Centre de confiance
Confiance et sécurité
Phished exécute des simulations de phishing et des formations de sensibilisation à la sécurité pour des organisations qui nous confient des données de leurs employés. Cette page décrit comment nous protégeons ces données, contre quelles normes nous sommes audités, où l'IA intervient, et comment contacter notre équipe de sécurité.
Vue d'ensemble
Chez Phished, nous nous engageons fortement à maintenir des mesures de sécurité solides et complètes. Nous croyons que garder nos systèmes, et par extension vos données, en toute sécurité est d'une extrême importance. Nous ne nous conformons pas simplement aux normes du secteur en matière de protection des données, nous nous efforçons de les surpasser.
Cette page de sécurité vous offre une vue d'ensemble de notre programme de sécurité interne strict. Il vous donne un aperçu de notre dévouement afin de maintenir en permanence les niveaux de sécurité des données les plus élevés. Sur cette page, vous pouvez demander l'accès à nos rapports d'audit et à nos politiques de sécurité pour une évaluation détaillée.
Si vous avez des questions au sujet de notre programme de sécurité, veuillez consulter notre vue d'ensemble de sécurité disponible ci-dessous.
Coordonnées de l'entreprise
- Entité juridique
- Phished BV
- Siège social
- Bondgenotenlaan 138, 3000 Leuven, Belgium
- Numéro d'immatriculation de l'entreprise
- 0735.908.019
- Contact vie privée
- [email protected]
Contrôles
Comment Phished sécurise sa propre organisation, son personnel et les appareils sur lesquels ils travaillent.
Sécurité de niveau professionnelle
Contrôle
Prise de conscience en matière de sécurité
Tout le monde chez Phished suit en continu les formations de sensibilisation et les simulations de phishing — le même programme que la plateforme exécute pour nos clients.
Réaction aux incidents
Un processus documenté définit comment un incident de sécurité est signalé, qualifié, escaladé et clôturé, et qui décide à chaque étape.
Contrôle des accès en fonction du rôle
L'accès aux systèmes internes est accordé par rôle, selon le principe du besoin d'en connaître, et revu dans le cadre du système de management de la sécurité de l'information.
Objectif de délai de récupération
Le service est rétabli dans les 4 heures suivant une panne majeure.
Objectif de point de récupération
Une restauration perd au maximum 10 minutes de données.
Politiques
Contrôle
Politique de sécurité des informations
La politique approuvée que suivent toutes les autres politiques et tous les contrôles de cette page. Elle est revue périodiquement et après tout changement significatif.
Politique de contrôle des accès
Comment les comptes sont demandés, approuvés, revus et révoqués, et ce qui est exigé avant qu'un accès à la production soit accordé.
Politique de gestion des ressources
Comment les actifs de l'entreprise et les données qu'ils contiennent sont recensés, classifiés, traités et restitués lors d'un départ.
Sécurité des points de terminaison
Contrôle
Chiffrement des disques
Les appareils de l'entreprise chiffrent leur stockage : un ordinateur perdu ou volé n'est pas une divulgation de ce qu'il contenait.
Détection et réponse des points de terminaison
Un logiciel de détection et de réponse tourne sur les appareils de l'entreprise, guette les menaces et les contient sans attendre que quelqu'un les remarque.
Gestion des appareils mobiles
Les appareils de l'entreprise sont enrôlés dans la gestion de parc, qui impose le socle de sécurité — chiffrement, verrouillage de l'écran, mises à jour — et permet un effacement à distance.
Sécurité
Contrôle
Chiffrement de niveau professionnel (en transit et au repos)
Vos données sont chiffrées en transit et au repos.
Journalisation des audits
Les actions des administrateurs dans la plateforme sont journalisées, et ce journal est à votre disposition.
Compatible SSO (SAMLv2)
Vos collaborateurs se connectent via votre propre fournisseur d'identité en SAML 2.0.
Les événements d'audit sont diffusés vers votre SIEM (Splunk, Datadog ou un webhook HTTPS)
Les événements d'audit peuvent être transmis à Splunk, Datadog ou à votre propre point de terminaison HTTPS, pour que l'activité de la plateforme arrive dans l'outillage que vous surveillez déjà.
