Hvordan Reaudit beskytter dine data.

Vores forpligtelse til sikkerhed

Hos Reaudit er sikkerhed vores højeste prioritet. Vi anvender sikkerhedsforanstaltninger på brancheniveau til at beskytte vores data, infrastruktur og drift. Denne side beskriver vores sikkerhedspraksis og -politikker.

1. Datakryptering

1.1 Kryptering under transmission

• TLS 1.3: Alle data under transmission krypteres med TLS 1.3 og stærke cipher suites
• HTTPS Everywhere: Alle forbindelser kræver HTTPS
• Perfect Forward Secrecy: Håndhæves som ekstra beskyttelse

1.2 Kryptering ved lagring

• AES-256: Alle følsomme data krypteres ved lagring
• Databasekryptering: Fuld databasekryptering på feltniveau
• Krypterede backups: Alle backups er krypterede
• Nøglehåndtering: Sikker håndtering af krypteringsnøgler

2. Adgangskontrol

2.1 Autentificering

• OAuth 2.0: Sikker tredjepartsintegration (Google)
• Sessionshåndtering: JWT-sessions med sikre httpOnly-cookies og automatisk udløb (7 dage)
• reCAPTCHA v3: Botbeskyttelse ved autentificering
• Beskyttelse mod brute force: Begrænsning af antal forespørgsler

2.2 Autorisation

• Rollebaseret adgangskontrol (RBAC): Detaljerede tilladelser
• Princippet om mindste privilegium: Brugere har kun den adgang, der er strengt nødvendig
• Dataadskillelse: Streng adskillelse af data mellem kunder
• Auditlogfiler: Omfattende logning af alle adgangshandlinger

3. Infrastruktursikkerhed

3.1 Infrastruktursikkerhed

• MongoDB Atlas: Administreret database med SOC 2- og ISO 27001-certificeringer
• Docker: Containeriseret deployment med automatiske genstartspolitikker
• DDoS Protection: Cloudflare DDoS-beskyttelse og WAF

3.2 Applikationssikkerhed

• Web Application Firewall (WAF): Beskyttelse mod almindelige webangreb
• Inputvalidering: Streng validering af alle brugerinput
• CSRF-beskyttelse: Beskyttelse mod Cross-Site Request Forgery
• Content Security Policy: Håndhævelse af strenge CSP-politikker
• Sikre headers: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 API-sikkerhed

• API-autentificering: API-nøgler med sikker lagring
• Begrænsning af forespørgselsrate: Beskyttelse mod API-misbrug
• API-versionering: Kontrolleret udvikling af API'et
• API-logning: Omfattende logning af alle API-forespørgsler

4. Overvågning og respons

4.1 Overvågning

• Fejlovervågning: Fejlsporing i realtid via Sentry
• Struktureret logning: Central applikationslogning med tidsstempler
• Oppetidsovervågning: Overvågning af tjenestens tilgængelighed

4.2 Håndtering af hændelser

• Beredskabsplan: Dokumenterede procedurer for håndtering af hændelser
• Inddæmning: Hurtig isolering af berørte systemer
• Underretning om brud: Underretning inden for 72 timer i overensstemmelse med GDPR

5. Databeskyttelse

5.1 Databackup

• Automatiske backups: Daglige automatiserede backups via MongoDB Atlas
• Point-in-time recovery: Mulighed for at gendanne data til ethvert tidspunkt
• Kryptering: Alle backups er krypterede

5.2 Datasletning

• Sikker sletning: Kryptografisk sletning af data
• Opbevaringspolitik: Klare politikker for dataopbevaring
• Sletning efter anmodning: Mulighed for at slette brugerdata

6. Sikker udvikling

• Kodegennemgang: Alle kodeændringer gennemgår peer review
• TypeScript Strict Mode: Type-safe kode, der reducerer fejl
• Scanning af afhængigheder: Automatiseret scanning af tredjepartspakker for sårbarheder
• Adskilte miljøer: Separate miljøer til udvikling, staging og produktion

7. Teamsikkerhed

• Fortrolighedsaftaler: Underskrevet af alle teammedlemmer
• Princippet om mindste privilegium: Medlemmer har kun adgang til det, de har brug for
• Tilbagekaldelse af adgang: Øjeblikkelig tilbagekaldelse ved fratræden

8. Compliance og certificeringer

8.1 Nuværende certificeringer

• GDPR: Fuld overholdelse af den generelle forordning om databeskyttelse (GDPR)
• CCPA: Overholdelse af California Consumer Privacy Act
• PCI DSS: Compliance for betalingsbehandling

8.2 Overensstemmelse med standarder

• SOC 2: Sikkerhedskontroller i overensstemmelse med AICPA's Trust Service-kriterier. Formel certificering står på vores køreplan.
• ISO 27001: Sikkerhedspraksis i overensstemmelse med ISO 27001-rammen. Certificering står på vores køreplan.

9. Tredjepartssikkerhed

• Leverandørvurdering: Streng sikkerhedsvurdering
• Databehandleraftaler: Kontrakter med alle databehandlere
• Minimal adgang: Begrænset tredjepartsadgang
• Regelmæssige gennemgange: Løbende overvågning af leverandører

10. Tjenestens tilgængelighed

• Managed Database: MongoDB Atlas med automatisk failover
• Automatisk genstart: Docker-genstartspolitikker til genoprettelse af tjenesten
• CDN: Cloudflare CDN til global indholdslevering

11. Rapportering af sårbarheder

Vi opfordrer til ansvarlig offentliggørelse af sikkerhedssårbarheder. Hvis du opdager en sårbarhed:

• Send en e-mail til [email protected]
• Giv en detaljeret beskrivelse af sårbarheden
• Offentliggør den ikke, før vi har løst problemet
• Undlad at tilgå eller ændre brugerdata

Vi svarer inden for 48 timer og samarbejder med dig om at løse problemet.

12. Kontakt

Har du spørgsmål eller bekymringer om sikkerhed: