Conformité de F5

Toutes les nouvelles recrues, y compris les salariés et les prestataires, doivent suivre une formation de sensibilisation à la sécurité lors de leur arrivée, puis chaque année. Les utilisateurs doivent également suivre des formations périodiques supplémentaires (trimestrielles, annuelles, etc.) en fonction de leurs rôles et responsabilités. Ces formations peuvent notamment porter sur le cycle de vie du développement sécurisé, la protection des données à l’échelle mondiale, la classification des données, la gestion des vulnérabilités, la gestion des menaces au sein de l’entreprise, la cryptographie et la sécurité des identifiants, etc.


S’APPLIQUE À : l’entreprise

Les produits de marque F5 sont développés selon des pratiques de développement logiciel sécurisé conformes aux normes du secteur, telles que NIST 800-53 et NIST 800-218. Notre cycle de développement logiciel sécurisé comprend plusieurs éléments clés, notamment : la modélisation des menaces, les revues de conception, les revues de code, l’analyse des vulnérabilités, les tests de sécurité et les tests d’intrusion périodiques des composants critiques.


S’APPLIQUE À : Enterprise

Oui. Tous les membres du personnel de F5 font l’objet d’une vérification préalable à l’embauche et d’une vérification des antécédents, conformément aux lois, réglementations et accords contractuels applicables. Ces vérifications reposent sur des critères adaptés aux exigences de l’entreprise, au caractère sensible des fonctions et responsabilités du poste, ainsi qu’aux risques potentiels liés à des antécédents défavorables pouvant indiquer un risque de vol, de fraude ou d’utilisation abusive des installations. Si le poste présentait un niveau de risque ou de visibilité plus élevé, comme celui de directeur financier, des vérifications supplémentaires étaient requises afin de s’assurer que la personne était apte à exercer ces fonctions (par exemple, une vérification de solvabilité). En ce qui concerne les prestataires, F5 s’appuie sur les agences de recrutement avec lesquelles elle a conclu des contrats pour effectuer les vérifications des antécédents.


S’APPLIQUE À : Entreprise

F5 a mis en œuvre une solution et un programme de prévention contre la perte de données (DLP). Les performances de la solution DLP font l’objet d’une surveillance continue, et des processus sont en place pour intervenir en cas de suspicion de perte de données. La configuration DLP comprend des règles interdisant le transfert non autorisé d’informations sensibles ou personnelles vers des sites externes, tels que les services de messagerie web, les blogs et les sites de stockage personnel. Les règles DLP sont réexaminées à intervalles réguliers. Tous les e-mails de l’organisation sont également analysés par la solution DLP.


S’APPLIQUE À : l’entreprise

Les politiques de sécurité de l’information sont toutes révisées chaque année. Elles sont toutes assorties de normes, de procédures et de pratiques opérationnelles qui font également l’objet d’une révision annuelle. Veuillez noter qu’il existe de nombreuses autres politiques qui encadrent les pratiques commerciales de F5 ; celles présentées ci-dessous sont les plus fréquemment demandées.

• Politique relative aux appareils mobiles
• Plan de réponse aux incidents cyber
• Politique d’utilisation acceptable de l’entreprise
• Politique de sécurité du cloud de l’entreprise
• Politique d’entreprise relative aux contrôles cryptographiques
• Politique d’entreprise relative à la localisation géographique
• Politique d’entreprise relative à la gestion des identités et des accès
• Politique de sécurité de l’information de l’entreprise
• Politique d’entreprise relative aux accès non courants aux données
• Politique d’entreprise relative à l’application des correctifs et à la gestion des vulnérabilités
• Politique de sécurité de l’entreprise relative au travail à distance
• Politique de l’entreprise en matière de sanctions
• Politique d’entreprise relative au développement sécurisé de logiciels
• Politique d’entreprise en matière de conservation des données
• Politique de classification des informations de l’entreprise
• Politique relative au réseau de l’entreprise
• Politique du programme de reprise après sinistre de F5

S’APPLIQUE À : Entreprise

F5 dispose d’un programme de gestion des incidents reposant sur un plan de réponse aux incidents, qui est testé chaque année. Pour connaître les responsabilités partagées en matière de gestion des incidents, veuillez consulter l’accord contractuel conclu avec F5.

S’APPLIQUE À : Enterprise

F5 maintient un programme de gestion des vulnérabilités et des correctifs, encadré par des politiques et des procédures documentées. L’équipe de cybersécurité, distincte du groupe de développement, effectue régulièrement des évaluations de sécurité lors de nouveaux développements ou à la suite d’une modification importante du produit. Des évaluations des vulnérabilités du réseau de production, de l’infrastructure sous-jacente et des services sont réalisées au moins une fois par trimestre afin de détecter d’éventuelles failles de sécurité. F5 utilise divers outils et services pour analyser régulièrement ses réseaux (en interne comme en externe), son code source ou ses dépôts, ses applications et ses autres dépendances afin d’y détecter d’éventuelles vulnérabilités. Celles-ci sont ensuite évaluées, classées par ordre de priorité et corrigées par les responsables concernés, conformément au SLA défini. Ce SLA est précisé dans nos politiques et les documents associés. Il repose sur plusieurs facteurs, notamment les recommandations et bonnes pratiques du secteur, le niveau de criticité ou de gravité et les caractéristiques de notre environnement. D’autres sources disponibles dans le secteur ainsi que les publications des fournisseurs sont également utilisées pour repérer les nouvelles vulnérabilités susceptibles de nous affecter, puis les mesures appropriées sont prises afin de les évaluer, de les classer par ordre de priorité et d’y remédier.

S’APPLIQUE À : Entreprise

F5 utilise plusieurs méthodes pour empêcher les connexions non autorisées (y compris les accès à distance) aux systèmes et ressources internes. Pour accéder à distance à l’environnement et aux systèmes de production, les employés doivent d’abord s’authentifier au moyen de notre solution IAM d’entreprise, qui exige une authentification multifacteur reposant sur un mot de passe choisi par l’utilisateur et un jeton logiciel à rotation. Ils doivent ensuite se connecter à l’aide de notre solution VPN d’entreprise, qui exige également une authentification multifacteur reposant sur un mot de passe utilisateur et un jeton logiciel à rotation. Une fois authentifiés, les utilisateurs disposent d’autorisations d’accès définies en fonction de leur rôle et de certificats installés sur leurs appareils, leur permettant d’accéder à différents systèmes et ressources. Le tunneling fractionné n’est pas autorisé. F5 contrôle les accès au moyen du RBAC, du principe du moindre privilège, du besoin d’en connaître et de la gestion du cycle de vie des utilisateurs.

S’APPLIQUE À : Entreprise

Une architecture réseau multiniveau est mise en œuvre avec une séparation physique et logique des environnements de production, de la DMZ et hors production. Veuillez noter que nous ne pouvons pas communiquer à l’extérieur les schémas du réseau d’entreprise ni l’intégralité de la politique de sécurité du réseau, car ces informations sont considérées comme confidentielles.

S’APPLIQUE À : Enterprise

Le plan de continuité des activités de F5 repose sur une analyse d’impact sur les activités (BIA) menée à l’échelle de l’entreprise. Cette analyse recense les domaines et processus métier critiques dont l’interruption pourrait avoir, dans les 48 heures suivant le début de l’incident, des répercussions majeures sur l’ensemble des activités, la réputation et/ou la rentabilité de l’entreprise. La BIA et le plan de continuité des activités tiennent compte des ressources critiques nécessaires au maintien des opérations, ainsi que des stratégies visant à pallier la perte ou l’indisponibilité des éléments suivants : installations/sites, personnel clé, applications informatiques et prestataires de services tiers.

S’APPLIQUE À : Entreprise

Les données désignent les flux de transactions, les fichiers, les référentiels de données, les tables et les résultats utilisés ou traités par l’Entreprise. Les données des clients sont gérées, traitées et stockées conformément aux réglementations applicables en matière de protection des données et aux autres réglementations pertinentes, ainsi qu’aux exigences spécifiques formellement établies dans les accords conclus entre F5 et ses clients ou fournisseurs.

L’Entreprise a mis en place des méthodes et des protocoles sécurisés pour transmettre des informations confidentielles ou sensibles sur les réseaux publics. Le chiffrement est activé pour les référentiels contenant des données clients sensibles.

Toutes les données clients stockées ou traitées par les services F5 sont considérées comme confidentielles. Les exigences de F5 en matière de classification et de traitement des données sont définies comme suit :

• Critique (Confidentiel)
• Restreint
• Interne
• Public

S’APPLIQUE À : Entreprise

La surveillance est essentielle pour évaluer l’efficacité des contrôles, déterminer s’ils fonctionnent comme prévu ou s’ils doivent être repensés afin de mieux s’adapter aux processus ou d’en améliorer l’efficacité. Dans le cadre de leurs activités habituelles, les membres de la direction et le personnel d’encadrement sont chargés de surveiller la qualité et l’efficacité du contrôle interne. Les membres des équipes produit de F5 participent régulièrement à des groupes spécialisés dans la sécurité et les risques afin de suivre l’impact des technologies émergentes.

S’APPLIQUE À : Entreprise

Le centre des opérations de sécurité (SOC) fournit une assistance spécialisée 24 h/24 et 7 j/7. Il surveille de manière proactive les services de l’entreprise et gère activement les instances afin de réagir aux attaques dès qu’elles se produisent.

Les centres des opérations de sécurité fonctionnent selon un modèle de suivi du soleil et disposent d’effectifs suffisants pendant les heures ouvrées habituelles de chaque région. Le centre des opérations de sécurité opère à l’échelle mondiale depuis les sites suivants : Seattle (États-Unis), Hyderabad (Inde), Varsovie (Pologne) et Guadalajara (Mexique).

Les informations sur les sites du SOC sont disponibles à l’adresse suivante : https://docs.cloud.f5.com/docs-v2/platform/reference/data-residency-locations

S’APPLIQUE À : F5 Distributed Cloud Managed Services

F5 dispose d’un programme de cybersécurité robuste, qui s’appuie sur la Politique de sécurité des informations de l’entreprise (EISP) ainsi que sur un ensemble complet d’autres politiques et normes de cybersécurité. L’un des objectifs de ces politiques est de garantir que F5 a mis en place des contrôles de sécurité appropriés afin de protéger les données de ses clients contre tout accès non autorisé, toute perte et toute altération. Cette politique fait partie intégrante du système de management de la sécurité de l’information (SMSI) de F5. Elle est également conforme aux normes et référentiels du secteur, ainsi qu’aux lois et réglementations applicables, notamment à la norme NIST 800-53. F5 fait l’objet d’un audit externe annuel au cours duquel la conception et la mise en œuvre des contrôles de sécurité, ainsi que leur efficacité opérationnelle, sont évaluées.

S’APPLIQUE À : Entreprise

F5 a mis en place un programme de gestion des fournisseurs. Dans le cadre de ce processus, les prestataires de services tiers sont évalués en fonction des risques qu’ils présentent pour l’entreprise et ses données. L’équipe Cybersécurité de F5 procède à une évaluation des risques de tous les fournisseurs ayant accès aux données ou aux systèmes de F5 lors de leur intégration, puis chaque année. Une évaluation de la sécurité des tiers (Third Party Security Assessment, TPSA) est également réalisée dans le cadre du devoir de diligence afin d’évaluer le niveau de sécurité du tiers, qu’il s’agisse d’un fournisseur, d’un partenaire, d’un client, d’un sous-traitant, d’un consultant ou d’un intermédiaire. L’objectif est de s’assurer que ses pratiques de sécurité respectent les normes minimales de sécurité de notre organisation. Tous les fournisseurs doivent accepter de protéger de manière appropriée les données de F5 et de ses clients. Les contrats conclus avec des fournisseurs tiers comportent des dispositions visant à respecter les exigences de F5 en matière d’activité et de confidentialité. Les rapports de conformité en matière de sécurité et les certifications des fournisseurs sont examinés par l’équipe Conformité afin de vérifier que les contrôles mis en place par les fournisseurs sont conformes aux politiques et aux normes de F5 lors de leur intégration, puis chaque année.

S’APPLIQUE À : Entreprise

Veuillez noter que les RTO et RPO établis s’appliquent uniquement à nos services SaaS (Distrubuted Cloud, AI Guardrails, AI Red Team, NGINX One, Bot Defense).

• Objectifs de temps de rétablissement (RTO) : Vingt-quatre heures
• Objectifs de point de reprise (RPO) : Six heures

S’APPLIQUE À : F5 Distributed Cloud Managed Services

F5 dispose d’une équipe de gouvernance des modèles d’IA/ML qui examine toutes les utilisations de chaque modèle employé au sein de l’entreprise ou intégré au produit. Des évaluations d’impact sont réalisées pour tous les modèles. F5 applique une politique d’entreprise en matière d’intelligence artificielle (IA), conforme à la norme ISO/IEC 42001:2023 relative aux technologies de l’information (système de management de l’intelligence artificielle), qui est réexaminée et mise à jour au moins une fois par an.

S’APPLIQUE À : Entreprise

Veuillez consulter la déclaration de confidentialité applicable au produit concerné : https://www.f5.com/company/policies/privacy-notice

S’APPLIQUE À : Enterprise

Qu’il s’agisse de garantir la conformité ou de fournir des guides de service, nous mettons à la disposition de nos employés, fournisseurs et partenaires plusieurs documents de référence. Retrouvez les documents régissant nos produits, nos services d’assistance, la confidentialité et les contrats. Consultez les politiques et la documentation de F5 à l’adresse suivante : https://www.f5.com/company/policies.

S’APPLIQUE À : Enterprise

Oui, le responsable de la protection de la vie privée supervise la mise en œuvre de notre programme de conformité en matière de protection de la vie privée et rend compte au directeur juridique. Le délégué à la protection des données est un avocat externe spécialisé dans la protection des données, engagé par l’entreprise pour défendre les intérêts des personnes concernées. Il rend compte au conseil d’administration et travaille en concertation avec le responsable de la protection de la vie privée.

S’APPLIQUE À : Enterprise