Politique de confidentialité Security Cloud

Qu'est-ce que F‑Secure Security Cloud ?

Véritable pilier de nos services de protection, F‑Secure Security Cloud constitue une base de connaissances doublée d'un système d'analyse. Il intègre notamment des fonctions de Threat Intelligence et d'évaluation de la réputation des sites Web. Son objectif principal est de déceler tout comportement ou contenu malveillant et indésirable au sein des environnements de nos utilisateurs.

Avec Security Cloud, nous pouvons :

  • fournir un aperçu à jour du contexte mondial des cybermenaces ;
  • protéger nos utilisateurs contre les menaces émergentes, dès leur première identification.

Résumé de la déclaration de confidentialité

Notre préoccupation principale est de proposer des services hautement performants via la vente de solutions de cybersécurité exploitables sous licence ou abonnement. Nous ne monétisons en aucun cas les données relatives à nos utilisateurs.

  • Security Cloud joue un rôle essentiel dans notre capacité à garantir la sécurité de nos utilisateurs. Il fournit des services d'analyse des menaces et de la réputation, ainsi qu'un traitement des données axé sur des informations spécifiques permettant de détecter les éventuelles activités malveillantes et indésirables. Security Cloud analyse la nature et le comportement des fichiers, des processus et d'autres éléments sur les réseaux et les appareils des utilisateurs afin de déterminer si des actions nuisibles peuvent ou pourraient avoir été exécutées.
  • Nous ne connaissons en aucune façon l'identité de l'utilisateur ou du propriétaire de l'appareil protégé. Les services cloud de F‑Secure visent à détecter toute activité potentiellement malveillante issue de l'action de tiers hostiles. L'identité ou les données à caractère personnel contenues dans le fichier utilisé comme vecteur de programme malveillant ne sont pas pertinentes à cette fin.

Nous souhaitons protéger nos utilisateurs contre les menaces numériques tout en préservant leur anonymat.

Quels types de données sont collectés par Security Cloud et quel usage en faisons-nous ?

Fichiers exécutables et analyse cloud

Dans le cadre de leurs activités, nos services de protection peuvent être amenés à envoyer des métadonnées de sécurité à Security Cloud. Selon la valeur de retour obtenue, d'autres métadonnées relatives au fichier exécutable en question sont susceptibles d'être transmises afin d'effectuer une analyse approfondie. Dans le présent document, le terme « métadonnées » fait référence à des informations telles que la taille, le nom et le chemin d'accès d'un fichier, les comportements observés ou encore la désignation de la détection. Le terme « fichiers exécutables » renvoie quant à lui aux applications et au contenu interprété, comme Flash, Silverlight, les macros de document et les scripts.

La plupart de nos services de protection des terminaux (par exemple, F‑Secure SAFE et F‑Secure Protection Service for Business) s'appuient sur des moteurs d'analyse installés localement. Il arrive parfois que ces moteurs détectent des fichiers suspects qui nécessitent alors une analyse approfondie au sein de Security Cloud. Ce cas spécifique est limité aux fichiers exécutables. Les fichiers téléchargés de cette manière sont traités automatiquement et font l'objet d'une analyse structurelle et/ou comportementale, en plus d'être soumis à des contrôles rigoureux. En fonction du résultat de l'analyse automatisée, les scénarios suivants peuvent se produire :

  • Les fichiers considérés comme « propres » sont ignorés, à moins qu'ils ne soient facilement disponibles à partir d'une source publique. Dans le cas de fichiers réputés non publics, les éléments sont supprimés.
  • Les fichiers suspects sont conservés pendant un bref délai supplémentaire à des fins d'analyse.
  • Tous les fichiers considérés comme hostiles sont stockés pendant une durée plus longue (peut-être indéfiniment).

Si un fichier malveillant se révèle une fausse alerte à l'issue de l'analyse, celui-ci est traité comme un fichier propre (c'est-à-dire supprimé à condition d'être non public). Les fichiers échantillon envoyés à F‑Secure Labs sont classés par ordre de priorité en fonction des métadonnées extraites. Ils font ensuite l'objet d'une analyse automatique qui détermine leur état : propre, malveillant, faux positif ou inconnu.

Évaluation de la réputation des URL et analyse cloud

Nos services de protection peuvent exiger que la réputation de l'URL soit évaluée avant d'autoriser l'utilisateur à consulter un site. C'est le cas de la protection de la navigation, du contrôle parental et de la protection du trafic Web. Sur demande de Security Cloud, ces services envoient des métadonnées supplémentaires relatives à l'URL évaluée. Ce comportement est habituellement associé à des URL inconnues qui requièrent une analyse approfondie.

Avant que des informations URL ne soient communiquées à Security Cloud, un algorithme côté client élimine toute donnée à caractère personnel. Les URL situées au sein de réseaux locaux (telles que déterminées du côté client) ne sont quant à elles pas envoyées.

Documents et analyse cloud

Par définition, nos services de protection n'envoient pas de contenu généré par l'utilisateur (à l'image des fichiers document, par exemple) à Security Cloud. En effet, puisqu'ils sont susceptibles de contenir des charges utiles d'exécutables (métadonnées), ces fichiers sont déjà filtrés par les logiciels client. Dans la mesure où les cyberattaques utilisent souvent leurs scripts, il est essentiel d'extraire le contenu exécutable des fichiers document et d'effectuer une analyse cloud.

Cette analyse est rendue possible grâce à nos services, qui disposent des fonctionnalités adéquates.

Métadonnées relatives aux fichiers exécutables propres

Les métadonnées relatives aux fichiers exécutables propres (c'est-à-dire non malveillants) peuvent être collectées sur des appareils protégés afin d'alimenter la base de données globale de réputation des fichiers dans Security Cloud. En déterminant le caractère unique de tous les fichiers exécutables, nos services sont à même d'assurer une meilleure protection contre le contenu malveillant et indésirable.

Les fichiers propres ne sont pas collectés sur les appareils protégés sans le consentement préalable de leurs utilisateurs respectifs.

Collecte de données pour la fonctionnalité antispam

Disponible dans certains services, la fonctionnalité antispam de Security Cloud exécute des requêtes pour les fonctions de messagerie d'une façon assez similaire au mode de traitement des documents générés par l'utilisateur (voir la section « Documents et analyse cloud »). Les informations liées aux fonctions de messagerie, telles que les adresses e-mail, les adresses IP, les URL ou encore les numéros de téléphone, peuvent être extraites sous la forme de métadonnées par message en vue de déterminer à travers une analyse précise si les messages sont légitimes ou proviennent d'une tentative de spamming, d'hameçonnage ou d'infection. Les métadonnées ou le contenu des messages sont strictement confinés au sein de l'environnement du système d'analyse antispam et ne sont pas conservés.

Comme exposé ci-dessus, les charges utiles de fichiers exécutables comprises dans les messages individuels peuvent être extraites et analysées de façon distincte, sans qu'aucun lien avec le message en question ou les clients/comptes d'utilisateur impliqués ne soit fait.

Certains services peuvent proposer une option permettant d'autoriser l'envoi d'informations supplémentaires à des fins d'analyse détaillée.

Données techniques relatives aux appareils

Les informations de configuration des appareils (par exemple, la version du système d'exploitation) et des services F‑Secure (par exemple, le programme installé et les versions des mises à jour) sont envoyées afin que les mises à jour proposées aux utilisateurs soient toujours correctes.

Autres données

Afin de combattre efficacement les menaces émergentes, la collecte de données entreprise par Security Cloud évolue en permanence. Elle est susceptible de recueillir d'autres informations similaires qui n'ont pas été expressément mentionnées ci-dessus. Toutefois, ces dernières font l'objet d'un traitement identique à celui décrit dans le présent document.

Collecte de données restreinte

Security Cloud repose sur une logique de collecte de données restreinte uniquement axée sur les informations nécessaires à la protection de nos utilisateurs. Nous nous efforçons d'éviter de traiter toute donnée considérée comme sensible ou qui pourrait conduire à l'identification de leurs propriétaires par des tiers. Notre démarche d'automatisation s'inscrit dans la volonté de rendre parfaitement anonymes les diverses données de sécurité envoyées à Security Cloud. Le respect de la confidentialité de nos utilisateurs est au cœur de nos préoccupations.

Pour ce faire, nous appliquons les principes suivants :

  • Nous réduisons le volume de données envoyé en amont. Nous filtrons les données à caractère personnel et considérées comme potentiellement sensibles à chaque étape du traitement : au niveau du logiciel lors du chargement dans Security Cloud, ou lors de l'envoi à un fournisseur (voir la section « Partage d'échantillons de données avec d'autres fournisseurs en cybersécurité »).
  • Nous envoyons les données progressivement. Security Cloud collecte uniquement des données plus détaillées lorsqu'il n'est pas en mesure d'identifier la nature du comportement suspect. Tout d'abord, il procède à une évaluation de la réputation de l'objet. Si cela ne suffit pas, il envoie des métadonnées à son sujet. En ultime recours, l'objet lui-même est chargé dans Security Cloud en vue d'une analyse approfondie.
  • Nous stockons uniquement les données IP de haut niveau. L'adresse IP complète de nos utilisateurs n'est jamais stockée. Certains de nos mécanismes d'analyse cloud collectent toutefois des métadonnées dérivées d'adresses IP qui se connectent à Security Cloud, comme le pays et les informations de géolocalisation à l'échelle de la ville, par exemple.
  • Nous distinguons les données de sécurité de celles à caractère personnel. Nous ne mélangeons jamais les données de sécurité et à caractère personnel dans notre système de gestion (des licences, par exemple) et ne les recoupons pas.
  • La Threat Intelligence n'inclut pas de renseignements à caractère personnel. Les données collectées à partir des systèmes client et qui seront utilisées pour fournir/améliorer les capacités de protection ou partagées avec les acteurs du secteur de la cybersécurité ne présentent aucune information renseignant l'identité du propriétaire de l'appareil analysé.

Partage d'échantillons de données avec d'autres fournisseurs en cybersécurité

Les données de Threat Intelligence obtenues par l'entremise de Security Cloud sont parfois communiquées à un nombre restreint de fournisseurs fiables et agréés dans le domaine de la cybersécurité en vue de protéger plus efficacement et plus rapidement nos utilisateurs contre les cyberattaques.

Les accords conclus avec ces derniers stipulent expressément que l'utilisation des données doit s'inscrire uniquement dans le cadre de la fourniture de services de cybersécurité et respecter en tout point les conditions de la présente politique. Par ailleurs, lorsque nous partageons de telles données, nous sélectionnons avec soin les informations pertinentes au sujet du comportement ou de l'objet malveillant, en excluant systématiquement tout renseignement à caractère personnel. Dans la mesure du possible, nous rendons anonyme l'origine des données envoyées.

Certains de nos services sont susceptibles d'inclure des paramètres permettant d'autoriser ou d'interdire nos fournisseurs de procéder à une analyse approfondie des échantillons.

Fondement et proportionnalité de la collecte de données

Le traitement des données décrit dans la présente intervient en vue de préserver l'intégrité des services internes de nos utilisateurs, de leurs réseaux, de leurs appareils et de toutes les données qui y sont contenues. Cela facilite la détection des menaces émergentes et l'identification des tendances de sécurité. Les résultats sont exploités au profit de tous nos utilisateurs, leur assurant ainsi une protection optimale en ligne.

Le traitement des données de sécurité revêt une importance primordiale dans la protection efficace des appareils/réseaux de nos utilisateurs et constitue la condition préalable à la fourniture de nos services contractuels. Si ce traitement peut être effectivement limité en réglant les paramètres desdits services en conséquence, il est toutefois déconseillé de le faire sous peine d'affaiblir le niveau de protection.

Tout élément analysé par Security Cloud fait l'objet d'une évaluation structurelle et/ou comportementale. Sur la base de cette dernière, Security Cloud autorise nos services à bloquer, restreindre et supprimer le contenu et les comportements malveillants. Outre le fait de limiter l'accès au contenu considéré comme malveillant ou indésirable, de telles activités sont nécessaires en vue de protéger les appareils et les réseaux de nos utilisateurs.

Traitement sécurisé des données

Les composants de F‑Secure Security Cloud sont conçus pour traiter et stocker le code malveillant. Aussi, avec l'appui des processus de flux de données, ils mettent en oeuvre des mesures de sécurité rigoureuses et des politiques d'accès strictes afin d'éviter toute contamination ou fuite de code malveillant. Ces mesures comprennent notamment la segmentation du ou des réseaux, les contrôles d'accès et le chiffrage des données en transit ou à l'arrêt.

L'ensemble des données collectées est stocké sur les réseaux que nous administrons et uniquement accessible au sein de notre organisation. Les autorisations d'accès sont accordées de façon distincte en fonction des types de données et de la légitimité de leur utilisation. Tout accès intervient via des canaux chiffrés de bout en bout. Les données recueillies sont stockées sur différents segments issus de notre réseau principal.

Nous attachons une grande importance à ce que nos logiciels ne présentent aucune vulnérabilité exploitable. Outre les tests réalisés en interne, nous mettons en place des bugs bounty pour encourager la communauté à tester nos solutions et nous signaler les éventuels bugs.

Afin de pouvoir manipuler les données stockées, nos employés doivent suivre des formations adaptées à l'usage qu'ils souhaitent en faire.

Conservation des données téléchargées

Les objets envoyés à F‑Secure Security Cloud à des fins d'analyse sont conservés pendant 2 à 14 jours selon la singularité de l'échantillon, à l'exception de ceux déterminés comme étant malveillants ou provenant d'une source publique. Dans ce cas, la durée de conservation ne présente aucune limite.

Si les objets téléchargés s'avèrent malveillants et que leur état n'évolue pas, la durée de conservation est indéfinie. En revanche, s'ils sont considérés ultérieurement comme « propres » ou inconnus, la politique de conservation des données s'applique et ils sont supprimés dès que possible.

Les métadonnées d'objets qui ne contiennent pas d'informations à caractère personnel sont stockées aussi longtemps que cela est jugé nécessaire au regard des finalités décrites ci-dessus, sans qu'aucune limite de conservation spécifique ne soit observée.

Traitement des données à caractère personnel par F‑Secure

Nos neuf principes de confidentialité constituent la pierre angulaire de notre engagement envers nos utilisateurs. Le traitement des données à caractère personnel par nos services est abordé dans la déclaration de confidentialité F‑Secure, ainsi que dans les politiques de confidentialité au cas par cas et propres aux services. Elles sont disponibles dans l'interface des services et/ou sur nos pages Web publiques. Ces politiques expliquent en détail le traitement des données à caractère personnel et les droits des personnes correspondants dans le cadre de la collecte de telles données sur nos utilisateurs via nos services ou la mise en œuvre de nos processus commerciaux.

Modifications apportées à cette politique

Les capacités de Security Cloud sont constamment optimisées en vue de relever les défis associés à l'évolution des cybermenaces. Cette politique est mise à jour régulièrement pour refléter cette nouvelle réalité. Sa dernière version demeure disponible sur notre site Web.

Contacts

Pour toute question au sujet de F‑Secure Security Cloud, merci de nous contacter à l'adresse suivante :

F‑Secure Corporation

Tammasaarenkatu 7

PL 24

00181 Helsinki

Finlande

Si vous utilisez notre gamme de services destinés aux particuliers, rendez-vous sur f-secure.com/support.

Si vous utilisez notre gamme de services destinés aux professionnels, rendez-vous sur f-secure.com/contact-support.

© F‑Secure Corporation – Janvier 2019