Conformité et certifications

Box met en œuvre des procédures pour minimiser le risque d'accès non autorisé aux données. L'accès est accordé selon le principe du moindre privilège. L'accès aux systèmes de Box est ainsi fourni au niveau minimum nécessaire à un individu pour effectuer les tâches liées à son emploi. En outre, l'authentification multifacteurs sur VPN est requise pour accéder aux systèmes qui assurent le service Box.

La stratégie de chiffrement des données de Box se base sur les exigences de normes telles que la loi HIPAA/HITECH, PCI DSS et ISO 27001, ainsi que le respect des algorithmes et méthodes recommandés par le NIST. Box utilise TLS 1.3 comme protocole standard pour le chiffrement du contenu chargé dans Box en transit. Si le navigateur d'un utilisateur ne prend pas en charge le protocole TLS 1.3, Box utilisera TLS 1.2. Nous utilisons un algorithme de chiffrement standard (AES) avec une taille de clé de 256 bits pour chiffrer les données au repos.

Box a mis en place un processus de gestion des incidents, piloté par notre équipe de sécurité, pour proposer une approche cohérente et organisée de la gestion des incidents de sécurité. En cas d'incident confirmé affectant la confidentialité, l'intégrité et/ou la disponibilité des données des clients, nous les en informerons dans le délai requis par la loi en vigueur ou conformément à l'accord liant Box et le client.

Box effectue des analyses de vulnérabilité du réseau, authentifiées et non authentifiées, au moins une fois par mois ou en cas de modifications significatives. Ces analyses incluent le réseau, le système d'exploitation et les bases de données. Box effectue également des analyses authentifiées de vulnérabilité de l'application Web et des API, au moins une fois par mois ou en cas de modifications significatives. Nous corrigeons les résultats critiques sous 48 heures, et les résultats de gravité élevée sous 3 à 30 jours, selon leur impact sur la sécurité. 

Box fait appel à diverses entreprises indépendantes de services de sécurité pour effectuer des tests de pénétration de nos services. Des tests annuels de pénétration sont effectués sur l'application Web, l'application mobile, les API, le réseau et les autres services de Box. Un rapport récapitulatif de l'exécution du test de pénétration peut être fourni sous NDA. Veuillez contacter votre équipe de compte pour en demander une copie.

Le service Box, y compris l'application Box et le contenu client chiffré, est hébergé sur l'infrastructure Google Cloud Platform (GCP). Box fait confiance à GCP pour la sécurité physique des centres de données que l'infrastructure possède et gère au nom de Box et d'autres entreprises. Chaque année, Box procède à un examen de GCP en tant que partenaire tiers essentiel, au cours duquel nous examinons l'efficacité opérationnelle de ses contrôles de sécurité physiques.

En outre, les clients peuvent choisir d'utiliser Box Zones, un produit qui leur permet de stocker leur contenu dans des régions ou des pays spécifiques. L'approche de Box en matière de sécurité physique est cohérente, quel que soit le fournisseur de services cloud (CSP) utilisé pour fournir Box Zones. Pour en savoir plus sur Box Zones, consultez notre site Web à l'adresse https://www.box.com/zones.

Box dispose d'un processus formel d'examen des fournisseurs avec lesquels elle travaille. Chaque fournisseur fait l'objet d'une évaluation des risques sur la base des normes de classification des données ; les examens des fournisseurs sont effectués sur la base de cette évaluation.

