HIPAA, nous comprenons l’importance critique de la sécurité de l’information dans le paysage numérique actuel. La fréquence et la sophistication croissantes des cyberattaques montrent la nécessité pour les entreprises de donner la priorité à la sécurité afin de protéger leurs données et de garantir la confiance de leurs clients. En mettant en œuvre des mesures de sécurité et des bonnes pratiques conformes aux standards du secteur, nous démontrons notre engagement constant à protéger les informations sensibles et à préserver l’intégrité de nos opérations. Nous sommes fiers des protocoles de sécurité rigoureux que nous avons mis en place et nous nous engageons à maintenir les plus hauts standards d’excellence en matière de sécurité.
Comment y sommes-nous parvenus ?
En tant qu’organisation, nous comprenons l’importance de rester conformes aux pratiques et standards de sécurité. C’est pourquoi nous utilisons des plateformes d’automatisation de la sécurité et de la conformité afin de rester conformes en continu et de respecter les protocoles de sécurité applicables.
Nous disposons d’une plateforme centralisée qui automatise l’évaluation et la surveillance de différents contrôles et procédures de sécurité. En s’intégrant à nos systèmes et outils existants, nos plateformes nous donnent une vue d’ensemble complète de notre posture de sécurité, identifient les problèmes potentiels et garantissent que nous sommes toujours à jour avec les derniers protocoles de sécurité et standards du secteur. Cela nous donne l’assurance de suivre les bonnes pratiques du secteur et d’offrir un environnement sécurisé à nos clients et parties prenantes.
Que se passe-t-il si un élément n’est plus conforme ?
Si un élément n’était plus conforme, notre plateforme d’automatisation de la conformité détecterait le problème et nous alerterait immédiatement. Nous pourrions ainsi agir rapidement pour le corriger et rétablir la conformité. En utilisant une telle plateforme d’automatisation de la conformité, nous restons à jour sur nos obligations de conformité et prenons des mesures proactives pour rester conformes aux pratiques et standards de sécurité applicables. Cela nous donne l’assurance d’offrir un environnement sécurisé à nos clients et parties prenantes, et nous aide à maintenir notre réputation d’organisation fiable et digne de confiance.
Procédures et contrôles
Politiques et procédures sécurisées
Des politiques et procédures écrites de sécurité de l’information garantissent que l’entreprise dispose de contrôles documentés et testés pour protéger les données clients et répondre efficacement aux incidents de sécurité.
Tests de vulnérabilité et d’intrusion
Des tests réguliers de vulnérabilité et d’intrusion aident à identifier et corriger les faiblesses de sécurité potentielles avant qu’elles puissent être exploitées par des attaquants. Cal.com fait réaliser chaque année un test d’intrusion externe de notre application web par un tiers afin d’identifier d’éventuelles vulnérabilités de sécurité, ce qui nous permet ensuite de signaler ces problèmes en interne et de les corriger immédiatement. Un rapport officiel est remis à Cal.com indiquant que les problèmes trouvés sont désormais résolus. Nous réalisons également des tests d’intrusion internes réguliers. Nous utilisons aussi des analyses automatisées de vulnérabilités dans notre code et ses dépendances.
Chiffrement des données
Le chiffrement des données sensibles permet de garantir qu’elles ne peuvent pas être consultées ou lues par des personnes non autorisées. Le chiffrement de notre base de données permet aux clients de se sentir en sécurité lorsqu’ils utilisent notre produit, car il protège les données en transit comme au repos.
Authentification multifacteur
L’authentification multifacteur aide à empêcher les accès non autorisés aux systèmes de l’entreprise, ce qui contribue à protéger les données clients contre le vol ou l’altération.
Cycle de développement sécurisé
L’authentification multifacteur aide à empêcher les accès non autorisés aux systèmes de l’entreprise, ce qui contribue à protéger les données clients contre le vol ou l’altération. Toutes les modifications de notre base de code sont protégées par une protection de branche : pour pouvoir envoyer une nouvelle modification de code en production, celle-ci doit avoir été approuvée par un autre ingénieur, et doit aussi réussir plusieurs tests automatisés qui vérifient les problèmes de sécurité introduits par le code ou ses dépendances, ainsi que des tests de bout en bout et plus encore. Ainsi, aucun acteur malveillant, interne ou externe à Cal.com, ne peut envoyer de code malveillant grâce à notre processus de revue sécurisé.
Surveillance
La surveillance continue des journaux d’accès système et du trafic réseau aide à détecter les incidents de sécurité potentiels et à y répondre, réduisant ainsi le risque de compromission des données clients.
Formation et sensibilisation des employés
Des programmes réguliers de formation et de sensibilisation des employés permettent de garantir qu’ils sont en mesure de traiter les données clients en toute sécurité, réduisant ainsi le risque d’erreur humaine ou de fuite de données intentionnelle. Nous faisons en sorte que ces formations soient suivies immédiatement par tous les nouveaux employés et chaque année par tous les employés existants.
Contrôles d’accès et vérifications des antécédents
Les contrôles d’accès et les vérifications des antécédents des employés, fournisseurs tiers et prestataires de services permettent de s’assurer qu’ils sont dignes de confiance et peuvent être chargés de traiter les données clients en toute sécurité. Des vérifications des antécédents sont effectuées pour toutes les nouvelles embauches que l’entreprise peut réaliser, afin que Cal.com puisse établir sa confiance dans l’employé que nous choisissons de recruter. De plus, n’accorder l’accès qu’aux applications nécessaires est important pour rester conforme. Chaque trimestre, nous examinons les accès aux applications et les niveaux d’accès de tous les employés afin de nous assurer qu’ils n’ont accès qu’aux applications nécessaires à l’exercice de leur fonction.
Audits et évaluations par des tiers
Des audits et évaluations réguliers par des tiers fournissent une validation indépendante de l’efficacité des contrôles et procédures de sécurité de l’information de l’entreprise, donnant aux clients l’assurance que leurs données sont traitées de manière sécurisée.
Détection d’intrusion
Cal.com utilise des systèmes de détection d’intrusion pour surveiller en continu nos systèmes et repérer les menaces potentielles pouvant survenir à tout moment. Savoir dès les premières étapes qu’une menace peut être critique nous permet d’agir rapidement et efficacement pour éviter qu’elle ne cause des problèmes à court ou à long terme.
Divulgation des vulnérabilités
Chez Cal.com, nous considérons la sécurité de nos systèmes comme une priorité absolue. Mais quels que soient les efforts que nous consacrons à la sécurité des systèmes, des vulnérabilités peuvent toujours exister.
Si vous découvrez une vulnérabilité, nous aimerions en être informés afin de pouvoir prendre des mesures pour la corriger aussi vite que possible. Nous vous demandons de nous aider à mieux protéger nos clients et nos systèmes.
Vulnérabilités hors périmètre :
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Attaques nécessitant un MITM ou un accès physique à l’appareil d’un utilisateur.
- Toute activité pouvant entraîner une interruption de notre service (DoS).
- Usurpation de contenu et injections de texte sans démonstration d’un vecteur d’attaque/sans possibilité de modifier le HTML/CSS.
- Usurpation d’e-mail SPF
- Absence d’en-têtes DNSSEC, CAA, CSP
- Absence de l’attribut Secure ou HTTP only sur des cookies non sensibles
- Liens morts
- Tout ce qui concerne la sécurité DNS ou e-mail
- Limitation du débit
- XSS (Cross-Site Scripting)
Remarque : Cal.com se réserve le droit de qualifier toute vulnérabilité signalée de hors périmètre.
Ce qu’il faut faire et ne pas faire
- N’exécutez pas de scanners automatisés sur notre infrastructure ou notre tableau de bord. Si vous souhaitez le faire, contactez-nous et nous mettrons en place un bac à sable pour vous.
- N’exploitez pas la vulnérabilité ou le problème que vous avez découvert, par exemple en téléchargeant plus de données que nécessaire pour démontrer la vulnérabilité ou en supprimant ou modifiant les données d’autres personnes,
- Ne révélez pas le problème à d’autres personnes tant qu’il n’a pas été résolu,
- N’utilisez pas d’attaques contre la sécurité physique, d’ingénierie sociale, de déni de service distribué, de spam ou d’applications de tiers, et
Comment signaler une vulnérabilité
Vous pouvez signaler les vulnérabilités ici : https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
Dans le périmètre : Cal.com Environnement QA
Seules les cibles listées ci-dessous sont autorisées pour les tests de sécurité : (modifié)
| Cible | URL | Type |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Test de site web |
| Cal.com QA API | https://api.cal.qa/ | Test d’API |
Vous pouvez créer et utiliser plusieurs comptes de test dans l’environnement QA lorsque c’est nécessaire, à condition de n’utiliser que des comptes et des données de test que vous contrôlez.
Une fois votre signalement reçu, un délai peut être nécessaire avant que notre équipe vous réponde, le temps qu’elle qualifie le problème.
Veuillez fournir suffisamment d’informations pour reproduire le problème, afin que nous puissions le résoudre aussi rapidement que possible. En général, l’adresse IP ou l’URL du système concerné et une description de la vulnérabilité suffisent, mais les vulnérabilités complexes peuvent nécessiter des explications supplémentaires.
- Si vous avez suivi les instructions ci-dessus, nous n’engagerons aucune action en justice contre vous concernant le signalement.
- Nous traiterons votre signalement avec la plus stricte confidentialité et ne transmettrons pas vos données personnelles à des tiers sans votre autorisation.
- Nous vous tiendrons informé de l’avancement de la résolution du problème.
- Dans les informations publiques concernant le problème signalé, nous mentionnerons votre nom comme la personne ayant découvert le problème (sauf si vous souhaitez le contraire).
- Nous nous efforçons de résoudre tous les problèmes aussi rapidement que possible, et nous souhaitons jouer un rôle actif dans la publication finale concernant le problème une fois celui-ci résolu.