Infrastructure
Contrôle
Plate-forme Google Cloud
La plateforme tourne sur Google Cloud Platform.
Plan de reprise après sinistre validé
Le plan de reprise après sinistre est documenté et testé, non supposé.
Web Application Firewall (WAF) de niveau professionnel
Un pare-feu applicatif filtre le trafic avant qu'il n'atteigne la plateforme.
Résidence des données : l'Union européenne (Belgique) ou les États-Unis, fixée par organisation
Les données de votre organisation restent dans la région définie pour elle — Union européenne (Belgique) ou États-Unis — et ne se déplacent pas avec la charge.
Statut du service en direct et historique des incidents
L'état du service en direct et l'historique des incidents passés, publiés au fil de leur survenue.
Contrôle des accès
Contrôle
Contrôle des accès en fonction du rôle
Ce qu'un administrateur voit et peut faire découle de son rôle, pas de la personne qui a créé le compte.
Authentification multifacteur
Les administrateurs peuvent être tenus de confirmer une connexion avec un second facteur.
Sécurité des mots de passe
Des exigences de mot de passe s'appliquent à chaque compte, et les mots de passe ne sont jamais conservés sous une forme lisible.
Approvisionnement et désapprovisionnement SCIM depuis Microsoft Entra ID
Les comptes sont créés, mis à jour et supprimés automatiquement depuis Microsoft Entra ID : un départ perd ses accès sans que personne ait à y penser.
Juridique
Contrôle
Cyber-assurance
Phished dispose d'une assurance cyber couvrant les incidents de sécurité, y compris le coût de la réponse à un incident.
Convention de traitement des données
Le contrat qui encadre notre traitement des données personnelles que vous placez dans la plateforme : ce que nous pouvons en faire, sur instruction de qui, et ce qu'elles deviennent à la fin du contrat.
Politique de confidentialité
Quelles données personnelles Phished collecte, pourquoi nous les traitons et combien de temps nous les conservons.
Politique en matière de cookies
Quels cookies nos sites déposent, à quoi sert chacun d'eux et comment les refuser.
Sous-traitants
Toute personne traitant des données personnelles pour notre compte, tirée de l'annexe 2 de l'accord de traitement des données.
| Sous-traitant | Centre de données principal | Ce qu'il fait | Contact protection des données |
|---|---|---|---|
| Google Cloud EMEA Ltd | EEE (Belgique) ou États-Unis, avec basculement | Infrastructure cloud pour l'ensemble de la plateforme. Le traitement principal est effectué en Belgique ou aux États-Unis. Le basculement régional peut déplacer le traitement vers une autre région Google Cloud au sein de l'EEE ou aux États-Unis. | Visites |
| Cloudflare, Inc. | Réseau anycast mondial | Protection en périphérie pour la plateforme : atténuation DDoS, pare-feu applicatif web et diffusion de contenu. Cloudflare exploite un réseau anycast mondial. Le trafic est inspecté au point de présence Cloudflare le plus proche de l'utilisateur. Tout traitement en dehors de l'EEE est couvert par la certification de Cloudflare au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) et, à titre de solution de repli, par les clauses contractuelles types de l'UE (module 3) telles qu'intégrées dans l'avenant relatif au traitement des données de Cloudflare. | Visites |
| Microsoft Ireland Operations Ltd | EEE (France) | Le traitement des emails envoyés à Phished.io (nos propres domaines) et pour les clients ZIM qui utilisent l'intégration Microsoft 365 pour protéger leurs boîtes mail. | Visites |
| Mailgun (Mailjet SAS) | EEE (Allemagne) ou États-Unis | Envoi des simulations, des réponses aux signalements et des emails Academy. | Visites |
| Zendesk Inc. | EEE (Irlande) | Traitement des demandes d'assistance client. | Visites |
| Intercom R&D Unlimited Company | EEE (Irlande) | Le chat d'assistance IA intégré à la plateforme, que seuls les administrateurs peuvent ouvrir. | Visites |
| Urlscan GmbH | EEE (Allemagne) | Analyse des URL trouvées dans les emails signalés. Optionnel, et peut être désactivé. | Visites |
Google Cloud et Mailgun peuvent conserver leur centre de données principal aux États-Unis. Tout autre sous-traitant qui stocke vos données conserve son centre de données principal au sein de l'Espace économique européen.
IA
Où Phished utilise l'IA, ce que traite chaque fonctionnalité, et ce qui reste sous contrôle humain.
Plusieurs parties de Phished utilisent l'IA générative pour rédiger du contenu : simulations, supports de formation, traductions, et les réponses que vos administrateurs envoient aux personnes qui signalent un email suspect. L'IA rédige, les personnes décident. Rien de ce que produit une fonctionnalité d'IA n'atteint vos utilisateurs sans l'approbation d'un administrateur.
Où l'IA est utilisée
| Fonctionnalité | Ce qu'elle produit | Ce qu'elle traite | Ce qui la déclenche |
|---|---|---|---|
| Génération de simulations | Construit un profil de votre organisation et rédige des prétextes de phishing à partir de celui-ci. | Le nom de votre organisation et les informations publiquement disponibles à son sujet. | Un administrateur créant une simulation. |
| Génération de contenu de formation | Rédige des niveaux, des sessions, des articles, des questions et des images. | Le brief rédigé par un administrateur, ou le document de politique qu'il télécharge. | Un administrateur générant du contenu. |
| Traduction | Traduit le contenu rédigé par vos administrateurs dans les langues lues par vos utilisateurs. | Le contenu rédigé par vos administrateurs. | Un administrateur demandant une traduction. |
| Analyse des emails signalés | Résume ce qui est suspect dans un email signalé et rédige la réponse au signalant. | L'objet, le corps et les en-têtes de l'email signalé, qui peuvent contenir des données personnelles. | Un administrateur ouvrant ou répondant à un signalement. |
| Texte des modèles | Rédige le texte des boutons de signalement, des emails d'activation et des consignes de protection. | Le modèle que l'administrateur modifie, et le nom de votre organisation. | Un administrateur demandant un brouillon. |
Traitement des données
Entraînement des modèles
Supervision humaine
Gouvernance
Sécurité de la plateforme
Fournisseurs de modèles et sous-traitants
Contrôles client
Gestion des changements
Questions auxquelles cette section ne répond pas
Si votre questionnaire pose une question à laquelle cette section ne répond pas, écrivez à [email protected]. Nous répondons aux questions sur l'IA de la même manière que nous répondons aux autres : par écrit, et de façon spécifique à ce que la plateforme fait réellement.
Signalement
Si vous pensez avoir découvert une vulnérabilité, veuillez nous envoyer une note
Envoyez ce que vous avez trouvé à [email protected]. Nous accusons réception de chaque signalement et vous informons de ce que nous en avons fait.
Politique de divulgation responsable
Chez Phished, nous prenons au sérieux la sécurité et la confidentialité de nos utilisateurs et de nos clients. Nous estimons que la collaboration avec la communauté de la recherche en sécurité est essentielle pour identifier et corriger les vulnérabilités potentielles de nos systèmes et de nos applications. Nous encourageons la divulgation responsable de tout problème de sécurité découvert et apprécions l'aide des chercheurs en sécurité, qui contribuent à maintenir un environnement sûr pour tous.
Si vous avez découvert une vulnérabilité potentielle sur un actif appartenant à Phished, nous vous invitons à respecter les lignes directrices suivantes.
- Divulgation responsable
- Faites tout votre possible pour éviter les actions susceptibles de nuire à nos systèmes, à nos utilisateurs ou à nos clients. Effectuez vos tests uniquement dans les limites de votre propre compte, et n'accédez pas aux données qui ne vous appartiennent pas, ne les modifiez pas et ne les consultez pas.
- Signalez en privé
- Transmettez vos constats à notre équipe de sécurité dès que possible, à [email protected]. Nous recommandons de chiffrer les informations sensibles.
