Jak Reaudit chroni Twoje dane.

1. Przegląd bezpieczeństwa

W Reaudit bezpieczeństwo jest fundamentem wszystkiego, co robimy. Wdrażamy wiodące w branży praktyki bezpieczeństwa, aby chronić Twoje dane, zachować integralność platformy i zapewnić ciągłość działania.

Nasz program bezpieczeństwa oparty jest na następujących zasadach:

• Poufność: Ochrona danych przed nieautoryzowanym dostępem
• Integralność: Zapewnienie dokładności danych i zapobieganie ich manipulacji
• Dostępność: Zapewnienie wiarygodnego dostępu do usług
• Prywatność: Respektowanie praw użytkowników i przepisów o ochronie danych

2. Szyfrowanie danych

2.1 Szyfrowanie w tranzycie

• TLS 1.3: Wszystkie dane przesyłane między Twoją przeglądarką a naszymi serwerami są szyfrowane przy użyciu TLS 1.3
• HTTPS Everywhere: Wymuszamy HTTPS na wszystkich stronach i API
• Perfect Forward Secrecy: Klucze sesji są efemeryczne i nie mogą zostać retroaktywnie skompromitowane

2.2 Szyfrowanie w spoczynku

• AES-256: Wszystkie przechowywane dane są szyfrowane przy użyciu AES-256
• Szyfrowanie bazy danych: Szyfrowanie MongoDB w spoczynku dla wszystkich baz danych
• Przechowywanie plików: Szyfrowanie po stronie serwera AWS S3 dla przesyłanych plików
• Szyfrowanie kopii zapasowych: Wszystkie kopie zapasowe są szyfrowane przed przechowaniem
• Zarządzanie kluczami: Klucze szyfrowania są zarządzane za pomocą AWS KMS z automatyczną rotacją

2.3 Bezpieczeństwo haseł

• Hashowanie bcrypt: Hasła są hashowane za pomocą bcrypt z użyciem soli (salt)
• Brak tekstu jawnego: Nigdy nie przechowujemy haseł w postaci tekstu jawnego
• Wymagania dotyczące hasła: Minimum 8 znaków, z wymogami dotyczącymi złożoności

3. Kontrole dostępu

3.1 Uwierzytelnianie

• OAuth 2.0: Bezpieczne uwierzytelnianie zewnętrzne (Google)
• Zarządzanie sesjami: Sesje oparte na JWT z bezpiecznymi plikami cookie httpOnly i automatycznym wygaśnięciem (maksymalnie 7 dni)
• reCAPTCHA v3: Ochrona przed botami w procesach uwierzytelniania
• Ograniczanie liczby żądań: Ochrona przed atakami typu brute force

3.2 Autoryzacja

• Kontrola dostępu oparta na rolach (RBAC): Szczegółowe uprawnienia oparte na rolach użytkowników
• Zasada najmniejszych uprawnień: Użytkownicy mają minimalny niezbędny dostęp
• Izolacja projektów: Rozdzielenie danych między różnymi projektami
• Zarządzanie kluczami API: Bezpieczne klucze API z ograniczeniami zakresu

3.3 Dostęp zespołu

• Umowy o zachowaniu poufności: Umowy NDA podpisane przez wszystkich członków zespołu
• Zasada najmniejszych uprawnień: Członkowie zespołu mają dostęp tylko do tego, co jest niezbędne do ich roli
• Odbiór dostępu: Natychmiastowe odebranie dostępu przy zakończeniu współpracy

4. Bezpieczeństwo infrastruktury

4.1 Infrastruktura w chmurze

• MongoDB Atlas: Zarządzany hosting baz danych z certyfikacją SOC 2 i ISO 27001
• Wdrożenie w Dockerze: Skonteneryzowana aplikacja z automatycznymi politykami restartu
• Ochrona przed DDoS: Ochrona przed DDoS i WAF od Cloudflare

4.2 Bezpieczeństwo sieci

• Cloudflare WAF: Web Application Firewall chroniący przed typowymi atakami
• Terminacja TLS: Cloudflare zarządza terminacją TLS i certyfikatami
• Ograniczony dostęp: Dostęp administracyjny ograniczony do upoważnionego personelu

4.3 Bezpieczeństwo aplikacji

• OWASP Top 10: Ochrona przed typowymi lukami w zabezpieczeniach stron internetowych
• Walidacja danych wejściowych: Sanityzacja wszystkich danych wprowadzanych przez użytkownika
• Zapobieganie wstrzyknięciom SQL: Zapytania parametryzowane i ORM
• Ochrona przed XSS: Content Security Policy i kodowanie danych wyjściowych
• Ochrona CSRF: Tokeny anty-CSRF we wszystkich formularzach
• Skanowanie zależności: Automatyczne skanowanie podatności bibliotek firm trzecich

5. Monitorowanie i wykrywanie

5.1 Monitorowanie

• Monitorowanie błędów: Śledzenie błędów i powiadomienia w czasie rzeczywistym za pomocą Sentry
• Logowanie strukturalne: Scentralizowane logowanie aplikacji ze znacznikami czasu i kontekstem użytkownika
• Monitorowanie dostępności: Monitorowanie dostępności usługi z powiadomieniami

5.2 Logowanie audytowe

• Kompleksowe logowanie: Wszystkie działania są logowane ze znacznikami czasu i identyfikatorami użytkowników
• Niezmienne logi: Odporne na manipulację ścieżki audytu
• Przechowywanie logów: Logi przechowywane co najmniej 1 rok
• Raporty zgodności: Logi audytowe dostępne do celów przeglądów zgodności

5.3 Reagowanie na incydenty

• Plan reagowania na incydenty: Udokumentowane procedury postępowania w przypadku incydentów bezpieczeństwa
• Izolacja: Szybka izolacja zaatakowanych systemów
• Powiadomienie: Terminowe powiadomienie poszkodowanych użytkowników zgodnie z wymogami prawa (72 godziny w przypadku RODO)

6. Ochrona danych

6.1 Minimalizacja danych

Gromadzimy tylko dane niezbędne do świadczenia naszych usług i usuwamy dane, gdy nie są już potrzebne.

6.2 Segregacja danych

• Separacja logiczna: Dane każdego klienta są logicznie rozdzielone
• Izolacja projektów: Projekty w ramach kont są izolowane
• Kontrole dostępu: Rygorystyczne kontrole zapobiegają dostępowi do danych między klientami

6.3 Kopie zapasowe danych

• Automatyczne kopie zapasowe: Codzienne automatyczne kopie zapasowe wszystkich danych
• Rozproszenie geograficzne: Kopie zapasowe przechowywane w wielu regionach
• Szyfrowanie: Wszystkie kopie zapasowe są szyfrowane w spoczynku
• Przechowywanie: 30-dniowy okres przechowywania kopii zapasowych
• Testowanie: Regularne testowanie przywracania z kopii zapasowych

6.4 Usuwanie danych

• Bezpieczne usuwanie: Kryptograficzne usuwanie usuwanych danych
• Prawo do usunięcia: Użytkownicy mogą zażądać usunięcia danych
• Polityki przechowywania: Automatyczne usuwanie po zakończeniu okresu przechowywania
• Weryfikacja: Potwierdzenie całkowitego usunięcia danych

7. Zgodność i certyfikacje

7.1 Aktualna zgodność

• RODO: Pełna zgodność z unijnym ogólnym rozporządzeniem o ochronie danych (RODO)
• CCPA: Zgodność z California Consumer Privacy Act
• ePrivacy: Zgodność z unijną dyrektywą ePrivacy
• PCI DSS: Payment Card Industry Data Security Standard (za pośrednictwem Stripe)

7.2 Zgodność z

• SOC 2 Trust Service Criteria: Kontrole bezpieczeństwa zgodne z ramami AICPA SOC 2. Formalny audyt Type II znajduje się w naszym planie rozwoju.
• ISO 27001: Praktyki bezpieczeństwa zgodne z ramami zarządzania bezpieczeństwem informacji ISO 27001. Certyfikacja znajduje się w naszym planie rozwoju.

8. Testowanie bezpieczeństwa

8.1 Zarządzanie podatnościami

• Skanowanie zależności: Automatyczne skanowanie podatności pakietów firm trzecich
• Odpowiedzialne ujawnianie: Zachęcamy badaczy bezpieczeństwa do odpowiedzialnego zgłaszania podatności (zob. sekcja 12)
• Zarządzanie poprawkami: Krytyczne poprawki bezpieczeństwa są wdrażane niezwłocznie

8.2 Bezpieczeństwo kodu

• Analiza statyczna: Automatyczne skanowanie bezpieczeństwa kodu
• Przeglądy kodu: Obowiązkowy peer review dla wszystkich zmian w kodzie
• Audyty zależności: Regularne audyty zależności firm trzecich
• Bezpieczny rozwój: Praktyki bezpiecznego kodowania OWASP

9. Ciągłość działania

9.1 Wysoka dostępność

• Zarządzana baza danych: MongoDB Atlas z automatycznym failover i replikacją
• Restart kontenerów: Polityki restartu Dockera dla automatycznego przywracania usługi
• CDN: Cloudflare CDN do globalnego dostarczania i buforowania treści

9.2 Kopie zapasowe i przywracanie

• Automatyczne kopie zapasowe: Codzienne automatyczne kopie zapasowe bazy danych za pośrednictwem MongoDB Atlas
• Przywracanie do punktu w czasie: Możliwość przywrócenia danych do dowolnego punktu w oknie kopii zapasowych
• Szyfrowane kopie zapasowe: Wszystkie dane kopii zapasowych są szyfrowane w spoczynku

10. Bezpieczeństwo podmiotów trzecich

Starannie weryfikujemy wszystkich dostawców zewnętrznych:

• Ocena dostawców: Przegląd bezpieczeństwa przed integracją
• Weryfikacja zgodności: Potwierdzenie certyfikacji dostawcy
• Obowiązki umowne: Umowy o ochronie danych z wszystkimi dostawcami
• Regularne przeglądy: Ciągłe oceny bezpieczeństwa dostawców

11. Bezpieczny rozwój oprogramowania

• Przegląd kodu: Wszystkie zmiany w kodzie przechodzą peer review przed wdrożeniem
• TypeScript Strict Mode: Baza kodu bezpieczna typowo, ograniczająca błędy w czasie wykonania
• Audytowanie zależności: Regularny przegląd podatności pakietów firm trzecich
• Rozdzielenie środowisk: Odrębne środowiska deweloperskie, staging i produkcyjne

12. Odpowiedzialne ujawnianie

Zachęcamy badaczy bezpieczeństwa do odpowiedzialnego zgłaszania podatności:

13. Aktualizacje bezpieczeństwa

Zachowujemy transparentność w zakresie bezpieczeństwa:

• Changelog: Ulepszenia bezpieczeństwa dokumentowane w notatkach o wydaniach
• Trust Center: Aktualne informacje o zgodności i bezpieczeństwie na reaudit.io/trust

14. Kontakt z zespołem bezpieczeństwa

W przypadku pytań lub wątpliwości dotyczących bezpieczeństwa: