Slik beskytter Reaudit dataene dine.

Vårt sikkerhetsløfte

Hos Reaudit er sikkerhet vår høyeste prioritet. Vi bruker sikkerhetstiltak på bransjens nivå for å beskytte data, infrastruktur og drift. Denne siden beskriver sikkerhetspraksisen og retningslinjene våre.

1. Datakryptering

1.1 Kryptering under overføring

• TLS 1.3: All data under overføring krypteres med TLS 1.3 og sterke krypteringssuiter
• HTTPS Everywhere: Alle tilkoblinger krever HTTPS
• Perfect Forward Secrecy: Brukes for ekstra beskyttelse

1.2 Kryptering i hvile

• AES-256: All sensitiv data krypteres i hvile
• Databasekryptering: Full databasekryptering på feltnivå
• Krypterte sikkerhetskopier: Alle sikkerhetskopier er kryptert
• Nøkkelhåndtering: Sikker håndtering av krypteringsnøkler

2. Tilgangskontroll

2.1 Autentisering

• OAuth 2.0: Sikker tredjepartsintegrasjon (Google)
• Øktadministrasjon: JWT-økter med sikre httpOnly-informasjonskapsler og automatisk utløp (7 dager)
• reCAPTCHA v3: Beskyttelse mot roboter ved autentisering
• Beskyttelse mot brute force: Begrensning av forespørselshastighet

2.2 Autorisasjon

• Rollebasert tilgangskontroll (RBAC): Detaljerte tilganger
• Prinsippet om minste privilegium: Brukere har kun den tilgangen de trenger
• Dataisolasjon: Strengt skille mellom kundenes data
• Revisjonslogger: Omfattende logging av alle tilgangshandlinger

3. Infrastruktursikkerhet

3.1 Infrastruktursikkerhet

• MongoDB Atlas: Administrert database med SOC 2- og ISO 27001-sertifiseringer
• Docker: Containerisert utrulling med automatiske retningslinjer for omstart
• DDoS Protection: DDoS-beskyttelse og WAF fra Cloudflare

3.2 Applikasjonssikkerhet

• Web Application Firewall (WAF): Beskyttelse mot vanlige nettangrep
• Inndatavalidering: Streng validering av all brukerinndata
• CSRF-beskyttelse: Beskyttelse mot Cross-Site Request Forgery
• Content Security Policy: Håndheving av strenge CSP-retningslinjer
• Sikre headere: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 API-sikkerhet

• API-autentisering: API-nøkler med sikker lagring
• Hastighetsbegrensning: Beskyttelse mot API-misbruk
• API-versjonering: Kontrollert videreutvikling av API-et
• API-logging: Omfattende logging av alle API-forespørsler

4. Overvåking og respons

4.1 Overvåking

• Feilsporing: Feilsporing i sanntid via Sentry
• Strukturert logging: Sentral applikasjonslogging med tidsstempler
• Oppetidsovervåking: Overvåking av tjenestens tilgjengelighet

4.2 Håndtering av hendelser

• Beredskapsplan: Dokumenterte prosedyrer for håndtering av hendelser
• Avgrensning: Rask isolering av berørte systemer
• Varsling ved brudd: Varsling innen 72 timer i samsvar med GDPR

5. Databeskyttelse

5.1 Sikkerhetskopiering av data

• Automatiske sikkerhetskopier: Daglige automatiske sikkerhetskopier via MongoDB Atlas
• Point-in-time-gjenoppretting: Mulighet til å gjenopprette data til et hvilket som helst tidspunkt
• Kryptering: Alle sikkerhetskopier er kryptert

5.2 Sletting av data

• Sikker sletting: Kryptografisk sletting av data
• Retningslinjer for lagring: Tydelige retningslinjer for lagring av data
• Sletting på forespørsel: Mulighet til å slette brukerdata

6. Sikker utvikling

• Kodegjennomgang: Alle kodeendringer gjennomgår fagfellevurdering
• TypeScript Strict Mode: Typesikker kode som reduserer feil
• Avhengighetsskanning: Automatisk skanning av tredjepartspakker for sårbarheter
• Atskilte miljøer: Separate miljøer for utvikling, staging og produksjon

7. Teamsikkerhet

• Taushetsavtaler: Signert av alle teammedlemmer
• Prinsippet om minste privilegium: Medlemmene har kun tilgang til det de trenger
• Tilbaketrekking av tilgang: Umiddelbar tilbaketrekking når noen slutter

8. Etterlevelse og sertifiseringer

8.1 Gjeldende sertifiseringer

• GDPR: Full etterlevelse av personvernforordningen (GDPR)
• CCPA: Etterlevelse av California Consumer Privacy Act
• PCI DSS: Etterlevelse for betalingsbehandling

8.2 Tilpasning til standarder

• SOC 2: Sikkerhetskontroller tilpasset AICPAs Trust Service Criteria. Formell sertifisering står på veikartet vårt.
• ISO 27001: Sikkerhetspraksis tilpasset rammeverket ISO 27001. Sertifisering står på veikartet vårt.

9. Tredjepartssikkerhet

• Leverandørvurdering: Streng sikkerhetsvurdering
• Databehandleravtaler: Avtaler med alle databehandlere
• Minimal tilgang: Begrenset tredjepartstilgang
• Jevnlige gjennomganger: Kontinuerlig overvåking av leverandører

10. Tjenestetilgjengelighet

• Managed Database: MongoDB Atlas med automatisk failover
• Automatisk omstart: Docker restart policies for gjenoppretting av tjenesten
• CDN: Cloudflare CDN for global innholdslevering

11. Rapportering av sårbarheter

Vi oppfordrer til ansvarlig varsling om sikkerhetssårbarheter. Hvis du oppdager en sårbarhet:

• Send en e-post til [email protected]
• Gi en detaljert beskrivelse av sårbarheten
• Ikke offentliggjør den før vi har rettet problemet
• Ikke få tilgang til eller endre brukerdata

Vi svarer innen 48 timer og samarbeider med deg om å løse problemet.

12. Kontakt

For sikkerhetsspørsmål eller bekymringer: