Miten Reaudit suojaa tietosi.

Sitoutumisemme tietoturvaan

Reauditille tietoturva on ykkösprioriteetti. Käytämme alan tason turvatoimia suojataksemme tietojamme, infrastruktuuriamme ja toimintaamme. Tällä sivulla kuvataan tietoturvakäytäntömme ja -periaatteemme.

1. Tietojen salaus

1.1 Salaus siirrossa

• TLS 1.3: Kaikki siirrettävä data salataan TLS 1.3 -protokollalla ja vahvoilla salausalgoritmeilla
• HTTPS Everywhere: Kaikki yhteydet edellyttävät HTTPS:ää
• Perfect Forward Secrecy: Käytössä lisäsuojaa varten

1.2 Salaus levossa

• AES-256: Kaikki arkaluonteiset tiedot salataan levossa
• Tietokannan salaus: Täysi tietokannan salaus kenttätasolla
• Salatut varmuuskopiot: Kaikki varmuuskopiot salataan
• Avainten hallinta: Salausavainten turvallinen hallinta

2. Pääsynhallinta

2.1 Todennus

• OAuth 2.0: Turvallinen kolmannen osapuolen kirjautuminen (Google)
• Istunnonhallinta: JWT-istunnot suojatuilla httpOnly-evästeillä ja automaattisella vanhenemisella (7 päivää)
• reCAPTCHA v3: Bottisuojaus todennuksen yhteydessä
• Brute force -suojaus: Pyyntötiheyden rajoitus

2.2 Valtuutus

• Roolipohjainen pääsynhallinta (RBAC): Hienojakoiset oikeudet
• Vähimpien oikeuksien periaate: Käyttäjillä on vain välttämätön pääsy
• Tietojen erottelu: Asiakkaiden tiedot erotetaan tiukasti toisistaan
• Tarkastuslokit: Kattava kirjaus kaikista pääsytoimista

3. Infrastruktuurin turvallisuus

3.1 Infrastruktuurin turvallisuus

• MongoDB Atlas: Hallinnoitu tietokanta SOC 2- ja ISO 27001 -sertifioinneilla
• Docker: Konttipohjainen käyttöönotto automaattisilla uudelleenkäynnistyskäytännöillä
• DDoS Protection: Cloudflaren DDoS-suojaus ja WAF

3.2 Sovellusten turvallisuus

• Web Application Firewall (WAF): Suojaus yleisiltä verkkohyökkäyksiltä
• Syötteen validointi: Kaikkien käyttäjän syötteiden tiukka validointi
• CSRF-suojaus: Suojaus Cross-Site Request Forgery -hyökkäyksiltä
• Content Security Policy: Tiukkojen CSP-käytäntöjen käyttö
• Suojatut otsikot: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 API-turvallisuus

• API-todennus: API-avaimet turvallisella tallennuksella
• Pyyntötiheyden rajoitus: Suojaus API:n väärinkäytöltä
• API-versiointi: Hallittu API:n kehitys
• API-kirjaus: Kattava kirjaus kaikista API-pyynnöistä

4. Seuranta ja reagointi

4.1 Seuranta

• Virheseuranta: Reaaliaikainen virheseuranta Sentryn avulla
• Rakenteinen lokitus: Keskitetty sovelluslokitus aikaleimoin
• Käytettävyyden seuranta: Palvelun käytettävyyden seuranta

4.2 Häiriötilanteisiin reagointi

• Toimintasuunnitelma: Dokumentoidut menettelyt häiriötilanteisiin
• Eristäminen: Vaikutuksen kohteena olevien järjestelmien nopea eristäminen
• Tietoturvaloukkausilmoitus: Ilmoitus 72 tunnin kuluessa GDPR:n mukaisesti

5. Tietosuoja

5.1 Tietojen varmuuskopiointi

• Automaattiset varmuuskopiot: Päivittäiset automaattiset varmuuskopiot MongoDB Atlasin kautta
• Point-in-time-palautus: Tiedot voidaan palauttaa mihin tahansa ajankohtaan
• Salaus: Kaikki varmuuskopiot salataan

5.2 Tietojen poistaminen

• Turvallinen poistaminen: Tietojen kryptografinen poistaminen
• Säilytyskäytäntö: Selkeät tietojen säilytyskäytännöt
• Poisto pyynnöstä: Kyky poistaa käyttäjien tiedot

6. Turvallinen kehitys

• Koodikatselmointi: Kaikki koodimuutokset käyvät läpi vertaiskatselmoinnin
• TypeScript Strict Mode: Tyyppiturvallinen koodi, joka vähentää virheitä
• Riippuvuuksien skannaus: Kolmansien osapuolten pakettien haavoittuvuuksien automaattinen skannaus
• Ympäristöjen erottelu: Erilliset kehitys-, staging- ja tuotantoympäristöt

7. Tiimin turvallisuus

• Salassapitosopimukset: Kaikkien tiimin jäsenten allekirjoittamat
• Vähimpien oikeuksien periaate: Jäsenillä on pääsy vain tarvittavaan
• Käyttöoikeuksien peruutus: Välitön peruutus tiimistä lähdettäessä

8. Vaatimustenmukaisuus ja sertifioinnit

8.1 Nykyiset sertifioinnit

• GDPR: Täysi yleisen tietosuoja-asetuksen (GDPR) mukaisuus
• CCPA: California Consumer Privacy Act -lain mukaisuus
• PCI DSS: Maksujen käsittelyn vaatimustenmukaisuus

8.2 Standardien mukaisuus

• SOC 2: Tietoturvakontrollit on kohdistettu AICPA:n Trust Service -kriteereihin. Virallinen sertifiointi on tiekartallamme.
• ISO 27001: Tietoturvakäytännöt on kohdistettu ISO 27001 -viitekehykseen. Sertifiointi on tiekartallamme.

9. Kolmansien osapuolten turvallisuus

• Toimittajien arviointi: Tiukka tietoturva-arviointi
• Tietojenkäsittelysopimukset: Sopimukset kaikkien käsittelijöiden kanssa
• Vähimmäispääsy: Kolmansien osapuolten rajoitettu pääsy
• Säännölliset katselmoinnit: Toimittajien jatkuva seuranta

10. Palvelun käytettävyys

• Managed Database: MongoDB Atlas automaattisella vikasietoisuudella
• Automaattinen uudelleenkäynnistys: Dockerin uudelleenkäynnistyskäytännöt palvelun palauttamiseksi
• CDN: Cloudflare CDN sisällön maailmanlaajuiseen jakeluun

11. Haavoittuvuuksien ilmoittaminen

Kannustamme vastuulliseen tietoturvahaavoittuvuuksien ilmoittamiseen. Jos löydät haavoittuvuuden:

• Lähetä sähköpostia osoitteeseen [email protected]
• Anna yksityiskohtainen kuvaus haavoittuvuudesta
• Älä paljasta sitä julkisesti, ennen kuin olemme korjanneet ongelman
• Älä käytä tai muokkaa käyttäjien tietoja

Vastaamme 48 tunnin kuluessa ja teemme yhteistyötä ongelman ratkaisemiseksi.

12. Yhteystiedot

Tietoturvaa koskevissa kysymyksissä tai huolenaiheissa: