Kako Reaudit štiti vaše podatke.

1. Pregled sigurnosti

U Reauditu je sigurnost temelj svega što radimo. Provodimo vodeće sigurnosne prakse u industriji radi zaštite vaših podataka, održavanja integriteta platforme i osiguranja kontinuiteta poslovanja.

Naš sigurnosni program izgrađen je na načelima:

• Povjerljivosti: Zaštita podataka od neovlaštenog pristupa
• Integriteta: Osiguravanje točnosti podataka i sprječavanje neovlaštenih izmjena
• Dostupnosti: Održavanje pouzdanog pristupa uslugama
• Privatnosti: Poštovanje prava korisnika i propisa o zaštiti podataka

2. Enkripcija podataka

2.1 Enkripcija u prijenosu

• TLS 1.3: Svi podaci koji se prenose između vašeg preglednika i naših poslužitelja šifriraju se korištenjem TLS 1.3
• HTTPS Everywhere: HTTPS provodimo na svim stranicama i API-jima
• Perfect Forward Secrecy: Ključevi sesije su privremeni i ne mogu se retroaktivno kompromitirati

2.2 Enkripcija u mirovanju

• AES-256: Svi pohranjeni podaci šifriraju se korištenjem AES-256 enkripcije
• Enkripcija baze podataka: Enkripcija u mirovanju za sve baze podataka putem MongoDB Atlasa
• Pohrana datoteka: AWS S3 server-side enkripcija za učitane datoteke
• Enkripcija sigurnosnih kopija: Sve sigurnosne kopije šifriraju se prije pohrane
• Upravljanje ključevima: Ključevi za enkripciju upravljaju se putem AWS KMS s automatskom rotacijom

2.3 Sigurnost lozinki

• Bcrypt hashiranje: Lozinke se hashiraju korištenjem bcrypta sa saltom
• Nema čistog teksta: Lozinke nikada ne pohranjujemo u čistom tekstu
• Zahtjevi za lozinku: Najmanje 8 znakova uz zahtjeve za složenost

3. Kontrole pristupa

3.1 Autentifikacija

• OAuth 2.0: Sigurna autentifikacija putem trećih strana (Google)
• Upravljanje sesijama: Sesije temeljene na JWT-u sa sigurnim, httpOnly kolačićima i automatskim istekom (najviše 7 dana)
• reCAPTCHA v3: Zaštita od botova u tijekovima autentifikacije
• Ograničavanje brzine zahtjeva: Zaštita od napada grubom silom

3.2 Autorizacija

• Kontrola pristupa temeljena na ulogama (RBAC): Detaljna dopuštenja na temelju uloga korisnika
• Načelo najmanjih privilegija: Korisnici imaju minimalno nužna dopuštenja
• Izolacija projekata: Razdvajanje podataka između različitih projekata
• Upravljanje API ključevima: Sigurni API ključevi s ograničenjima opsega

3.3 Pristup tima

• Ugovori o povjerljivosti: NDA-ove potpisuju svi članovi tima
• Načelo najmanjih privilegija: Članovi tima imaju samo pristup potreban za svoju ulogu
• Prekid suradnje: Trenutno oduzimanje pristupa pri odlasku

4. Sigurnost infrastrukture

4.1 Cloud infrastruktura

• MongoDB Atlas: Upravljani hosting baze podataka sa SOC 2 i ISO 27001 certifikacijom
• Docker Deployment: Kontejnerizirana aplikacija s automatiziranim politikama ponovnog pokretanja
• DDoS zaštita: Cloudflare zaštita od DDoS napada i WAF

4.2 Sigurnost mreže

• Cloudflare WAF: Web Application Firewall koji štiti od uobičajenih napada
• TLS terminacija: Cloudflare upravlja TLS terminacijom i certifikatima
• Ograničen pristup: Administrativni pristup ograničen na ovlašteno osoblje

4.3 Sigurnost aplikacija

• OWASP Top 10: Zaštita od uobičajenih web ranjivosti
• Validacija unosa: Sanitizacija svih korisničkih unosa
• Sprječavanje SQL injekcije: Parametrizirani upiti i ORM
• XSS zaštita: Content Security Policy i kodiranje izlaznih podataka
• CSRF zaštita: Anti-CSRF tokeni na svim obrascima
• Skeniranje ovisnosti: Automatizirano skeniranje ranjivosti biblioteka trećih strana

5. Nadzor i otkrivanje

5.1 Nadzor

• Praćenje pogrešaka: Praćenje pogrešaka i upozoravanje u stvarnom vremenu putem Sentryja
• Strukturirano zapisivanje: Centralizirano zapisivanje aplikacije s vremenskim oznakama i korisničkim kontekstom
• Praćenje dostupnosti: Praćenje dostupnosti usluge s upozoravanjem

5.2 Revizijsko zapisivanje

• Sveobuhvatno zapisivanje: Sve radnje zapisuju se s vremenskim oznakama i ID-ovima korisnika
• Nepromjenjivi zapisi: Revizijski tragovi otporni na neovlaštene izmjene
• Čuvanje zapisa: Zapisi se čuvaju najmanje 1 godinu
• Izvješća o usklađenosti: Revizijski zapisi dostupni za preglede usklađenosti

5.3 Odgovor na incidente

• Plan odgovora na incidente: Dokumentirani postupci za sigurnosne incidente
• Sprječavanje širenja: Brza izolacija zahvaćenih sustava
• Obavještavanje: Pravodobno obavještavanje pogođenih korisnika kako zahtijeva zakon (72 sata za Opću uredbu o zaštiti podataka (GDPR))

6. Zaštita podataka

6.1 Minimizacija podataka

Prikupljamo samo podatke nužne za pružanje naših usluga i brišemo podatke kada više nisu potrebni.

6.2 Razdvajanje podataka

• Logičko razdvajanje: Podaci svakog korisnika logički su odvojeni
• Izolacija projekata: Projekti unutar računa su izolirani
• Kontrole pristupa: Stroge kontrole sprječavaju pristup podacima drugih korisnika

6.3 Sigurnosne kopije podataka

• Automatizirane sigurnosne kopije: Dnevne automatizirane sigurnosne kopije svih podataka
• Geografska distribucija: Sigurnosne kopije pohranjene u više regija
• Enkripcija: Sve sigurnosne kopije šifrirane su u mirovanju
• Čuvanje: Čuvanje sigurnosnih kopija 30 dana
• Testiranje: Redovito testiranje obnove sigurnosnih kopija

6.4 Brisanje podataka

• Sigurno brisanje: Kriptografsko brisanje obrisanih podataka
• Pravo na brisanje: Korisnici mogu zatražiti brisanje podataka
• Politike čuvanja: Automatsko brisanje nakon razdoblja čuvanja
• Provjera: Potvrda potpunog uklanjanja podataka

7. Usklađenost i certifikati

7.1 Trenutna usklađenost

• GDPR: Potpuna usklađenost s Općom uredbom o zaštiti podataka (GDPR) Europske unije
• CCPA: Usklađenost s California Consumer Privacy Act
• ePrivacy: Usklađenost s ePrivacy Direktivom EU
• PCI DSS: Payment Card Industry Data Security Standard (putem Stripea)

7.2 Usklađeno s

• SOC 2 Trust Service Criteria: Sigurnosne kontrole usklađene s AICPA SOC 2 okvirom. Formalna revizija tipa II dio je našeg plana razvoja.
• ISO 27001: Sigurnosne prakse usklađene s okvirom upravljanja sigurnošću informacija ISO 27001. Certifikacija je dio našeg plana razvoja.

8. Sigurnosno testiranje

8.1 Upravljanje ranjivostima

• Skeniranje ovisnosti: Automatizirano skeniranje ranjivosti paketa trećih strana
• Odgovorno otkrivanje: Pozivamo sigurnosne istraživače da prijave ranjivosti (vidi odjeljak 12.)
• Upravljanje zakrpama: Kritične sigurnosne zakrpe primjenjuju se pravodobno

8.2 Sigurnost koda

• Statička analiza: Automatizirano sigurnosno skeniranje koda
• Pregledi koda: Obvezan recenzijski pregled za sve izmjene koda
• Revizije ovisnosti: Redoviti pregledi ovisnosti trećih strana
• Siguran razvoj: OWASP prakse sigurnog kodiranja

9. Kontinuitet poslovanja

9.1 Visoka dostupnost

• Upravljana baza podataka: MongoDB Atlas s automatskim failoverom i replikacijom
• Ponovno pokretanje kontejnera: Docker politike ponovnog pokretanja za automatski oporavak usluge
• CDN: Cloudflare CDN za globalnu distribuciju sadržaja i predmemoriranje

9.2 Sigurnosne kopije i oporavak

• Automatizirane sigurnosne kopije: Dnevne automatizirane sigurnosne kopije baze podataka putem MongoDB Atlasa
• Oporavak na točku u vremenu: Mogućnost vraćanja podataka na bilo koju točku unutar razdoblja sigurnosnih kopija
• Šifrirane sigurnosne kopije: Svi podaci sigurnosnih kopija šifrirani su u mirovanju

10. Sigurnost trećih strana

Pažljivo provjeravamo sve dobavljače trećih strana:

• Procjena dobavljača: Sigurnosni pregled prije integracije
• Provjera usklađenosti: Potvrda certifikata dobavljača
• Ugovorne obveze: Ugovori o zaštiti podataka sa svim dobavljačima
• Redoviti pregledi: Kontinuirane sigurnosne procjene dobavljača

11. Siguran razvoj

• Pregled koda: Sve izmjene koda prolaze recenzijski pregled prije implementacije
• TypeScript Strict Mode: Sigurna tipizacija koda koja smanjuje pogreške tijekom izvođenja
• Revizija ovisnosti: Redoviti pregled ranjivosti paketa trećih strana
• Razdvajanje okruženja: Odvojena razvojna, staging i produkcijska okruženja

12. Odgovorno otkrivanje

Pozivamo sigurnosne istraživače da odgovorno prijave ranjivosti:

13. Sigurnosna ažuriranja

Održavamo transparentnost u pogledu sigurnosti:

• Changelog: Sigurnosna poboljšanja dokumentirana u bilješkama o izdanju
• Trust Center: Aktualne informacije o usklađenosti i sigurnosti na reaudit.io/trust

14. Kontakt sigurnosnog tima

Za sigurnosna pitanja ili nedoumice: