Sécurité et souveraineté d’Ekera

Ce que nous faisons pour être sûrs

La sécurité d’un grand groupe, pour une ETI

Ekera apporte à une ETI les moyens de sécurité d’un grand groupe, partagés entre ses clients. Un outil qui lit la carte de votre SI doit lui-même tenir le niveau d’exigence d’un grand groupe. Voici ce qui est en place aujourd’hui, au niveau du principe.

En place également : hébergement à Paris en deux modes, la plateforme cloisonnée, avec une clé de chiffrement par client et des données rendues illisibles sous 30 jours en fin de contrat, ou l’instance dédiée, avec ses propres clés et sauvegardes, détruite en fin de contrat avec une attestation d’effacement ; une nouvelle authentification avant toute validation d’écriture. Prévu : test d’intrusion externe, audit PASSI, chasse aux failles, ISO 27001, hébergement qualifié SecNumCloud. Ces tests portent sur Ekera lui-même : Ekera ne certifie pas votre architecture et ne remplace pas vos tests d’intrusion ; il les cible et suit votre exposition entre deux campagnes. Consulter la documentation de sécurité.

Recevoir la fiche de sécuritéEnvoyée après un premier échange.

Sécurité partagée

Les moyens de sécurité d’un grand groupe, partagés entre ETI

30 % de notre chiffre d’affaires sont consacrés à la recherche, à la qualité et à la sécurité d’Ekera. C’est un engagement sur les dépenses d’Ekera, au bénéfice de tous les clients : ce n’est ni un fonds juridiquement séparé ni une réserve détenue pour le compte des clients. Il paie surtout des personnes : des ingénieurs de R&D qui améliorent la lecture de vos documents, le moteur de calcul et les connecteurs ; des ingénieurs sécurité ; des analystes qui valident les signaux partagés entre clients. Le reste finance les tests, les audits, l’hébergement qualifié et les certifications d’Ekera.

Ces besoins grandissent avec Ekera : Ekera devient une cible plus intéressante, il y a plus d’outils à prendre en charge, et les opérateurs d’importance vitale ont des exigences plus fortes. Chaque correction profite ensuite à tous les clients, sans hausse de prix.

Ce qui est prévu pour la sécurité d’Ekera

• test d’intrusion externe d’Ekera par un prestataire ;
• audit par un prestataire qualifié PASSI, puis audits et tests d’intrusion réguliers ;
• banc d’essai à grande échelle, avec des centaines d’entreprises fictives ;
• chasse aux failles permanente ;
• certification ISO 27001 d’Ekera ;
• hébergement qualifié SecNumCloud pour les opérateurs d’importance vitale ;
• une équipe sécurité dédiée.

Les tests, audits, certifications et hébergements qualifiés cités sont prévus ; ils portent sur Ekera, pas sur l’architecture de nos clients. Avec l’accord de chaque client et seulement en agrégé, à partir de cinq entreprises, les retours d’expérience améliorent aussi Ekera pour tous. Notre R&D.

En savoir plus : le budget commun en détail

Vigilance partagée

La vigilance d’un très grand SI, au prix d’un SI d’ETI

En partageant leurs retours, les clients d’Ekera profiteront de la vigilance d’un grand groupe sans en avoir les équipes. C’est le principe d’une application de navigation communautaire : chaque conducteur qui signale un bouchon ou un événement de sécurité aide tous les autres. Chez Ekera, quand un client repère une attaque, une faille exploitée ou un incident, le signal profite à tous, et chacun reçoit les alertes et les protections tirées de l’expérience des autres.

La différence qui compte pour un RSSI : des signaux vérifiés, pour limiter les risques de manipulation. Chaque signal est validé à quatre yeux chez le client, puis par un analyste d’Ekera, et signé. Il n’est partagé qu’avec l’accord du client, donné par une personne désignée, et seulement en agrégé, à partir de cinq entreprises. Aucune donnée brute ne sort de chez vous. L’analyse des signaux est financée par le budget commun des 30 %.

En savoir plus : la vigilance partagée et ses quatre protections

Ekera et les entreprises de cybersécurité

Complémentaires, pas concurrents

La sécurité se joue sur trois plans. La justesse de l’IA : c’est le point fort d’Ekera, testée sur un banc d’essai d’entreprises fictives, des centaines à terme, comme dans un laboratoire d’IA. La sécurité du produit Ekera : un développement sécurisé déjà en place (revue de code par un rôle dédié, analyse automatique, recherche de secrets, dépendances vérifiées, tests de contournement, relecture indépendante), puis un regard extérieur prévu : test d’intrusion d’Ekera par un prestataire, audit PASSI, certification ISO 27001 d’Ekera (la feuille de route). La sécurité de vos systèmes : Ekera ne fait pas de test d’intrusion et ne pénètre jamais votre SI. Il lit, en lecture seule, et calcule ce qu’une attaque arrêterait sans la lancer. Les prestataires qualifiés PASSI restent indispensables, et deviennent nos partenaires.

Des tests d’intrusion mieux ciblés, et un suivi entre deux campagnes

Ekera ne remplace pas le test d’intrusion : il le cible. Il dit quoi tester en priorité, les chemins d’attaque et les points uniques de défaillance qui comptent, et la perte potentielle estimée d’un arrêt ; vous évitez de payer pour tester ce qui n’a pas d’impact. Les constats du prestataire reviennent dans la carte et dans le chiffrage en euros, avec les travaux à faire, et Ekera surveille en continu entre deux campagnes annuelles. Résultat : des tests d’intrusion plus courts ou plus utiles, et un suivi le reste de l’année. Ekera ne certifie pas votre architecture et ne vous dit jamais que vous n’avez plus à tester.

En savoir plus : qui teste quoi, et Ekera avec le test d’intrusion