Cum protejează Reaudit datele dumneavoastră.

1. Prezentare generală privind securitatea

La Reaudit, securitatea este fundamentală pentru tot ceea ce facem. Implementăm practici de securitate de top în industrie, pentru a vă proteja datele, pentru a păstra integritatea platformei și pentru a asigura continuitatea activității.

Programul nostru de securitate este construit pe principiile:

• Confidențialitate: Protejarea datelor împotriva accesului neautorizat
• Integritate: Asigurarea acurateței datelor și prevenirea modificărilor neautorizate
• Disponibilitate: Menținerea unui acces fiabil la servicii
• Confidențialitatea datelor personale: Respectarea drepturilor utilizatorilor și a legislației privind protecția datelor

2. Criptarea datelor

2.1 Criptarea în tranzit

• TLS 1.3: Toate datele transmise între browserul dumneavoastră și serverele noastre sunt criptate folosind TLS 1.3
• HTTPS Everywhere: Impunem utilizarea HTTPS pentru toate paginile și API-urile
• Perfect Forward Secrecy: Cheile de sesiune sunt efemere și nu pot fi compromise retroactiv

2.2 Criptarea în repaus

• AES-256: Toate datele stocate sunt criptate folosind criptarea AES-256
• Criptarea bazei de date: Criptare în repaus prin MongoDB pentru toate bazele de date
• Stocarea fișierelor: Criptare la nivel de server AWS S3 pentru fișierele încărcate
• Criptarea copiilor de siguranță: Toate copiile de siguranță sunt criptate înainte de stocare
• Gestionarea cheilor: Cheile de criptare sunt gestionate prin AWS KMS, cu rotație automată

2.3 Securitatea parolelor

• Hashing bcrypt: Parolele sunt securizate (hashed) folosind bcrypt, cu salt
• Fără text simplu: Nu stocăm niciodată parolele în text simplu (plain text)
• Cerințe privind parola: Minimum 8 caractere, cu cerințe de complexitate

3. Controlul accesului

3.1 Autentificare

• OAuth 2.0: Autentificare sigură prin terți (Google)
• Gestionarea sesiunilor: Sesiuni bazate pe JWT, cu cookie-uri sigure, httpOnly, și expirare automată (maximum 7 zile)
• reCAPTCHA v3: Protecție împotriva roboților în fluxurile de autentificare
• Limitarea ratei cererilor: Protecție împotriva atacurilor de tip brute force

3.2 Autorizare

• Controlul accesului bazat pe roluri (RBAC): Permisiuni detaliate, în funcție de rolul utilizatorului
• Principiul privilegiului minim: Utilizatorii au doar permisiunile minime necesare
• Izolarea proiectelor: Separarea datelor între diferite proiecte
• Gestionarea cheilor API: Chei API securizate, cu limitări privind domeniul de aplicare (scope)

3.3 Accesul echipei

• Acorduri de confidențialitate: Acorduri de confidențialitate (NDA) semnate de toți membrii echipei
• Principiul privilegiului minim: Membrii echipei au acces doar la ceea ce este necesar pentru rolul lor
• Procesul de offboarding: Revocarea imediată a accesului la plecarea din companie

4. Securitatea infrastructurii

4.1 Infrastructura cloud

• MongoDB Atlas: Hosting gestionat al bazei de date, cu certificare SOC 2 și ISO 27001
• Implementare Docker: Aplicație containerizată, cu politici automate de repornire
• Protecție DDoS: Atenuare a atacurilor DDoS și WAF prin Cloudflare

4.2 Securitatea rețelei

• Cloudflare WAF: Firewall de aplicație web (WAF), care protejează împotriva atacurilor comune
• Terminarea TLS: Cloudflare gestionează terminarea conexiunilor TLS și administrarea certificatelor
• Acces restricționat: Accesul administrativ este restricționat la personalul autorizat

4.3 Securitatea aplicației

• OWASP Top 10: Protecție împotriva vulnerabilităților web comune
• Validarea datelor de intrare: Sanitizarea tuturor datelor introduse de utilizatori
• Prevenirea injecțiilor SQL: Interogări parametrizate și ORM
• Protecție XSS: Politică de securitate a conținutului (Content Security Policy) și codificarea datelor de ieșire
• Protecție CSRF: Token-uri anti-CSRF pe toate formularele
• Scanarea dependențelor: Scanare automată a vulnerabilităților bibliotecilor provenite de la terți

5. Monitorizare și detectare

5.1 Monitorizare

• Monitorizarea erorilor: Urmărirea și alertarea în timp real a erorilor, prin Sentry
• Jurnalizare structurată: Jurnalizare centralizată a aplicației, cu marcaje temporale și context privind utilizatorul
• Monitorizarea disponibilității: Monitorizarea disponibilității serviciului, cu alertare

5.2 Jurnalizare de audit

• Jurnalizare cuprinzătoare: Toate acțiunile sunt jurnalizate cu marcaje temporale și identificatori ai utilizatorilor
• Jurnale imuabile: Jurnale de audit protejate împotriva modificărilor
• Păstrarea jurnalelor: Jurnalele sunt păstrate minimum 1 an
• Rapoarte de conformitate: Jurnalele de audit sunt disponibile pentru verificările de conformitate

5.3 Răspuns la incidente

• Plan de răspuns la incidente: Proceduri documentate pentru incidentele de securitate
• Izolare: Izolarea rapidă a sistemelor afectate
• Notificare: Notificare promptă a utilizatorilor afectați, conform legii (72 de ore, conform GDPR)

6. Protecția datelor

6.1 Minimizarea datelor

Colectăm doar datele necesare pentru a furniza serviciile noastre și ștergem datele atunci când nu mai sunt necesare.

6.2 Separarea datelor

• Separare logică: Datele fiecărui client sunt separate logic
• Izolarea proiectelor: Proiectele din cadrul conturilor sunt izolate
• Controale de acces: Controale stricte care previn accesul la date între clienți diferiți

6.3 Copii de siguranță ale datelor

• Copii de siguranță automate: Copii de siguranță automate zilnice ale tuturor datelor
• Distribuție geografică: Copiile de siguranță sunt stocate în mai multe regiuni
• Criptare: Toate copiile de siguranță sunt criptate în repaus
• Păstrare: Păstrarea copiilor de siguranță timp de 30 de zile
• Testare: Testarea periodică a restaurării copiilor de siguranță

6.4 Ștergerea datelor

• Ștergere sigură: Ștergere criptografică a datelor șterse
• Dreptul la ștergere: Utilizatorii pot solicita ștergerea datelor
• Politici de retenție: Ștergere automată la expirarea perioadei de retenție
• Verificare: Confirmarea eliminării complete a datelor

7. Conformitate și certificări

7.1 Conformitate actuală

• GDPR: Conformitate deplină cu Regulamentul general privind protecția datelor (GDPR) al UE
• CCPA: Conformitate cu California Consumer Privacy Act
• ePrivacy: Conformitate cu Directiva ePrivacy a UE
• PCI DSS: Standardul de securitate a datelor din industria cardurilor de plată (prin Stripe)

7.2 Aliniate la

• Criteriile SOC 2 Trust Service: Controale de securitate aliniate la cadrul AICPA SOC 2. Un audit oficial de tip II se află pe foaia noastră de parcurs (roadmap).
• ISO 27001: Practici de securitate aliniate la cadrul de management al securității informației ISO 27001. Certificarea se află pe foaia noastră de parcurs (roadmap).

8. Testarea securității

8.1 Gestionarea vulnerabilităților

• Scanarea dependențelor: Scanare automată a vulnerabilităților pachetelor provenite de la terți
• Divulgare responsabilă: Invităm cercetătorii în securitate să raporteze vulnerabilități (a se vedea secțiunea 12)
• Gestionarea patch-urilor: Patch-urile critice de securitate sunt aplicate cu promptitudine

8.2 Securitatea codului

• Analiză statică: Scanare automată a securității codului
• Revizuirea codului: Revizuire obligatorie de către colegi (peer review) pentru toate modificările de cod
• Audituri ale dependențelor: Audituri periodice ale vulnerabilităților dependențelor provenite de la terți
• Dezvoltare sigură: Practici de programare sigură conform OWASP

9. Continuitatea activității

9.1 Disponibilitate ridicată

• Bază de date gestionată: MongoDB Atlas, cu failover automat și replicare
• Repornirea containerelor: Politici de repornire Docker, pentru recuperarea automată a serviciului
• CDN: CDN Cloudflare, pentru livrarea și memorarea în cache a conținutului la nivel global

9.2 Copii de siguranță și recuperare

• Copii de siguranță automate: Copii de siguranță automate zilnice ale bazei de date, prin MongoDB Atlas
• Recuperare point-in-time: Posibilitatea de a restaura datele la orice moment din fereastra de backup
• Copii de siguranță criptate: Toate datele din copiile de siguranță sunt criptate în repaus

10. Securitatea terților

Evaluăm cu atenție toți furnizorii terți:

• Evaluarea furnizorilor: Verificare de securitate înainte de integrare
• Verificarea conformității: Confirmarea certificărilor furnizorului
• Obligații contractuale: Acorduri de protecție a datelor cu toți furnizorii
• Revizuiri periodice: Evaluări continue ale securității furnizorilor

11. Dezvoltare sigură

• Revizuirea codului: Toate modificările de cod sunt supuse unei revizuiri de către colegi (peer review), înainte de implementare
• TypeScript Strict Mode: Bază de cod sigură din punctul de vedere al tipurilor (type-safe), care reduce erorile la execuție
• Auditarea dependențelor: Revizuire periodică a vulnerabilităților pachetelor provenite de la terți
• Separarea mediilor: Medii distincte de dezvoltare, testare (staging) și producție

12. Divulgare responsabilă

Invităm cercetătorii în securitate să raporteze vulnerabilitățile în mod responsabil:

13. Actualizări de securitate

Păstrăm transparența în materie de securitate:

• Jurnal de modificări (Changelog): Îmbunătățirile de securitate sunt documentate în notele de lansare
• Centrul de încredere (Trust Center): Informații actualizate privind conformitatea și securitatea, la reaudit.io/trust

14. Contactați echipa de securitate

Pentru întrebări sau preocupări legate de securitate: