Box Trust : sécurité, conformité et souveraineté numérique

Box met en œuvre des contrôles de sécurité conçus pour protéger les contenus d’entreprise contre les accès non autorisés, les vulnérabilités et les risques opérationnels. L’accès aux systèmes Box repose sur le principe du moindre privilège. L’authentification multifacteur est requise pour l’accès VPN aux systèmes qui assurent le service Box. Box dispose également d’un processus formel d’examen des fournisseurs, avec une évaluation des risques fondée sur la classification des données et le rôle du fournisseur dans l’environnement Box. Les contenus chargés dans Box sont chiffrés en transit via TLS 1.3 lorsque le navigateur le permet, avec un repli possible sur TLS 1.2. Les données au repos sont chiffrées avec l’algorithme AES et une clé de 256 bits.

Box effectue des analyses de vulnérabilité réseau, système, base de données, application web et API au moins une fois par mois ou en cas de modification significative. Les vulnérabilités critiques sont corrigées sous 48 heures et les vulnérabilités de gravité élevée sous 3 à 30 jours selon leur impact. Des tests de pénétration indépendants sont réalisés chaque année sur l’application web, l’application mobile, les API, le réseau et d’autres services Box. Un rapport récapitulatif peut être fourni sous NDA sur demande auprès de l’équipe de compte.

Pour les organisations françaises et européennes, la confiance dans le cloud repose aussi sur la capacité à comprendre où les données sont stockées, quelles garanties s’appliquent et comment les exigences de protection des données sont prises en compte. Box ne revendique pas de qualification SecNumCloud pour cette offre. SecNumCloud est une qualification française délivrée par l’ANSSI pour des offres cloud répondant à un référentiel spécifique. Les certifications disponibles pour Box, notamment ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 2 Type II, FedRAMP High et HDS, ne constituent donc pas une équivalence réglementaire à SecNumCloud. Elles apportent toutefois des garanties complémentaires pour évaluer la sécurité, la conformité, la confidentialité et la gouvernance de la plateforme.

Box Zones permet aux clients de choisir une région ou un pays spécifique pour stocker leurs contenus au repos. Cette fonctionnalité aide les organisations à répondre à leurs besoins de résidence des données, notamment lorsqu’elles doivent aligner leur stratégie cloud avec des exigences françaises, européennes, contractuelles ou sectorielles. Cette approche permet aux entreprises d’intégrer la résidence des données dans leur stratégie de gouvernance, tout en conservant une expérience de collaboration centralisée et sécurisée dans Box.

Box s’engage à aider ses clients à protéger leurs données personnelles et à répondre à leurs obligations en matière de confidentialité. Les ressources mises à disposition par Box permettent aux organisations d’évaluer les garanties applicables au RGPD, aux transferts internationaux de données, aux sous-traitants, aux informations régionales et aux engagements de confidentialité.

Box fournit également des informations sur Schrems II, le Brexit, les clauses contractuelles types, les règles d’entreprise contraignantes, les analyses d’impact relatives à la protection des données et les mesures supplémentaires applicables aux transferts internationaux de données. Ces éléments permettent aux équipes conformité et juridique d’évaluer les garanties contractuelles, techniques et organisationnelles associées à l’utilisation de Box.

Pour les organisations françaises, cette section peut être complétée par une référence aux recommandations de la CNIL sur le RGPD, les transferts internationaux et la gestion des violations de données personnelles. Box peut également orienter les clients vers ses ressources dédiées aux incidents de sécurité et aux violations de données afin de faciliter l’évaluation des processus de notification, de réponse et de remédiation.