Aller au contenu principal
Virtik

Signataire du CISA Secure by Design Pledge

Secure by Design chez Virtik

Virtik USA, Inc. est signataire officiel du Secure by Design Pledge de la Cybersecurity and Infrastructure Security Agency des États-Unis.

Notre engagement public traduit une approche d'ingénierie et d'exploitation centrée sur le renforcement des contrôles d'identité, une architecture sécurisée, la réduction des vulnérabilités, la résilience, la transparence et l'amélioration continue.

Vérifier sur CISA.govArchitecture de sécurité

Pourquoi c'est important

Une sécurité décidée dès la conception, et non ajoutée après coup

Secure by Design demande aux éditeurs de logiciels d'assumer la responsabilité des résultats de sécurité de leurs clients, plutôt que d'en reporter la charge en aval. Le poids de la sûreté doit reposer sur le fournisseur capable de corriger une classe entière de défauts une seule fois, et non sur chaque client contraint de contourner le problème par configuration.

Cela compte ici plus qu'ailleurs. Virtik est acheté par les personnes responsables de la sûreté physique d'aéroports, d'opérateurs d'énergie, de campus et de sites publics. Une plateforme de sûreté qui n'est pas elle-même défendable est un risque portant la mauvaise étiquette : notre propre posture doit donc résister au même examen que celui que nous aidons nos clients à appliquer à tout le reste.

Virtik s'appuie sur les principes CISA Secure by Design comme cadre de référence pour renforcer ses pratiques de cybersécurité, l'architecture de son produit et sa posture de sécurité opérationnelle. Virtik s'est publiquement engagée à faire progresser les objectifs du CISA Secure by Design Pledge.

Axes de travail

Quatre domaines qui portent le travail

Chacun est détaillé ci-dessous, avec la formation précise suivie et ce qu'elle apporte.

Cybersécurité défensive

Détecter, analyser et traiter les menaces, et réduire le risque qu'un même incident se reproduise.

5 formations

Architecture Zero Trust

Ne jamais faire confiance, toujours vérifier — l'accès est authentifié, autorisé et évalué en continu, plutôt que présumé à partir de la position réseau.

6 formations

Gouvernance des actifs critiques

Identifier ce qui compte le plus, en évaluer le risque et le surveiller en continu.

3 formations

Sécurité des infrastructures et des réseaux

L'exposition sans fil et réseau est une voie d'entrée fréquente, et elle se gouverne séparément de la sécurité applicative.

1 formation

Le pledge

Ce à quoi Virtik s'est engagée

Le pledge de la CISA fixe sept objectifs aux éditeurs de logiciels.

  • Authentification multifacteur
  • Mots de passe par défaut
  • Réduction de classes entières de vulnérabilités
  • Correctifs de sécurité
  • Politique de divulgation des vulnérabilités
  • CVE
  • Preuves d'intrusion

Le pledge est un engagement à démontrer des progrès mesurables vers ces objectifs, et non une déclaration que les sept seraient atteints. La description faisant autorité de chaque objectif est publiée par la CISA ; la page déclarations de soutien reprend les propres mots des participants.

15 formations suivies

Formations suivies, par domaine

Les intitulés des formations sont consignés exactement tels qu'ils ont été délivrés. Cette section décrit les compétences détenues par l'équipe — voyez la section suivante pour ce qui est déployé dans le produit.

Cybersécurité défensive et gestion des incidents

La cybersécurité défensive et la gestion des incidents sont les volets d'un programme de sécurité qui partent du principe que quelque chose finira par passer. La formation ci-dessous couvre le cycle complet, du premier indicateur à l'analyse post-incident.

  • Cyber Defense Analyst — Incident Response

    • Comprendre le cycle de vie d'un incident, de la détection à la remédiation
    • Identification des menaces et des incidents
    • Coordination de la réponse et des communications
    • Analyse post-incident pour réduire les récidives

  • Cyber Defense Analyst — Indicators of Compromise

    • Repérer les signes de compromission
    • Utiliser des outils de détection des indicateurs de compromission
    • Analyse des journaux d'événements et des signatures malveillantes
    • Mise en œuvre de mesures de remédiation proactives

  • Cyber Defense Analyst — SIEM

    • Utiliser des outils SIEM pour la collecte et l'analyse des journaux
    • Agrégation et corrélation des événements de sécurité
    • Détection en temps réel des activités suspectes
    • Reporting et alertes pour une meilleure visibilité des menaces

  • Cyber Defense Analyst — Vulnerability Assessments

    • Comprendre les méthodologies d'évaluation des vulnérabilités
    • Identification des vulnérabilités de sécurité dans les systèmes et les applications
    • Utiliser des outils d'analyse de vulnérabilités
    • Recommander des remédiations et appliquer les bonnes pratiques

  • Cybersecurity Training for Defense of Internet-Accessible Systems

    • Protection des services accessibles depuis l'extérieur
    • Simulation d'attaques et réponse en environnement contrôlé
    • Mise en œuvre de mécanismes défensifs avancés

Zero Trust et architecture sécurisée

Contrairement aux modèles fondés sur le périmètre, le Zero Trust part du principe que chaque tentative d'accès doit être authentifiée, autorisée et évaluée en continu. Réduire la confiance implicite diminue la surface d'attaque et limite la propagation d'une intrusion.

  • Zero Trust Basic Principles for Federal Agencies

  • Zero Trust Architecture: Choosing a Model Based on the Task

  • CyberStat Workshops — Pillar 1: Identity, Parts 1 and 2

  • CyberStat Workshops — Pillar 3: Networks

  • CyberStat Workshops — Pillar 4: Applications and Workloads

  • CyberStat Workshops — Pillar 5: Data

Compétences clés acquises

  • Renforcement de l'authentification multifacteur et de la gestion des accès à privilèges
  • Notions de micro-segmentation pour réduire les déplacements latéraux
  • Contrôle d'accès granulaire fondé sur le risque
  • Notions de chiffrement des données en transit et au repos
  • Surveillance continue de l'activité applicative

Ce que cela apporte

  • Les pratiques Zero Trust permettent de réduire la confiance implicite, de diminuer les surfaces d'attaque et de renforcer la sécurité de l'identité et des données.

Gouvernance et gestion des actifs critiques

  • Overview of High Value Assets (HVA)

  • A Leader's Approach to Assessment and Authorization (A&A)

  • CDM Dashboard: Auto-creation of API keys

Compétences clés acquises

  • Définition et identification des actifs de grande valeur
  • Évaluation du risque et de l'impact potentiel
  • Élaboration de stratégies de protection
  • Principes de gestion des risques
  • Notions de surveillance continue et de gestion automatisée des accès

Ce que cela apporte

  • Renforcer la résilience face aux cybermenaces
  • Appuyer les démarches de conformité en cybersécurité
  • Améliorer les capacités de gestion des incidents

Sécuriser les infrastructures et les réseaux

  • Cyber Defense Infrastructure Support Specialist — Wi-Fi Security

Ce que cela apporte

  • Contribuer au renforcement de la sécurité du Wi-Fi interne
  • Réduire le risque d'intrusion sans fil
  • Alimenter des pratiques de cybersécurité plus larges

Formation et produit

Ce qui est déployé, distinct de ce qui est maîtrisé

Suivre une formation sur le SIEM ne signifie pas que Virtik exploite un SIEM. Suivre des ateliers Zero Trust ne signifie pas que tous les contrôles Zero Trust sont en production. Ce sont deux affirmations distinctes, avec des preuves distinctes, et nous les tenons délibérément séparées.

La section ci-dessus porte sur les compétences détenues par l'équipe. Ci-dessous figure la liste, plus courte, des contrôles qui sont des propriétés de la plateforme en fonctionnement. Elle est courte à dessein : elle ne contient que ce qui résiste à un évaluateur qui demande à voir.

  • Cloisonnement des locataires au niveau des données

    Les accès sont appliqués dans la base de données par sécurité au niveau des lignes, et pas seulement dans l'interface : un défaut côté client ne peut donc pas devenir une fuite de données entre locataires.

  • Double verrou rôle et droits

    Ce qu'une personne est autorisée à faire est vérifié deux fois et de manière indépendante : au regard de son rôle opérationnel, et au regard des droits commerciaux de son organisation.

  • Exécution gouvernée de l'IA

    Les actions d'IA s'exécutent selon des modes explicites, avec une politique par locataire, des budgets appliqués par utilisateur et une frontière d'autorisation des outils définie par classe de risque.

  • Actions opérationnelles auditées

    Les actions à conséquence sont consignées comme des événements auditables : le retour d'expérience s'appuie donc sur le dossier plutôt que sur les souvenirs.

  • Intégrations à portée limitée et authentifiées

    Les intégrations sont authentifiées par organisation et régies par le même modèle de droits que le reste de la plateforme.

  • Contrôles d'authentification

    L'authentification multifacteur est disponible, et les surfaces d'administration sont séparées des surfaces opérationnelles, de sorte que l'usage quotidien n'exige pas d'accès privilégié.

Ce sont les mêmes contrôles que ceux décrits sur la page architecture de sécurité, énoncés une seule fois et référencés ici plutôt que reformulés différemment.

Des progrès mesurables, et ce que nous ne prétendons pas encore

Le pledge demande des progrès démontrables. Publier des indicateurs de progression avant de les avoir mesurés en annulerait l'intérêt : cette page n'en présente donc aucun. Ce que nous pouvons énoncer aujourd'hui, c'est l'architecture déjà en place, les formations suivies et le circuit de divulgation ouvert dès maintenant.

Virtik ne détient aucune certification de sécurité délivrée par un tiers. Il n'existe ni rapport SOC 2, ni certificat ISO 27001, ni autorisation FedRAMP, et la page conformité indique lesquelles ne sont pas détenues plutôt que de le laisser deviner.

Ouvert dès aujourd'hui

Un circuit de divulgation des vulnérabilités fait partie des sept objectifs du pledge et est actif dès maintenant : chacun peut signaler une vulnérabilité présumée et voir ce à quoi nous nous engageons en retour.

Signaler une vulnérabilitéTrust Center

Références

Sources officielles et lectures associées

Le statut de signataire est vérifiable auprès de la CISA. Rien ici ne vous demande de nous croire sur parole.

cisa.gov

Signataires du Secure by Design Pledge

Le répertoire de la CISA elle-même des organisations signataires.

cisa.gov

Déclarations de soutien

Les déclarations publiées par les participants sur l'initiative.

virtik.ai

Architecture de sécurité

Où se situent les contrôles dans le système en fonctionnement.

virtik.ai

Trust Center

Posture, gouvernance et documentation, y compris ce qui reste en attente.

virtik.ai

IA responsable

Comment l'exécution de l'IA est encadrée et attribuée.

virtik.ai

Divulgation de vulnérabilités

Comment signaler un problème, et ce à quoi nous nous engageons.

Vous évaluez la posture de sécurité de Virtik ?

Questionnaires de sécurité, revues d'architecture et séances techniques aboutissent au même endroit. Vous obtiendrez une réponse franche sur ce qui est en place et ce qui ne l'est pas.

Contacter l'équipe sécuritéTrust Center