- Donnez des informations détaillées
- Indiquez tous les détails utiles pour que nous puissions comprendre et reproduire le problème : les étapes de reproduction, le code de preuve de concept et tout autre élément à l'appui.
- Confidentialité
- Nous respectons la vie privée et la sécurité des chercheurs. Nous ne partagerons aucune information personnelle sans autorisation explicite, sauf obligation légale. Nous vous demandons également de ne divulguer aucun détail sur la vulnérabilité avant qu'elle ne soit corrigée et que nous vous y ayons autorisé.
- Délai de réponse
- Notre équipe de sécurité s'efforcera d'accuser réception de votre signalement rapidement, puis travaillera avec diligence à l'analyse et à la correction. Nous donnons régulièrement l'avancement et vérifions le correctif avec vous.
- Divulgation publique
- Nous apprécions la patience des chercheurs pendant que nous analysons et corrigeons une vulnérabilité signalée, et vous demandons de ne pas la rendre publique.
- Conduite légale
- Nous attendons un comportement responsable et éthique, dans le respect de la loi. Si vous découvrez une vulnérabilité, n'en tirez pas parti, que ce soit pour un accès non autorisé, une exfiltration de données ou une interruption de service. Ces agissements sont strictement interdits et peuvent donner lieu à des poursuites.
- Reconnaissance
- Nous reconnaissons la contribution précieuse des chercheurs qui nous aident à renforcer notre sécurité. Selon la gravité et l'impact de la vulnérabilité signalée, nous pouvons proposer une mention publique dans notre hall of fame. Nous nous réservons le droit de déterminer l'éligibilité et la nature de toute reconnaissance ou récompense.
En soumettant un signalement de vulnérabilité à Phished, vous acceptez de respecter les lignes directrices de cette politique.
Ce qu'un signalement doit contenir
- Quelle est la preuve de concept ? Documentez-la par des captures d'écran ou un enregistrement, ou décrivez chaque étape le plus précisément possible.
- De quelle manière la vulnérabilité peut-elle être exploitée par des acteurs malveillants, et que cela suppose-t-il ? Soyez précis plutôt que général.
- Quel est l'impact ?
- Avec quel compte avez-vous testé ?
- Quel est le point de terminaison exact que vous avez testé ?
- Quelle est votre proposition concrète pour corriger la vulnérabilité ?
Hors périmètre
- Le clickjacking sur des pages sans action sensible ni action authentifiée.
- La divulgation de versions logicielles et l'identification par bannière.
- Les bonnes pratiques e-mail manquantes : enregistrements SPF, DKIM ou DMARC invalides, incomplets ou absents.
- Les bonnes pratiques manquantes dans la configuration SSL/TLS.
- Les redirections ouvertes, sauf si un impact de sécurité supplémentaire est démontré.
- La falsification de requête intersites sur des formulaires non authentifiés ou sans action sensible.
- Tout ce qui concerne les en-têtes de sécurité HTTP : Strict-Transport-Security, X-Frame-Options, X-XSS-Protection, X-Content-Type-Options, Content-Security-Policy.
- Les versions anciennes de tout logiciel signalées sans preuve de concept ni exploit fonctionnel.
Nous apprécions votre engagement à préserver la sécurité de nos systèmes et de nos utilisateurs. Merci de votre coopération pour maintenir un environnement sûr pour tous.
Phished BV — [email protected] · Version 1.2
Conformité
Sélectionnez une norme pour découvrir ce qu'elle couvre et pour télécharger ou demander les preuves.
Preuves et questionnaires
Notre questionnaire Cloud Controls Matrix complété, publié dans le registre CSA STAR. Il répond à lui seul à la majorité d'un questionnaire fournisseur.
Diffusé sous accord de confidentialité. Le formulaire de demande prend une minute et nous revenons vers vous directement.
Certifications et audits
Examiné par un tiers, qui a délivré un certificat ou un rapport daté.
Réglementations et référentiels
Réglementations que nous devons respecter et référentiels par rapport auxquels nous nous évaluons. Aucun d'entre eux n'est certifié par un organisme tiers, donc aucun ne porte de label de certification ici.