La sécurité est un élément essentiel du cycle de développement de logiciel (SDLC) chez Box. Pour garantir la sécurité du développement du code, Box applique les mesures suivantes :

• Formation des développeurs au développement sécurisé de logiciels (y compris aux risques du Top 10 de l'OWASP)
• Modélisation des menaces
• Analyse de code dynamique
• Analyse de code statique
• Examen du code par les pairs
• Test de pénétration sur les applications Web et mobile
• Examens de sécurité, juridiques et de conformité pour les produits et services essentiels

Box respecte les certifications, normes et rapports de conformité et de sécurité suivants :

• Cloud Computing Compliance Controls Catalogue (C5)
• Niveau d'autorisation 4 du département de la Défense (DoD) selon le guide d'exigences de sécurité en cloud computing (SRG)
• FedRAMP (Élevé)
• FINRA/SEC 17a-4
• FIPS 140-2
• Infrastructure G-Cloud
• GxP Validation
• Hébergeurs de Données de Santé (HDS)
• HIPAA et HITECH
• International Traffic and Arms Regulations (ITAR) et Export Administration Regulations (EAR)
• ISMAP
• IRS-1075
• ISO 27001
• ISO 27017
• ISO 27018
• ISO 27701
• NIST 800-53
• NIST 800-171
• PCI Data Security Standard
• SOC 1 (SSAE 18) Type II
• SOC 2 Type II
• SOC 3

Box a établi un programme de gestion de la sécurité des informations, principalement basé sur les normes ISO 27001 et NIST 800-53. Dans le cadre de ce programme, Box a développé des politiques et des procédures qui définissent les règles et les exigences permettant de préserver la sécurité et la conformité des informations, ainsi que de protéger les données de nos clients. Ces politiques et procédures sont communiquées aux employés de Box et aux tierces parties ayant accès aux systèmes Box. Ces politiques et procédures sont révisées, mises à jour si nécessaire et approuvées par la direction au moins une fois par an. Pour en savoir plus sur les politiques de Box en matière de sécurité de l'information, notre livre blanc en la matière peut vous être fourni sous NDA. Contactez votre équipe de compte pour en savoir plus.

Box dispose d'un programme mondial de formation et de sensibilisation, et demande à tous ses employés de suivre une formation sur la sécurité et la confidentialité, lors de leur intégration, puis chaque année. De plus, des formations spécifiques à différents rôles et employés essentiels sont effectuées au moins une fois par an.

Box a établi des procédures pour la journalisation et la surveillance des événements et activités de sécurité dans l'environnement de production Box. Des alertes sont configurées pour informer les équipes concernées lorsqu'elles doivent intervenir. Les journaux de l'environnement de production sont conservés pendant au moins un an. Les clients disposant d'un compte Box Business ou de niveau supérieur peuvent surveiller l'activité et consulter les données relatives à leur compte Box et aux données de ce dernier en générant des rapports à la demande dans leur console d'administration. Cliquez ici pour en savoir plus.

Box a mis en place un programme de risques d'entreprise et de résilience qui vise à identifier, évaluer, quantifier, surveiller et répondre aux risques pouvant avoir un impact matériel sur la capacité de Box à atteindre ses objectifs commerciaux. La méthodologie de gestion des risques est adaptée des normes ISO 31000:2018, COSO 2017 Enterprise Risk Management Framework, ISO 27001/27005, NIST 800-30 et HIPAA/HITECH. L'équipe Risque d'entreprise et résilience de Box effectue chaque année des évaluations des risques stratégiques et opérationnels dans toute l'entreprise. Les résultats de ces évaluations sont examinés par le comité d'audit ou le Conseil d'administration. Les stratégies d'atténuation sont conçues et appliquées selon les besoins.

Notre équipe de gouvernance informatique examine régulièrement les considérations juridiques, réglementaires, techniques, de conformité et de sécurité, ainsi que les exigences spécifiques au secteur d'activité et aux objectifs métier. Les représentants de nos services en charge de la sécurité, des aspects juridiques, de la conformité et des produits collaborent de façon rapprochée avec notre équipe d'ingénieurs centrée sur l'IA pour soutenir nos efforts visant à répondre aux besoins de nos clients. Notre programme de gouvernance de l'IA intègre des normes telles que le Cadre de gestion des risques liés à l’IA du National Institute of Standards and Technology (NIST AI RMF) et les principes relatifs à l'IA de l'Organisation de coopération et de développement économiques (OCDE).

Pour en savoir plus sur l'approche de Box en matière d'IA, y compris une FAQ dédiée à l'IA, consultez notre page AI Trust à l'adresse : https://www.box.com/fr-fr/ai/trust.

Box fait périodiquement appel à des tiers pour effectuer les audits requis par les certifications de conformité que nous détenons. Box dispose également d'une fonction d'audit interne, chargée d'évaluer les contrôles internes de Box De plus, les équipes gouvernance, risque et conformité (GRC) de Box examinent régulièrement les évolutions législatives ou réglementaires applicables susceptibles de nécessiter une mise à jour de nos politiques et procédures de sécurité de l'information.

Le service Box, y compris l'application et le contenu client chiffré, est hébergé sur l'infrastructure Google Cloud Platform (GCP). Lors du chargement de contenu sur Box, les fichiers sont chiffrés et stockés dans différents emplacements des centres de données de GCP. GCP utilise une stratégie multi-régionale dans tous les États-Unis continentaux. Cette approche garantit la disponibilité et l'accessibilité simultanée du contenu du client depuis plusieurs sites. Si l'un des sites connaît un événement indésirable, le contenu reste accessible depuis les autres sites.

Les clients peuvent choisir un emplacement de stockage via le produit Box Zones. Box Zones permet aux clients de stocker leur contenu (au repos) dans une région, voire un pays spécifique. Pour en savoir plus sur Box Zones, consultez https://www.box.com/zones.

Les clients peuvent visiter status.box.com pour obtenir des informations sur la disponibilité des services Box. Dans la page d'état de Box, les clients peuvent également s'abonner pour être informés par e-mail des créations, mises à jour ou résolutions d'incidents. En cas d'interruption planifiée, Box en informera ses clients à l'avance.

Notre équipe de résilience d'entreprise a mis en place des plans de continuité d'activité, de reprise après sinistre, de réponse d'urgence et de gestion de crise. Ceux-ci incluent des stratégies, des procédures et les coordonnées des personnes responsables en cas d'interruption due à un événement indésirable. Ces plans sont testés chaque année pour s'assurer que l'entreprise est prête à réagir à ces éventualités, et toute modification significative des processus ou de l'environnement de ces plans est documentée. Le plan de résilience d'entreprise et le rapport du dernier exercice de reprise après sinistre de Box peuvent être fournis sous NDA. Veuillez contacter votre équipe de compte pour en savoir plus.

Nous utilisons un modèle de centre de données actif-actif, qui garantit la disponibilité simultanée du contenu à partir de plusieurs centres de données de l'infrastructure de GCP. Si un centre de données ou une région spécifique subit un événement indésirable, les centres de données non concernés de GCP assurent le service Box sans effort. De plus, notre processus de test de reprise après sinistre évalue rigoureusement l'efficacité de ces processus et procédures au moins une fois par an, afin de confirmer notre capacité à transférer les services de production vers une autre zone de disponibilité ou région cloud.

Pour les services essentiels, Box se fixe un RTO de 8 heures et un RPO de 1 heure. Il est important de noter que nous avons adopté un modèle de centre de données actif-actif avec GCP. Cette approche permet de fournir le contenu simultanément à partir de plusieurs centres de données (zones de disponibilité) de GCP. En cas d'événement indésirable affectant un centre de données (zone) spécifique, les centres de données de GCP non concernés prennent le relais pour fournir le service Box. En outre, lorsqu'un événement indésirable affecte nos principaux centres de données dans une région géographique, le service Box peut être transféré sans interruption vers un autre emplacement de GCP.

Lors de leur chargement sur Box, les fichiers sont chiffrés et stockés sur un site principal et un site secondaire. En cas d'événement indésirable, les fichiers sont facilement accessibles depuis le site de stockage principal ou secondaire.

Il est important de noter que le processus de sauvegarde/réplication est étroitement lié au processus de chargement. La réplication a automatiquement lieu lors du chargement, ce qui garantit la protection et la disponibilité de vos données à partir de plusieurs sites dès leur chargement.

En cas d'attaque par ransomware sur le contenu Box, les clients peuvent contacter l'assistance Box pour faciliter la résolution du problème. Box dispose d'une copie de sauvegarde de tout son contenu et d'un modèle de centre de données actif-actif qui permet à Box de rétablir la dernière version non corrompue du fichier d'un client. Box peut également restaurer le fichier d'origine depuis la corbeille et supprimer un éventuel fichier remplacé par un fichier malveillant par un ransomware. Cliquez ici pour en savoir plus.

Nous respectons les droits des utilisateurs en matière de confidentialité et connaissons l'importance de la protection de vos informations. Pour savoir comment Box collecte, conserve, utilise, communique et transfère vos informations, consultez notre déclaration de confidentialité.

Après la publication de la version finale des directives du CEPD le 21 juin 2021, nous avons pris conscience des questions supplémentaires que pouvaient avoir nos clients concernant la stratégie de Box visant à garantir la protection de leurs données personnelles.

Pour aider nos clients à respecter leurs obligations de diligence raisonnable en tant que responsables du traitement en vertu du Règlement général sur la protection des données (RGPD), et afin de respecter nos propres obligations en vertu de l'Article 28 en tant que sous-traitant, nous avons publié un Rapport de diligence raisonnable et de mesures supplémentaires disponible sur demande. Ce rapport rassemble des informations détaillées sur les garanties techniques et organisationnelles actuellement en place chez Box, les mécanismes légaux de transfert de données que Box utilise, et la manière dont nous traitons les demandes des autorités publiques tout en maintenant notre conformité au RGPD.

Pour obtenir le rapport, contactez privacy@box.com

Nous respectons les réglementations régionales en matière de confidentialité des données, telles que le Règlement général sur la protection des données (RGPD), l'accord de coopération économique pour l'Asie-Pacifique (APEC), les Cross Border Privacy Rules (CBPR), la certification de reconnaissance de la confidentialité pour les responsables de traitement (PRP) et la loi California Consumer Privacy Act (CCPA). Pour en savoir plus, consultez notre déclaration régionale en matière d'information.

Très tôt, nous nous sommes engagés à proposer à nos clients une plateforme de gestion de contenu basée sur le cloud et des produits qui ne se contentent pas de respecter, mais surpassent les standards du secteur. Par le passé, nous avons également offert à nos clients un ensemble de mécanismes et de cadres juridiques communs pour les transferts de données en dehors de l'EEE. Ces mécanismes incluent (1) les Règles d'entreprise contraignantes (BCR) applicables aux sous-traitants et aux responsables de traitement, ainsi que (2) les clauses contractuelles types (SCC). Le 11 juillet 2023, nous avons accueilli la décision d'adéquation du EU-U.S. DPF de la commission européenne. Le DPF permet aux entreprises américaines éligibles de faciliter les transferts transfrontaliers de données personnelles, conformément à la loi européenne. Box respecte ce DPF pour le transfert des données personnelles que nous traitons au nom des organisations dans les comptes professionnels. Box est également certifié éligible à un cadre de confidentialité des données (DPF) similaire qui va être adopté par la Suisse, appelé Swiss-U.S. DPF. Pour en savoir plus sur la certification du cadre de confidentialité des données de Box Inc., consultez la Déclaration de Box sur le cadre de confidentialité des données. Pour consulter notre certification, consultez https://www.dataprivacyframework.gov.

Box fait appel à des sous-traitants désignés sur notre page relative aux sous-traitants pour faciliter le traitement des données. Cette page recense les différents services proposés par chaque sous-traitant ainsi que leur emplacement. Elle présente également les procédures de diligence raisonnable que nous suivons avant d'engager un sous-traitant. L'utilisation des données, du contenu ou des données personnelles du client par les sous-traitants dans un but autre que celui d'aider Box à fournir un service à ses clients est strictement interdite.