Security
En tant que compte pro, Shine est une cible privilégiée pour de potentielles cyberattaques, et est en permanence exposée à de nombreux risques qui peuvent se présenter par différents canaux d’entrée (utilisateur·ices, collaborateur·ices, SaaS et applications Shine, plateformes Cloud, data stores, partenaires…).
Nous nous devons donc de tout mettre en place pour réduire au maximum notre surface d’attaque et notre exposition au risque (détection et mitigation des incidents et des vulnérabilités), mais aussi d’identifier et répondre aux exigences réglementaires (SG, ACPR, CNIL, PCI DSS…). Ce sont les missions de notre département Security.
En synthèse, les grands enjeux de cette équipe sont les suivants :
- identifier les risques : gestion d’actifs, environnement business, gouvernance, évaluation des risques, stratégie de gestion des risques ;
- protéger : contrôle des accès, sensibilisation et formation, sécurité des données, procédures de protection de l’information, maintenance, technologie de protection ;
- détecter : anomalies et événements, monitoring continu, procédures de détection ;
- répondre aux incidents : planification de la réponse, communication, analyses, mitigation, amélioration continue ;
- rétablir : planification et test des plans de continuité et reprise d’activité, communication.
L’équipe Security, supervisée par notre RSSI, est composée de plusieurs Security Engineers et d’un Responsable DSI. Plus spécifiquement, leurs missions au quotidien sont les suivantes :
-
Il prend des décisions pour allier au mieux les exigences de l'entreprise et la sécurité ;
-
Ils identifient nos potentielles faiblesses et s'assurent que les applications de Shine sont construites en tenant compte des exigences de sécurité. Après identification, ils mettent en place des solutions pour contrer les menaces ;
-
Il s’occupe de notre parc informatique et de l’attribution des accès et privilèges aux différent·es salarié·es.
Nos outils
Nous utilisons Google Workspace pour être reconnu sur l'infrastructure de Shine et pour notre connexion SSO, Google Cloud Platform pour gérer nos bases de données et nos machines virtuelles, Cloudflare couplé à Kandji et à un EDR, pour protéger le matériel sur internet, et GitHub pour stocker le code source de l'application et le site web et nous permettre de collaborer.
Nos prochains défis à courts, moyens et longs termes
- Continuer à renforcer notre sécurité et automatiser la gestion de nos outils SaaS (gestion IT, IAM, SSO, 2FA, arrivées et départs de collaborateur·rices).
- Renforcer la collaboration entre les équipes Engineering et Security pour améliorer la sécurité de notre application, en adressant les vulnérabilités existantes et en prévenant l’apparition de nouvelles failles.
- Implémenter des bonnes pratiques en matière de sécurité sur notre environnement GCP.
- Renforcer notre capacité à détecter et traiter des incidents de sécurité (SIEM, SOC, CERT, CTI…).
- Mettre à jour et développer nos PCA et PRA.
