Aperçu de la sécurité
Cette page décrit notre approche de la sécurité pendant que CostGuard est en développement actif. Nous nous engageons à protéger vos données et vos informations d'accès Azure. Les pratiques décrites ici reflètent notre état actuel et évolueront avec le produit.
1. Accès Azure et authentification
CostGuard utilise Microsoft Entra ID pour l'authentification et autorise uniquement les connexions de confiance via des principaux de service enregistrés. Nous ne demandons ni ne stockons jamais vos mots de passe Azure ou vos secrets d'abonnement. Les utilisateurs se connectent à CostGuard via leurs propres informations d'identification et les connexions aux abonnements Azure sont établies via des approbations de droits délégués.
2. Principe du moindre privilège
CostGuard demande uniquement les permissions minimales nécessaires pour lire les données de facturation et de coût de vos abonnements Azure. Nous n'écrivons pas, ne supprimons pas et ne modifions pas vos ressources Azure. Nous documentons explicitement les permissions requises sur la page Accès aux données et encourageons les utilisateurs à les examiner avant de les accorder.
3. Stockage et traitement des données
Vos données de coût Azure sont importées et stockées dans notre base de données Azure SQL hébergée dans votre région déployée. Les données sont utilisées uniquement pour générer des rapports, des recommandations et des prévisions dans votre espace de travail. Nous n'utilisons pas vos données à des fins publicitaires ni ne les revendons à des tiers. Les données en transit sont protégées par TLS et les données au repos sont protégées par le chiffrement transparent des données d'Azure SQL.
4. Gestion des secrets
Les secrets de l'application tels que les chaînes de connexion et les clés d'API sont stockés dans Azure Key Vault et jamais codés en dur dans le code source ou les fichiers de configuration. L'accès au Key Vault est contrôlé via des identités gérées et des politiques d'accès à privilège minimum. Les secrets ne sont jamais journalisés ni exposés dans les traces de pile.
5. Journalisation et surveillance
CostGuard journalise les événements d'application pour supporter les diagnostics opérationnels et le suivi des erreurs. Les journaux ne contiennent jamais de secrets, de mots de passe, de clés ni de données personnelles sensibles. Nous prévoyons d'étendre la surveillance et l'alerte à mesure que le produit mûrit. Les journaux sont conservés conformément à notre politique de conservation des données décrite dans notre Politique de confidentialité.
6. Isolation de l'espace de travail
CostGuard est conçu pour que chaque compte fonctionne exclusivement dans un espace de travail isolé. Les données de coût, les connexions Azure, les recommandations et les rapports sont limités à l'espace de travail approprié et ne sont pas accessibles à d'autres comptes. Nous appliquons la limite d'espace de travail dans toute la couche de données de l'application et la vérifions dans le cadre de notre processus de développement.
7. Sécurité opérationnelle
Nous appliquons la revue de code, les tests automatisés et les pratiques de déploiement à privilège minimum dans le cadre de notre flux de développement. Les déploiements d'application suivent un pipeline CI/CD avec des portes de revue. Notre objectif est de maintenir les dépendances à jour et de remédier aux vulnérabilités en temps opportun. Nous surveillons l'application et l'infrastructure au niveau opérationnel de base et prévoyons d'étendre la surveillance à mesure que le produit mûrit.
8. Vos contrôles
Vous choisissez les abonnements Azure que vous connectez à CostGuard et le niveau d'autorisation que vous accordez. Vous pouvez à tout moment déconnecter un abonnement, désactiver l'accès d'un membre de l'espace de travail et modifier les destinataires des rapports planifiés. CostGuard ne propose aujourd'hui aucune suppression de compte en libre-service ; pour demander la suppression de vos données, utilisez la page Contact. Politique de confidentialité
9. Nous contacter
Hoshebartar Technologies
Si vous avez des questions sur notre approche de sécurité, souhaitez signaler une vulnérabilité ou avez des préoccupations concernant la gestion de vos données, veuillez nous contacter via notre page de contact. Nous prenons les retours en matière de sécurité au sérieux et répondrons dans les plus brefs délais.