Sécurité et confiance
La sécurité de vos données de conformité, sans compromis
Vos registres de risques, vos preuves et vos incidents sont sensibles. Voici concrètement comment nous les protégeons. Les points marqués « À vérifier » seront confirmés avant la mise en ligne commerciale.
Hébergement dans l’Union européenne
- Application, base de données et fichiers hébergés chez IONOS dans l’Union européenne
- Localisation précise du centre de donnéesÀ vérifier
- Sauvegardes chiffrées et testées régulièrementÀ vérifier
- Aucune donnée client stockée hors de l’UE par OK-GRC
Chiffrement
- TLS sur toutes les connexions, HSTS activé
- Fichiers chiffrés au repos (stockage objet, AES-256)À vérifier
- Secrets des clients (clés d’API d’IA) scellés en AES-256-GCM
- Mots de passe hachés avec Argon2id
Isolation entre clients
- Chaque requête est limitée à votre organisation par la base de données elle-même (Row Level Security PostgreSQL, forcée)
- Liens entre données contraints par organisation : aucune donnée ne peut pointer vers un autre client
- Rôles de base de données distincts pour l’application et l’administration
- Identifiants non devinables et aucune énumération des organisations
Authentification et accès
- Double authentification (TOTP), clés d’accès (passkeys), Google et Microsoft
- SSO SAML / OIDC sur votre domaine vérifié (offre Enterprise)
- MFA obligatoire activable pour toute l’organisation
- Accès du support uniquement sur votre autorisation, limitée dans le temps et tracée
Traçabilité
- Journal d’activité inaltérable : aucune modification ni suppression possible, même par nous
- Actions des consultants et du support identifiées comme telles
- Historique de chaque document, risque, mesure et preuve
- Exports pour votre auditeur ou votre SIEM
Intelligence artificielle maîtrisée
- Vous choisissez le fournisseur : Claude (Anthropic) ou un modèle souverain hébergé par OK-GRC
- IA désactivable pour toute l’organisation
- Masquage optionnel des données personnelles avant envoi
- Vos données ne servent pas à entraîner les modèles (conditions du fournisseur)À vérifier
Fichiers et preuves
- Analyse antivirus avant toute mise à disposition
- Liste blanche de formats et vérification du contenu réel des fichiers
- Téléchargement par liens signés de courte durée
- Empreinte SHA-256 de chaque version
Sécurité applicative
- Développement selon l’OWASP ASVS niveau 2
- En-têtes de sécurité stricts (CSP, HSTS, protection contre le clickjacking)
- Limitation du débit des connexions et des formulaires
- Dépendances surveillées et analyses de sécurité en continuÀ vérifier
RGPD : OK-GRC, sous-traitant de vos données
Pour les données que vous déposez dans la plateforme, ESERENIT agit en sous-traitant au sens de l’article 28 du RGPD. Un accord de sous-traitance encadre nos engagements et la liste de nos sous-traitants ultérieurs est publique.
Réversibilité
Vos données vous appartiennent. Exportez à tout moment vos référentiels, déclarations d’applicabilité, registres, documents et preuves en formats ouverts (XLSX, CSV, PDF, fichiers d’origine).
Signaler une vulnérabilité
Vous pensez avoir trouvé une faille ? Écrivez-nous à l’adresse de sécurité ci-dessous en décrivant la page concernée, les étapes pour reproduire et l’impact observé. Nous accusons réception sous 3 jours ouvrés et ne poursuivons pas les recherches menées de bonne foi.
Adresse de contact sécuritéÀ compléter
Et notre propre certification ?
Nous appliquons à OK-GRC les référentiels que nous outillons. La certification ISO 27001 de la plateforme est un objectif ; nous publierons ici le certificat et son périmètre dès qu’il sera obtenu.
ContactPrêt à simplifier votre conformité ?
Créez votre espace en quelques minutes. L’assistant vous propose les normes et les priorités adaptées à votre entreprise.
14 jours d’essai avec toutes les fonctionnalités Pro · Aucun débit avant la fin de l’essai · Sans engagement