Responsabilité partagée¶
Cette section décrit la façon dont Drovio est construit et administré. Qui l'administre dépend de l'édition. En édition Cloud, nous faisons tourner le service et tout ce qui le porte. En édition Entreprise, c'est vous, et la sécurité du déploiement devient un travail commun : nous fournissons le logiciel, ses réglages par défaut et les instructions, vous détenez l'infrastructure sur laquelle il tourne.
Qui fait quoi¶
| Domaine | Cloud (SaaS) | Entreprise (sur site) |
|---|---|---|
| Infrastructure | Drovio, sur AWS | Vous |
| Système d'exploitation, correctifs, durcissement | Drovio | Vous, voir Prérequis |
| Installation et mise à jour de Drovio Server | Drovio | Vous, voir Installation et Déploiement Docker |
| Certificat TLS et HTTPS | Drovio | Vous, voir Activer HTTPS |
| Base de données, sauvegardes et restauration | Drovio, sur RDS chiffré | Vous, voir Prérequis et Haute disponibilité |
| Exposition réseau et règles de pare-feu | Drovio | Vous, voir Protocoles et ports |
| Relais TURN | Drovio, déployés dans le monde entier | Vous, en option, voir Serveur relais (TURN) |
| Fournisseur d'identité et SSO | Drovio, en SAML | Vous, voir SSO (SAML et OIDC) |
| Comptes et attribution des licences | Partagé | Vous, voir Licences et utilisateurs |
| Conservation et anonymisation des statistiques | Drovio, chaque jour | Vous, voir les réglages anonymize |
| Journaux et leur conservation | Drovio, un an | Vous |
| Réponse à un incident sur le déploiement | Drovio | Vous, avec notre soutien |
| Postes des utilisateurs et application Drovio | Vous | Vous |
Ce qui reste à notre charge dans les deux cas¶
La sécurité du logiciel lui-même ne bouge jamais : la cryptographie décrite dans Architecture et flux de données, la protection des sessions exposée dans Accès et contrôle des sessions, la façon dont les mots de passe sont stockés, et la correction des vulnérabilités dans les délais fixés par Traitement des vulnérabilités. Quelle que soit l'édition que vous avez déployée, signalez-nous ce que vous découvrez à security@drovio.com.
Ce qui ne nous parvient jamais en Entreprise¶
Déployer Drovio vous-même n'est pas qu'une affaire d'hébergement. Aucune donnée personnelle n'est collectée par Drovio ni transmise à Drovio, aucun sous-traitant n'intervient, et aucune donnée ne sort de votre propre infrastructure. Voir Conformité et traitement des données.