Как Reaudit защитава Вашите данни.

Прочетете практиките за сигурност, контролите за достъп и ангажиментите, които защитават данните на клиентите.

Сигурността като ежедневна практика.

Посетете нашия Trust Center за цялостен преглед на нашите контроли за сигурност, статус на съответствие и документи за политиките.

Нашият ангажимент към защитата на Вашите данни

Това е превод, предоставен за удобство. При различия предимство има английската версия на този документ.

1. Общ преглед на сигурността

В Reaudit сигурността е основата на всичко, което правим. Прилагаме водещи в индустрията практики за сигурност, за да защитим Вашите данни, да поддържаме целостта на платформата и да гарантираме непрекъснатост на дейността.

Нашата програма за сигурност се изгражда върху принципите на:

Поверителност: Защита на данните от неоторизиран достъп
Цялостност: Гарантиране на точността на данните и предотвратяване на подправянето им
Наличност: Поддържане на надежден достъп до услугите
Защита на личните данни: Уважение към правата на потребителите и законите за защита на данните

2. Криптиране на данните

2.1 Криптиране при предаване

TLS 1.3: Всички данни, предавани между Вашия браузър и нашите сървъри, се криптират с TLS 1.3
HTTPS навсякъде: Прилагаме HTTPS на всички страници и API
Perfect Forward Secrecy: Ключовете на сесията са временни и не могат да бъдат компрометирани с обратна дата

2.2 Криптиране в покой

AES-256: Всички съхранени данни се криптират с криптиране AES-256
Криптиране на базата данни: Криптиране в покой на MongoDB за всички бази данни
Съхранение на файлове: Криптиране на страната на сървъра в AWS S3 за качените файлове
Криптиране на резервните копия: Всички резервни копия се криптират преди съхранение
Управление на ключовете: Ключовете за криптиране се управляват чрез AWS KMS с автоматична ротация

2.3 Сигурност на паролите

Хеширане с bcrypt: Паролите се хешират с bcrypt и сол (salt)
Без обикновен текст: Никога не съхраняваме пароли в обикновен текст
Изисквания за паролите: Минимум 8 знака с изисквания за сложност

3. Контрол на достъпа

3.1 Удостоверяване

OAuth 2.0: Сигурно удостоверяване чрез трета страна (Google)
Управление на сесиите: Сесии на базата на JWT със сигурни, httpOnly бисквитки и автоматично изтичане (максимум 7 дни)
reCAPTCHA v3: Защита от ботове при процесите на удостоверяване
Ограничаване на честотата на заявките: Защита срещу груба атака (brute force)

3.2 Оторизация

Контрол на достъпа въз основа на роли (RBAC): Детайлни права въз основа на ролите на потребителя
Принцип на най-малко необходимите права: Потребителите имат само минимално необходимия достъп
Изолация на проектите: Разделяне на данните между различните проекти
Управление на API ключове: Сигурни API ключове с ограничения на обхвата

3.3 Достъп на екипа

Споразумения за поверителност: Подписани от всички членове на екипа
Принцип на най-малко необходимите права: Членовете на екипа имат достъп само до необходимото за тяхната роля
Напускане на служители: Незабавно отнемане на достъпа при напускане

4. Сигурност на инфраструктурата

4.1 Облачна инфраструктура

MongoDB Atlas: Управляван хостинг на базата данни със сертификация SOC 2 и ISO 27001
Внедряване чрез Docker: Контейнеризирано приложение с автоматизирани политики за рестартиране
DDoS защита: Защита от DDoS атаки и WAF на Cloudflare

4.2 Мрежова сигурност

WAF на Cloudflare: Защитна стена за уеб приложения (WAF), защитаваща срещу често срещани атаки
Прекратяване на TLS: Cloudflare обработва прекратяването на TLS и управлението на сертификати
Ограничен достъп: Административният достъп е ограничен само за оторизиран персонал

4.3 Сигурност на приложенията

OWASP Top 10: Защита срещу често срещани уеб уязвимости
Валидиране на входните данни: Саниране на всички потребителски входни данни
Предотвратяване на SQL инжекция: Параметризирани заявки и ORM
Защита от XSS: Политика за сигурност на съдържанието (CSP) и кодиране на изходните данни
Защита от CSRF: Anti-CSRF токени във всички формуляри
Сканиране на зависимости: Автоматизирано сканиране за уязвимости в библиотеки на трети страни

5. Мониторинг и откриване

5.1 Мониторинг

Мониторинг на грешки: Проследяване на грешки в реално време и уведомяване чрез Sentry
Структурирано логване: Централизирано логване на приложението с времеви печати и контекст на потребителя
Мониторинг на достъпността: Мониторинг на наличността на услугата с уведомяване

5.2 Одиторски регистри

Изчерпателно регистриране: Всички действия се регистрират с времеви печати и идентификатори на потребителя
Непроменяеми регистри: Защитени от подправяне одиторски следи
Съхранение на регистрите: Регистрите се съхраняват минимум 1 година
Отчети за съответствие: Одиторските регистри са на разположение за прегледи на съответствието

5.3 Реакция при инциденти

План за реакция при инциденти: Документирани процедури за инциденти със сигурността
Ограничаване: Бързо изолиране на засегнатите системи
Уведомяване: Своевременно уведомяване на засегнатите потребители съгласно изискванията на закона (72 часа съгласно GDPR)

6. Защита на данните

6.1 Минимизиране на данните

Събираме само данните, необходими за предоставянето на нашите услуги, и изтриваме данните, когато вече не са необходими.

6.2 Разделяне на данните

Логическо разделяне: Данните на всеки клиент са логически разделени
Изолация на проектите: Проектите в рамките на акаунтите са изолирани
Контрол на достъпа: Строг контрол предотвратява достъпа до данни между различни клиенти

6.3 Резервно копиране на данните

Автоматизирани резервни копия: Ежедневни автоматизирани резервни копия на всички данни
Географско разпределение: Резервните копия се съхраняват в множество региони
Криптиране: Всички резервни копия се криптират
Съхранение: 30-дневен период на съхранение на резервните копия
Тестване: Редовно тестване на възстановяването от резервни копия

6.4 Изтриване на данни

Сигурно изтриване: Криптографско заличаване на изтритите данни
Право на изтриване: Потребителите могат да поискат изтриване на данни
Политики за съхранение: Автоматично изтриване след изтичането на периода на съхранение
Проверка: Потвърждение на пълното премахване на данните

7. Съответствие и сертификати

7.1 Текущо съответствие

GDPR: Пълно съответствие с Общия регламент относно защитата на данните (GDPR) на ЕС
CCPA: Съответствие с California Consumer Privacy Act
ePrivacy: Съответствие с Директивата на ЕС за електронна поверителност (ePrivacy)
PCI DSS: Стандарт за сигурност на данните в индустрията на картови плащания (чрез Stripe)

7.2 Съобразени с

Критерии на доверените услуги по SOC 2: Контроли за сигурност, съобразени с рамката AICPA SOC 2. Официален одит Type II е в нашия пътен план.
ISO 27001: Практики за сигурност, съобразени с рамката за управление на информационната сигурност ISO 27001. Сертификацията е в нашия пътен план.

8. Тестване на сигурността

8.1 Управление на уязвимостите

Сканиране на зависимости: Автоматизирано сканиране за уязвимости в пакети на трети страни
Отговорно разкриване: Приветстваме изследователите на сигурността да докладват уязвимости (вж. раздел 12)
Управление на кръпки: Критичните кръпки за сигурност се прилагат своевременно

8.2 Сигурност на кода

Статичен анализ: Автоматизирано сканиране на сигурността на кода
Прегледи на кода: Задължителен партньорски преглед (peer review) за всички промени в кода
Одити на зависимостите: Редовни одити на зависимостите от трети страни
Сигурна разработка: Практики за сигурно писане на код по OWASP

9. Непрекъснатост на дейността

9.1 Висока наличност

Управлявана база данни: MongoDB Atlas с автоматичен failover и репликация
Рестартиране на контейнерите: Политики за рестартиране на Docker за автоматично възстановяване на услугата
CDN: CDN на Cloudflare за глобално разпространение и кеширане на съдържание

9.2 Резервно копиране и възстановяване

Автоматизирани резервни копия: Ежедневни автоматизирани резервни копия на базата данни чрез MongoDB Atlas
Възстановяване към определен момент: Възможност за възстановяване на данните към всеки момент в рамките на периода на резервно копиране
Криптирани резервни копия: Всички данни от резервните копия се криптират в покой

10. Сигурност на трети страни

Внимателно проверяваме всички доставчици от трети страни:

Оценка на доставчиците: Преглед на сигурността преди интеграция
Проверка на съответствието: Потвърждаване на сертификатите на доставчика
Договорни задължения: Споразумения за защита на данните с всички доставчици
Редовни прегледи: Непрекъснати оценки на сигурността на доставчиците

11. Сигурна разработка

Преглед на кода: Всички промени в кода преминават партньорски преглед преди внедряването
Strict Mode на TypeScript: Типово безопасна база код, намаляваща грешките по време на изпълнение
Одит на зависимостите: Редовен преглед на уязвимостите в пакети на трети страни
Разделяне на средите: Отделни среди за разработка, staging и продукция

12. Отговорно разкриване

Приветстваме изследователите на сигурността да докладват уязвимости отговорно:

Докладвайте проблеми със сигурността:

Имейл: [email protected]

Време за реакция:

Първоначален отговор в рамките на 24 часа
Актуализация на статуса в рамките на 72 часа
Срок за решаване, предоставен в рамките на 1 седмица

13. Актуализации на сигурността

Поддържаме прозрачност относно сигурността:

Дневник на промените: Подобренията в сигурността се документират в бележките към версиите
Trust Center: Актуална информация за съответствието и сигурността на reaudit.io/trust