Remarque : cette annonce a été initialement publiée sur la communauté des clients de Ninja et mise en évidence dans l’application le 3 juillet 2021. Nous la publions ici sur le blog pour y améliorer sa visibilité et aider nos partenaires à la partager plus facilement avec leurs clients finaux.
Ninjas,
Maintenant, la plupart d’entre vous sont probablement au courant de la situation de ransomware impliquant Kaseya VSA qui a un impact sur les MSP et leurs clients finaux. Comme vous, nous suivons la situation de très près et nous tenons à vous rassurer : nous n’avons trouvé aucune indication que cette attaque ou une autre attaque similaire ait affecté Ninja ou les partenaires de Ninja. Pour confirmer cela, NinjaOne n’utilise aucun produit, service ou composant Kaseya dans sa pile.
Les questions et les inquiétudes que nous avons entendues de la part de nos partenaires vont bien sûr au-delà de « Ninja est-il affecté par ce dernier événement ? » et s’étendent à « Que fait Ninja pour nous protéger ?”
Nous voulons vous fournir plus de détails à ce sujet. Mais tout d’abord, nous souhaitons également affirmer que nous sommes sans équivoque solidaires de Kaseya et que nous condamnons cet acte de terrorisme contre une entreprise et ses clients. Ce sont ces types d’événements qui nous empêchent de dormir la nuit, et nous sommes convaincus que c’est un combat que nous menons tous ensemble, aussi sommes-nous prêts à prêter main forte à Kaseya et à son équipe.
En ce qui concerne nos propres efforts de sécurité interne : En tant que fournisseur, nous sommes conscients que vous nous confiez votre sécurité, et nous prenons cette responsabilité très au sérieux. Depuis sa création, Ninja a fait de la protection de son infrastructure une priorité absolue. Nous adaptons, évaluons, renforçons et complétons constamment nos processus et initiatives en matière de sécurité et nous considérons que notre travail dans ce domaine n’est jamais complètement achevé.
Pour donner un aperçu de nos efforts, voici un petit échantillon des mesures que nous avons prises pour assurer la sécurité de Ninja et de nos partenaires :
- Le service web et le code source de Ninja sont régulièrement analysés et soumis à des tests d’intrusions par des entreprises tierces de premier plan, pour détecter les failles de sécurité, ce qui aboutit systématiquement à l’attribution de la mention « HAUTEMENT SÉCURISÉ ».
- Notre portail de gestion des agents est hébergé dans un environnement Cloud isolé et sécurisé, avec un cryptage fort de toutes les données au repos. Notre infrastructure en nuage comporte de nombreuses couches de sécurité intégrée et n’est hébergée que par des fournisseurs Cloud de premier plan qui ont fait l’objet d’audits donnant lieu à des rapports SSAE18 SOC1/SOC2/SOC3.
- Notre infrastructure Cloud comporte de nombreuses couches de sécurité intégrées initialement lors de sa conception et n’est hébergée que par des fournisseurs Cloud de premier plan qui ont fait l’objet d’audits donnant lieu à des rapports SSAE18 SOC1/SOC2/SOC3.
- En outre, tous nos actifs, services et environnements dans le Cloud sont soumis à des restrictions strictes qui nécessitent des VPN (utilisant une cryptographie), deux niveaux d’authentification MFA/2FA couplés à des certificats SSL, ainsi qu’un suivi et une alerte en cas d’activité inhabituelle et d’intrusion.
- NinjaOne se soumet également à des audits annuels indépendants SSAE18 SOC2, donnant lieu à un rapport qui peut être mis à la disposition de nos clients sur demande.
- Outre les tests d’intrusions indépendants et les évaluations de la sécurité de tous les systèmes, nous avons également mis en place, au début de l’année, notre propre équipe rouge interne chargée de rechercher en permanence les failles et de nous aider à les combler.
- Enfin, NinjaOne a mis en place des contrôles de sécurité pour se conformer à plusieurs normes de cybersécurité du gouvernement américain, notamment :
- Cadre de cybersécurité (CSF) du NIST, révision 1.1
- Publication spéciale 800-171 du NIST, révision 2
- Publication spéciale 800-53 du NIST, révision 5
- Clause 204-7012 du Federal Acquisition Regulation Supplement (DFARS) du ministère américain de la défense.
- Niveau de certification 3 du modèle de maturité de la cybersécurité du ministère américain de la Défense (CMMC) (remarque : n’a pas été soumis au processus de certification)
Notre personnel et en particulier notre équipe des opérations de sécurité, reste toujours vigilant face à cet événement. Nous continuerons à surveiller les informations supplémentaires relatives à la nature de l’attaque, et nous continuerons à revoir, ajuster et améliorer nos propres pratiques de sécurité, maintenant et pour toujours. Nous vivons selon le code qu’il n’y a pas de destination finale pour la sécurité, et nous continuerons notre mission de vous garder, vous et vos partenaires, en sécurité.
Comme toujours, notre équipe est joignable pour toute question ou préoccupation, et peut être contactée à l’adresse suivante <ahref= »mailto:[email protected] »>[email protected].
Merci d’être un partenaire de NinjaOne.
Meilleures salutations,
Lewis Huynh
Responsable de la sécurité
