Hogyan védi a Reaudit az adataidat.

1. Biztonsági áttekintés

A Reauditnál a biztonság alapvető fontosságú mindenben, amit teszünk. Iparágvezető biztonsági gyakorlatokat alkalmazunk az Ön adatainak védelme, a platform integritásának megőrzése és a működés folytonosságának biztosítása érdekében.

Biztonsági programunk a következő elveken alapul:

• Bizalmasság: Az adatok védelme a jogosulatlan hozzáféréstől
• Sértetlenség: Az adatok pontosságának biztosítása és a manipuláció megakadályozása
• Elérhetőség: A szolgáltatásokhoz való megbízható hozzáférés fenntartása
• Adatvédelem: A felhasználói jogok és az adatvédelmi jogszabályok tiszteletben tartása

2. Adattitkosítás

2.1 Átvitel közbeni titkosítás

• TLS 1.3: Az Ön böngészője és szervereink között továbbított valamennyi adat TLS 1.3 titkosítással van védve
• HTTPS mindenhol: Minden oldalon és API-n kikényszerítjük a HTTPS használatát
• Perfect Forward Secrecy: A munkamenetkulcsok ideiglenesek, és utólag nem tehetők veszélyeztetetté

2.2 Nyugalmi állapotú titkosítás

• AES-256: Minden tárolt adat AES-256 titkosítással van védve
• Adatbázis-titkosítás: Nyugalmi állapotú MongoDB-titkosítás valamennyi adatbázisnál
• Fájltárolás: AWS S3 szerveroldali titkosítás a feltöltött fájlokhoz
• Biztonsági mentések titkosítása: Minden biztonsági mentés titkosítva kerül tárolásra
• Kulcskezelés: A titkosítási kulcsokat az AWS KMS kezeli, automatikus rotációval

2.3 Jelszóbiztonság

• Bcrypt hash-elés: A jelszavak bcrypt algoritmussal, salt alkalmazásával kerülnek hash-elésre
• Nincs egyszerű szöveg: A jelszavakat soha nem tároljuk egyszerű szöveges formátumban
• Jelszókövetelmények: Minimum 8 karakter, összetettségi követelményekkel

3. Hozzáférés-ellenőrzés

3.1 Hitelesítés

• OAuth 2.0: Biztonságos, harmadik féltől származó hitelesítés (Google)
• Munkamenet-kezelés: JWT-alapú munkamenetek biztonságos, httpOnly cookie-kkal és automatikus lejárattal (maximum 7 nap)
• reCAPTCHA v3: Botvédelem a hitelesítési folyamatokban
• Sebességkorlátozás: Védelem a brute force támadások ellen

3.2 Jogosultságkezelés

• Szerepkör-alapú hozzáférés-vezérlés (RBAC): Részletes jogosultságok a felhasználói szerepkörök alapján
• A legkisebb jogosultság elve: A felhasználók a szükséges minimális jogosultságokkal rendelkeznek
• Projektelkülönítés: Az adatok elkülönítése a különböző projektek között
• API-kulcskezelés: Biztonságos API-kulcsok, hatókör-korlátozásokkal

3.3 A csapat hozzáférése

• Titoktartási megállapodások: A csapat minden tagja titoktartási megállapodást (NDA) ír alá
• A legkisebb jogosultság elve: A csapattagok csak a szerepükhöz szükséges hozzáféréssel rendelkeznek
• Kilépési eljárás: Azonnali hozzáférés-visszavonás a munkaviszony megszűnésekor

4. Az infrastruktúra biztonsága

4.1 Felhőinfrastruktúra

• MongoDB Atlas: Felügyelt adatbázis-hosting SOC 2 és ISO 27001 tanúsítvánnyal
• Docker-alapú telepítés: Konténerizált alkalmazás automatizált újraindítási szabályzatokkal
• DDoS-védelem: Cloudflare DDoS-elhárítás és WAF

4.2 Hálózati biztonság

• Cloudflare WAF: Webalkalmazás-tűzfal a gyakori támadások elleni védelemhez
• TLS-megszüntetés: A Cloudflare kezeli a TLS-megszüntetést és a tanúsítványkezelést
• Korlátozott hozzáférés: Az adminisztratív hozzáférés az arra jogosult munkavállalókra korlátozva

4.3 Alkalmazásbiztonság

• OWASP Top 10: Védelem a gyakori webes sebezhetőségek ellen
• Bemenet-ellenőrzés: Valamennyi felhasználói bemenet tisztítása (sanitization)
• SQL-injekció megelőzése: Paraméterezett lekérdezések és ORM használata
• XSS-védelem: Content Security Policy és kimeneti kódolás
• CSRF-védelem: CSRF elleni tokenek minden űrlapon
• Függőségvizsgálat: Harmadik féltől származó könyvtárak automatizált sebezhetőségvizsgálata

5. Megfigyelés és felderítés

5.1 Megfigyelés

• Hibamegfigyelés: Valós idejű hibakövetés és riasztás a Sentry segítségével
• Strukturált naplózás: Központosított alkalmazásnaplózás időbélyegekkel és felhasználói kontextussal
• Üzemidő-megfigyelés: A szolgáltatás elérhetőségének megfigyelése riasztással

5.2 Auditnaplózás

• Átfogó naplózás: Minden művelet naplózása időbélyeggel és felhasználói azonosítóval
• Megváltoztathatatlan naplók: Manipulációbiztos auditnyomok
• Naplómegőrzés: A naplók legalább 1 évig megőrizve
• Megfelelőségi jelentések: Az auditnaplók elérhetők megfelelőségi felülvizsgálatokhoz

5.3 Incidensreagálás

• Incidensreagálási terv: Dokumentált eljárások a biztonsági incidensekre
• Elhatárolás: Az érintett rendszerek gyors elkülönítése
• Értesítés: Az érintett felhasználók időben történő értesítése a jogszabályi előírások szerint (az általános adatvédelmi rendelet (GDPR) esetén 72 órán belül)

6. Adatvédelem

6.1 Adatminimalizálás

Kizárólag a szolgáltatásaink biztosításához szükséges adatokat gyűjtjük, és töröljük az adatokat, amikor azokra már nincs szükség.

6.2 Adatelkülönítés

• Logikai elkülönítés: Minden ügyfél adatai logikailag elkülönítve vannak
• Projektelkülönítés: A fiókon belüli projektek elkülönítve vannak
• Hozzáférés-ellenőrzés: Szigorú ellenőrzések akadályozzák meg az ügyfelek közötti adathozzáférést

6.3 Adatmentés

• Automatikus mentések: Valamennyi adat napi automatikus mentése
• Földrajzi eloszlás: A mentések több régióban kerülnek tárolásra
• Titkosítás: Minden mentés nyugalmi állapotban titkosítva van
• Megőrzés: 30 napos mentésmegőrzési időszak
• Tesztelés: A mentések visszaállításának rendszeres tesztelése

6.4 Adattörlés

• Biztonságos törlés: A törölt adatok kriptográfiai megsemmisítése
• Törléshez való jog: A felhasználók kérhetik adataik törlését
• Megőrzési szabályzatok: Automatikus törlés a megőrzési időszak lejártával
• Ellenőrzés: Az adatok teljes eltávolításának megerősítése

7. Megfelelőség és tanúsítványok

7.1 Jelenlegi megfelelőség

• Általános adatvédelmi rendelet (GDPR): Teljes megfelelés az EU általános adatvédelmi rendeletének
• CCPA: Megfelelés a California Consumer Privacy Actnek
• ePrivacy: Megfelelés az EU ePrivacy irányelvének
• PCI DSS: A Payment Card Industry Data Security Standard követelményeinek való megfelelés (a Stripe-on keresztül)

7.2 Az alábbiakkal összhangban

• SOC 2 Trust Service Criteria: Biztonsági ellenőrzéseink az AICPA SOC 2 keretrendszerével összhangban állnak. A hivatalos Type II audit szerepel az ütemtervünkön.
• ISO 27001: Biztonsági gyakorlataink az ISO 27001 információbiztonság-irányítási keretrendszerével összhangban állnak. A tanúsítás szerepel az ütemtervünkön.

8. Biztonsági tesztelés

8.1 Sebezhetőségkezelés

• Függőségvizsgálat: Harmadik féltől származó csomagok automatizált sebezhetőségvizsgálata
• Felelősségteljes nyilvánosságra hozatal: Örömmel fogadjuk biztonsági kutatók sebezhetőségi bejelentéseit (lásd a 12. szakaszt)
• Javításkezelés: A kritikus biztonsági javítások haladéktalan alkalmazása

8.2 Kódbiztonság

• Statikus elemzés: Automatizált kódbiztonsági vizsgálat
• Kódellenőrzés: Minden kódváltozás esetén kötelező szakmai felülvizsgálat
• Függőségi auditok: A harmadik féltől származó függőségek rendszeres auditálása
• Biztonságos fejlesztés: Az OWASP biztonságos kódolási gyakorlatai

9. Üzletmenet-folytonosság

9.1 Magas rendelkezésre állás

• Felügyelt adatbázis: MongoDB Atlas automatikus failoverrel és replikációval
• Konténer-újraindítás: Docker újraindítási szabályzatok az automatikus szolgáltatás-helyreállításhoz
• CDN: Cloudflare CDN a globális tartalomkézbesítéshez és gyorsítótárazáshoz

9.2 Mentés és helyreállítás

• Automatikus mentések: Napi automatikus adatbázis-mentések a MongoDB Atlason keresztül
• Pont időbeli helyreállítás (Point-in-Time Recovery): Az adatok helyreállítása a mentési időszak bármely pontjára
• Titkosított mentések: Valamennyi mentési adat nyugalmi állapotban titkosítva

10. Harmadik felek biztonsága

Valamennyi harmadik féltől származó szolgáltatót alaposan átvilágítunk:

• Szállítói értékelés: Biztonsági felülvizsgálat az integráció előtt
• Megfelelőség-ellenőrzés: A szállítói tanúsítványok megerősítése
• Szerződéses kötelezettségek: Adatvédelmi megállapodások valamennyi szállítóval
• Rendszeres felülvizsgálatok: Folyamatos szállítói biztonsági értékelések

11. Biztonságos fejlesztés

• Kódellenőrzés: Minden kódváltozás szakmai felülvizsgálaton esik át a telepítés előtt
• TypeScript Strict Mode: Típusbiztos kódbázis, amely csökkenti a futásidejű hibákat
• Függőségi audit: A harmadik féltől származó csomagok sebezhetőségeinek rendszeres felülvizsgálata
• Környezetek elkülönítése: Különálló fejlesztési, staging és éles környezetek

12. Felelősségteljes nyilvánosságra hozatal

Örömmel fogadjuk, ha biztonsági kutatók felelősségteljesen jelentik be az általuk talált sebezhetőségeket:

13. Biztonsági frissítések

Átláthatóságot biztosítunk a biztonsággal kapcsolatban:

• Changelog: A biztonsági fejlesztések a kiadási megjegyzésekben dokumentálva
• Trust Center: Naprakész megfelelőségi és biztonsági információk a reaudit.io/trust oldalon

14. Kapcsolat a biztonsági csapattal

Biztonsággal kapcsolatos kérdések vagy aggályok esetén: