Jak Reaudit chrání vaše data.

1. Přehled zabezpečení

V Reaudit je bezpečnost základem všeho, co děláme. Zavádíme špičková bezpečnostní opatření v oboru, abychom chránili vaše data, udržovali integritu platformy a zajistili kontinuitu provozu.

Náš bezpečnostní program je vybudován na následujících zásadách:

• Důvěrnost: ochrana dat před neoprávněným přístupem
• Integrita: zajištění přesnosti dat a prevence jejich neoprávněné úpravy
• Dostupnost: udržování spolehlivého přístupu ke službám
• Soukromí: respektování práv uživatelů a zákonů o ochraně osobních údajů

2. Šifrování dat

2.1 Šifrování při přenosu

• TLS 1.3: veškerá data přenášená mezi vaším prohlížečem a našimi servery jsou šifrována pomocí TLS 1.3
• HTTPS Everywhere: HTTPS vyžadujeme na všech stránkách a API
• Perfect Forward Secrecy: relační klíče jsou efemérní a nelze je zpětně prolomit

2.2 Šifrování v klidu

• AES-256: veškerá uložená data jsou šifrována pomocí šifrování AES-256
• Šifrování databáze: šifrování MongoDB v klidu pro všechny databáze
• Úložiště souborů: šifrování AWS S3 na straně serveru pro nahrané soubory
• Šifrování záloh: všechny zálohy jsou šifrovány před uložením
• Správa klíčů: šifrovací klíče jsou správeny prostřednictvím AWS KMS s automatickou rotací

2.3 Zabezpečení hesel

• Hašování bcrypt: hesla jsou hašována pomocí bcrypt se solí (salt)
• Žádný prostý text: hesla nikdy neukládáme v prostém textu
• Požadavky na heslo: minimálně 8 znaků s požadavky na složitost

3. Řízení přístupu

3.1 Ověřování identity

• OAuth 2.0: bezpečné ověřování třetích stran (Google)
• Správa relací: relace založené na JWT s bezpečnými httpOnly cookies a automatickým vypršením (maximálně 7 dní)
• reCAPTCHA v3: ochrana proti botům v procesech ověřování identity
• Omezování rychlosti požadavků: ochrana proti útokům hrubou silou (brute force)

3.2 Autorizace

• Řízení přístupu na základě rolí (RBAC): podrobná oprávnění na základě rolí uživatelů
• Princip nejmenších oprávnění: uživatelé mají pouze minimálně nezbytná oprávnění
• Izolace projektů: oddělení dat mezi jednotlivými projekty
• Správa API klíčů: bezpečné API klíče s omezením rozsahu

3.3 Přístup týmu

• Dohody o mlčenlivosti: NDA podepsané všemi členy týmu
• Princip nejmenších oprávnění: členové týmu mají přístup pouze v rozsahu nezbytném pro jejich roli
• Odchod ze společnosti: okamžité odebrání přístupu při odchodu

4. Zabezpečení infrastruktury

4.1 Cloudová infrastruktura

• MongoDB Atlas: spravovaný hosting databáze s certifikacemi SOC 2 a ISO 27001
• Nasazení v Docker: kontejnerizovaná aplikace s automatizovanými zásadami restartu
• Ochrana proti DDoS: zmírňování DDoS útoků a WAF od Cloudflare

4.2 Zabezpečení sítě

• Cloudflare WAF: Web Application Firewall chránící před běžnými útoky
• Ukončování TLS: Cloudflare zajišťuje ukončování TLS spojení a správu certifikátů
• Omezený přístup: administrativní přístup omezen na oprávněné osoby

4.3 Zabezpečení aplikace

• OWASP Top 10: ochrana proti běžným webovým zranitelnostem
• Validace vstupů: sanitizace veškerých uživatelských vstupů
• Prevence SQL injection: parametrizované dotazy a ORM
• Ochrana proti XSS: Content Security Policy a kódování výstupů
• Ochrana proti CSRF: anti-CSRF tokeny u všech formulářů
• Skenování závislostí: automatizované skenování zranitelností knihoven třetích stran

5. Monitorování a detekce

5.1 Monitorování

• Monitorování chyb: sledování chyb v reálném čase a upozorňování prostřednictvím Sentry
• Strukturované logování: centralizované logování aplikace s časovými razítky a kontextem uživatele
• Monitorování dostupnosti: sledování dostupnosti služby s upozorňováním

5.2 Protokoly auditu

• Komplexní logování: veškeré akce jsou zaznamenávány s časovými razítky a ID uživatelů
• Nezměnitelné protokoly: auditní stopy zabezpečené proti manipulaci
• Uchovávání protokolů: protokoly jsou uchovávány minimálně po dobu 1 roku
• Zprávy pro účely souladu: auditní protokoly jsou k dispozici pro kontroly souladu s předpisy

5.3 Reakce na incidenty

• Plán reakce na incidenty: zdokumentované postupy pro bezpečnostní incidenty
• Izolace: rychlá izolace zasažených systémů
• Oznámení: včasné oznámení dotčeným uživatelům, jak vyžaduje zákon (do 72 hodin podle GDPR)

6. Ochrana dat

6.1 Minimalizace dat

Shromažďujeme pouze data nezbytná k poskytování našich služeb a mažeme data, jakmile již nejsou potřebná.

6.2 Oddělení dat

• Logické oddělení: data každého zákazníka jsou logicky oddělena
• Izolace projektů: projekty v rámci účtů jsou izolovány
• Řízení přístupu: striktní kontroly zabraňují přístupu k datům jiných zákazníků

6.3 Zálohování dat

• Automatické zálohy: denní automatizované zálohy všech dat
• Geografická distribuce: zálohy jsou uloženy v několika regionech
• Šifrování: všechny zálohy jsou šifrovány v klidu
• Uchovávání: doba uchovávání záloh je 30 dnů
• Testování: pravidelné testování obnovy ze záloh

6.4 Mazání dat

• Bezpečné mazání: kryptografické smazání smazaných dat
• Právo na smazání: uživatelé mohou požádat o smazání dat
• Zásady uchovávání: automatické smazání po uplynutí doby uchovávání
• Ověření: potvrzení úplného odstranění dat

7. Soulad s předpisy a certifikace

7.1 Současný soulad s předpisy

• GDPR: plný soulad s obecným nařízením o ochraně osobních údajů (GDPR) Evropské unie
• CCPA: soulad s kalifornským zákonem o ochraně soukromí spotřebitelů (CCPA)
• ePrivacy: soulad se směrnicí EU o soukromí v elektronických komunikacích (ePrivacy)
• PCI DSS: standard zabezpečení dat v odvětví platebních karet (prostřednictvím Stripe)

7.2 Sladění s normami

• SOC 2 Trust Service Criteria: bezpečnostní kontroly sladěné s rámcem AICPA SOC 2. Formální audit typu II je na našem plánu.
• ISO 27001: bezpečnostní postupy sladěné s rámcem řízení bezpečnosti informací ISO 27001. Certifikace je na našem plánu.

8. Bezpečnostní testování

8.1 Řízení zranitelností

• Skenování závislostí: automatizované skenování zranitelností balíčků třetích stran
• Odpovědné zveřejňování: vítáme bezpečnostní výzkumníky, kteří nám chtějí nahlásit zranitelnosti (viz část 12)
• Správa oprav: kritické bezpečnostní opravy jsou nasazovány neprodleně

8.2 Zabezpečení kódu

• Statická analýza: automatizované skenování bezpečnosti kódu
• Kontroly kódu: povinné peer review u všech změn kódu
• Audity závislostí: pravidelné audity závislostí třetích stran
• Bezpečný vývoj: postupy bezpečného programování podle OWASP

9. Kontinuita provozu

9.1 Vysoká dostupnost

• Spravovaná databáze: MongoDB Atlas s automatickým přepnutím při selhání (failover) a replikací
• Restart kontejnerů: zásady restartu Docker pro automatické obnovení služby
• CDN: Cloudflare CDN pro globální distribuci obsahu a cachování

9.2 Zálohování a obnova

• Automatické zálohy: denní automatizované zálohy databáze prostřednictvím MongoDB Atlas
• Obnovení k určitému bodu v čase: možnost obnovit data k jakémukoli bodu v rámci okna zálohování
• Šifrované zálohy: veškerá data záloh jsou šifrována v klidu

10. Bezpečnost třetích stran

Všechny dodavatele třetích stran pečlivě prověřujeme:

• Hodnocení dodavatelů: bezpečnostní posouzení před integrací
• Ověření souladu: potvrzení certifikací dodavatele
• Smluvní povinnosti: smlouvy o ochraně dat se všemi dodavateli
• Pravidelné kontroly: průběžné bezpečnostní posuzování dodavatelů

11. Bezpečný vývoj

• Kontrola kódu: všechny změny kódu procházejí před nasazením peer review
• TypeScript Strict Mode: typově bezpečná kódová základna snižující počet chyb za běhu
• Audity závislostí: pravidelná kontrola zranitelností balíčků třetích stran
• Oddělení prostředí: samostatná vývojová, testovací (staging) a produkční prostředí

12. Odpovědné zveřejňování

Vítáme bezpečnostní výzkumníky, kteří nám odpovědně nahlásí zranitelnosti:

13. Bezpečnostní aktualizace

Udržujeme transparentnost ohledně bezpečnosti:

• Changelog: bezpečnostní zlepšení jsou zdokumentována v poznámkách k vydání
• Trust Center: aktuální informace o souladu s předpisy a bezpečnosti na adrese reaudit.io/trust

14. Kontakt na bezpečnostní tým

V případě bezpečnostních dotazů nebo obav: