La protection d’ExpressVPN évaluée dans 2 nouveaux audits indépendants

Dès le début de cette année, nous nous sommes engagés à augmenter le nombre des audits réalisés par des organismes privés. Les audits indépendants sont un important gage de confiance et de transparence pour notre entreprise, car ils permettent une évaluation objective de nos déclarations de confidentialité et de sécurité.

Nous avons récemment sollicité KPMG et Cure53 pour procéder séparément à des évaluations indépendantes de nos systèmes d’informations et de nos serveurs. Les rapports qui nous ont été fournis confirment nos déclarations. Soyez sûrs que nous ne savons jamais ce que vous faites en ligne lorsque vous vous connectez à notre service. Nous n’avons pas d’informations confidentielles à partager avec d’autres organismes, y compris lorsqu’une loi ou une réglementation nous y contraint.

Notre politique relative à la collecte de données consiste à ne recueillir que les informations nécessaires au fonctionnement d’un service VPN. Cela signifie que nous ne collectons et ne conservons jamais de données susceptibles de compromettre la confidentialité ou la sécurité d’un utilisateur. Pas d’historique d’activité, pas d’historique de connexion, ni aucune autre information sensible.

L’un des moyens importants pour y parvenir est TrustedServer, notre technologie VPN exclusive et innovante. Trusted Server nous permet de réduire considérablement l’exposition aux menaces de confidentialité et de sécurité que pose la gestion traditionnelle des serveurs. TrustedServer est une technologie très moderne, dotée de plusieurs niveaux de sécurité mis en place pour garantir la confidentialité de nos utilisateurs. Aucune donnée n’y est enregistrée. Nous avons défini et mis en œuvre une série de contrôles qui nous donnent l’assurance de la conception et la mise en œuvre des mécanismes de sécurité, nous aidant à réaliser les objectifs majeurs de notre politique de confidentialité. Cure53 a également effectué un test d’intrusion et un audit du code source de TrustedServer.

KPMG a évalué la politique des données d’ExpressVPN

Des experts indépendants de KPMG ont testé nos systèmes de sécurité et ont interrogé les membres de notre équipe afin de vérifier les processus, les contrôles et les mécanismes destinés à garantir la conformité de nos serveurs VPN avec notre politique de confidentialité. Cela inclut le test de notre politique (ExpressVPN ne collecte pas les historiques d’activité ou de connexion), ainsi que le fonctionnement de notre technologie TrustedServer tel que nous le définissons.

Nous sommes donc ravis que KPMG nous ait délivré un bilan très positif.

Le rapport complet de KPMG est disponible pour tous. Vous devez toutefois prendre connaissance des conditions générales de KPMG avant d’y accéder. Les clients d’ExpressVPN peuvent également lire le rapport dans son intégralité en se connectant et en visitant la page des audits de confidentialité et de sécurité.

L’audit a été réalisé conformément à la norme ISAE (UK) 3000 Type 1, reconnue mondialement.

L’audit de Cure53 a confirmé la sécurité de TrustedServer

De son côté, la société de cybersécurité Cure53 a réalisé un audit sur le code source, ainsi qu’un test white-box sur TrustedServer. Les résultats sont encourageants et confirment la sécurité de TrustedServer. (Rappel : notre récompense de 100 000 $ pour la détection de bugs dans TrustedServer est toujours en vigueur.)

Cure53 précise que des erreurs et des failles mineures ont été repérées. En effet, la plupart d’entre elles peuvent être considérées comme faciles à corriger. Il est également important de souligner qu’aucune des quatre vulnérabilités identifiées n’a été classifiée avec un score de gravité élevé ou critique, mettant en évidence un environnement suffisamment sécurisé par les composants d’ExpressVPN TrustedServer.

Lisez le rapport complet de Cure53 ici !

Un engagement pour une transparence totale

Les deux nouveaux audits s’ajoutent à notre liste d’audits et d’évaluations de sécurité précédents :

• Un audit par Cure53 de notre application Linux (août 2022)
• Un audit par Cure53 de notre application macOS (juillet 2022)
• Un audit de sécurité par Cure53 de notre routeur Aircove (juillet 2022)
• Un audit par F-Secure de notre application Windows v12 (avril 2022)
• Un audit de sécurité par F-Secure de notre application Windows v10 (mars 2022)
• Un audit de sécurité par Cure53 de notre protocole VPN Lightway (août 2021)
• Un audit par PwC Suisse sur notre processus de vérification de build (juin 2020)
• Un audit par PwC Suisse du respect de notre politique de confidentialité et de notre technologie interne TrustedServer (juin 2019)
• Un audit de sécurité par Cure53 de notre extension de navigateur (novembre 2018)

Aaron Engel, responsable de cybersécurité chez ExpressVPN, a récemment déclaré :

« Nous sommes heureux que nos systèmes et nos technologies de serveurs aient été examinés par KPMG et Cure53. Les audits réguliers réalisés par des tiers confirment la fiabilité de nos systèmes de sécurité, les résultats du notre travail, ainsi que d’autres initiatives de sécurité telles que notre programme de chasse aux bugs. Ceci nous donne encore plus confiance sur le fait que nous protégeons bien nos utilisateurs. Nous sommes fiers d’être le leader du secteur grâce à la confiance et à la transparence de notre service, et nous avons hâte de publier encore plus d’audits cette année. »

Même si une partie du contenu est toujours dans sa langue d’origine, nous pensons qu’il est pertinent de l’avoir sur le post, nous espérons que vous pourrez toujours en profiter !