Ako Reaudit chráni vaše údaje.

Náš záväzok k bezpečnosti

V Reaudit je bezpečnosť našou najvyššou prioritou. Zavádzame bezpečnostné opatrenia na priemyselnej úrovni na ochranu našich údajov, infraštruktúry a prevádzky. Táto stránka popisuje naše bezpečnostné postupy a politiky.

1. Šifrovanie údajov

1.1 Šifrovanie pri prenose

• TLS 1.3: Všetky údaje pri prenose sú šifrované pomocou TLS 1.3 so silnými kryptografickými sadami
• HTTPS Everywhere: Všetky pripojenia vyžadujú HTTPS
• Perfect Forward Secrecy: Uplatňuje sa na dodatočnú ochranu

1.2 Šifrovanie v pokoji

• AES-256: Všetky citlivé údaje sú šifrované v pokoji
• Šifrovanie databázy: Kompletné šifrovanie databázy na úrovni polí
• Šifrované zálohy: Všetky zálohy sú šifrované
• Správa kľúčov: Bezpečná správa šifrovacích kľúčov

2. Kontrola prístupu

2.1 Overovanie identity

• OAuth 2.0: Bezpečná integrácia tretích strán (Google)
• Správa relácií: JWT sessions s bezpečnými, httpOnly cookies a automatickým vypršaním (7 dní)
• reCAPTCHA v3: Ochrana pred botmi pri overovaní identity
• Ochrana pred brute force: Obmedzenie rýchlosti požiadaviek

2.2 Autorizácia

• Kontrola prístupu na základe rolí (RBAC): Podrobné oprávnenia
• Princíp minimálneho oprávnenia: Používatelia majú minimálny potrebný prístup
• Oddelenie údajov: Prísne oddelenie údajov medzi zákazníkmi
• Záznamy auditu: Kompletné zaznamenávanie všetkých prístupových akcií

3. Bezpečnosť infraštruktúry

3.1 Bezpečnosť infraštruktúry

• MongoDB Atlas: Spravovaná databáza s certifikáciami SOC 2 a ISO 27001
• Docker: Containerized deployment s automatickými politikami reštartu
• DDoS Protection: Cloudflare ochrana pred DDoS a WAF

3.2 Bezpečnosť aplikácií

• Web Application Firewall (WAF): Ochrana pred bežnými webovými útokmi
• Validácia vstupov: Striktná validácia všetkých používateľských vstupov
• Ochrana CSRF: Ochrana pred Cross-Site Request Forgery
• Content Security Policy: Presadzovanie striktných politík CSP
• Bezpečnostné hlavičky: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 Bezpečnosť API

• Autentifikácia API: API kľúče s bezpečným ukladaním
• Obmedzenie rýchlosti: Ochrana pred zneužitím API
• Verzionovanie API: Kontrolovaný vývoj API
• Logovanie API: Komplexné logovanie všetkých požiadaviek API

4. Monitorovanie a reakcia

4.1 Monitorovanie

• Monitorovanie chýb: Monitorovanie chýb v reálnom čase prostredníctvom Sentry
• Štruktúrované logovanie: Centrálne logovanie aplikácie s časovými značkami
• Monitorovanie dostupnosti: Monitorovanie dostupnosti služby

4.2 Reakcia na incidenty

• Plán reakcie: Zdokumentované postupy reakcie na incidenty
• Izolácia: Rýchla izolácia ovplyvnených systémov
• Oznámenie o narušení: Oznámenie do 72 hodín v súlade s GDPR

5. Ochrana údajov

5.1 Zálohovanie údajov

• Automatické zálohy: Denné automatizované zálohy prostredníctvom MongoDB Atlas
• Obnovenie k bodu v čase: Možnosť obnoviť údaje k akémukoľvek bodu
• Šifrovanie: Všetky zálohy sú šifrované

5.2 Vymazanie údajov

• Bezpečné vymazanie: Kryptografické vymazanie údajov
• Politika uchovávania: Jasné politiky uchovávania údajov
• Vymazanie na požiadanie: Schopnosť vymazať údaje používateľov

6. Bezpečný vývoj

• Kontrola kódu: Všetky zmeny kódu podliehajú peer review
• TypeScript Strict Mode: Type-safe kód, ktorý znižuje počet chýb
• Skenovanie závislostí: Automatizované skenovanie zraniteľností balíkov tretích strán
• Oddelenie prostredí: Samostatné prostredia pre vývoj, staging a produkciu

7. Bezpečnosť tímu

• Dohody o dôvernosti: Podpísané všetkými členmi tímu
• Princíp minimálneho oprávnenia: Členovia majú prístup len k nevyhnutným údajom
• Odobratie prístupu: Okamžité odobratie pri odchode

8. Súlad a certifikácie

8.1 Aktuálne certifikácie

• GDPR: Úplný súlad s Všeobecným nariadením o ochrane údajov
• CCPA: Súlad so zákonom California Consumer Privacy Act
• PCI DSS: Súlad pre spracovanie platieb

8.2 Zhoda s normami

• SOC 2: Bezpečnostné kontroly v súlade s kritériami AICPA Trust Service. Oficiálna certifikácia je v našom pláne.
• ISO 27001: Bezpečnostné postupy v súlade s rámcom ISO 27001. Certifikácia je v našom pláne.

9. Bezpečnosť tretích strán

• Hodnotenie dodávateľov: Prísne bezpečnostné hodnotenie
• Dohody o spracovaní údajov: Zmluvy so všetkými spracovateľmi
• Minimálny prístup: Obmedzený prístup tretích strán
• Pravidelné revízie: Priebežné monitorovanie dodávateľov

10. Dostupnosť služby

• Managed Database: MongoDB Atlas s automatickým failover
• Automatický reštart: Docker restart policies na obnovenie služby
• CDN: Cloudflare CDN pre globálne doručovanie obsahu

11. Nahlasovanie zraniteľností

Podporujeme zodpovedné zverejňovanie bezpečnostných zraniteľností. Ak objavíte zraniteľnosť:

• Pošlite e-mail na [email protected]
• Poskytnite podrobný opis zraniteľnosti
• Nezverejňujte ju, kým problém nevyriešime
• Neprístupujte k používateľským údajom ani ich neupravujte

Odpovieme do 48 hodín a budeme spolupracovať na vyriešení problému.

12. Kontakt

V prípade otázok alebo obáv týkajúcich sa bezpečnosti: