Kako Reaudit ščiti vaše podatke.

Naša zaveza k varnosti

V podjetju Reaudit je varnost naša najvišja prioriteta. Izvajamo varnostne ukrepe na ravni industrije za zaščito podatkov, infrastrukture in delovanja. Ta stran opisuje naše varnostne prakse in politike.

1. Šifriranje podatkov

1.1 Šifriranje med prenosom

• TLS 1.3: Vsi podatki med prenosom so šifrirani z uporabo TLS 1.3 z močnimi kriptografskimi paketi
• HTTPS Everywhere: Vse povezave zahtevajo HTTPS
• Perfect Forward Secrecy: Uporablja se za dodatno zaščito

1.2 Šifriranje v mirovanju

• AES-256: Vsi občutljivi podatki so šifrirani v mirovanju
• Šifriranje baze podatkov: Celovito šifriranje baze podatkov na ravni polj
• Šifrirane varnostne kopije: Vse varnostne kopije so šifrirane
• Upravljanje ključev: Varno upravljanje šifrirnih ključev

2. Nadzor dostopa

2.1 Preverjanje pristnosti

• OAuth 2.0: Varna integracija tretjih oseb (Google)
• Upravljanje sej: JWT seje z varnimi piškotki httpOnly in samodejnim potekom (7 dni)
• reCAPTCHA v3: Zaščita pred boti med preverjanjem pristnosti
• Zaščita pred brute force: Omejevanje hitrosti zahtev

2.2 Pooblastila

• Nadzor dostopa na podlagi vlog (RBAC): Podrobna dovoljenja
• Načelo najmanjših pravic: Uporabniki imajo najmanjši potreben dostop
• Ločevanje podatkov: Strogo ločevanje podatkov med strankami
• Revizijske sledi: Celovito beleženje vseh dejanj dostopa

3. Varnost infrastrukture

3.1 Varnost infrastrukture

• MongoDB Atlas: Upravljana baza podatkov s certifikati SOC 2 in ISO 27001
• Docker: Namestitev v vsebnike z samodejnimi pravilniki ponovnega zagona
• DDoS Protection: Cloudflare zaščita pred DDoS in WAF

3.2 Varnost aplikacij

• Web Application Firewall (WAF): Zaščita pred pogostimi spletnimi napadi
• Preverjanje vnosov: Strogo preverjanje vseh uporabniških vnosov
• Zaščita CSRF: Zaščita pred Cross-Site Request Forgery
• Politika varnosti vsebine: Uveljavljanje strogih politik CSP
• Varnostne glave: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 Varnost API

• Preverjanje pristnosti API: Ključi API z varno shrambo
• Omejevanje hitrosti: Zaščita pred zlorabo API
• Različice API: Nadzorovana evolucija API
• Beleženje API: Celovito beleženje vseh zahtevkov API

4. Spremljanje in odzivanje

4.1 Spremljanje

• Spremljanje napak: Spremljanje napak v realnem času prek Sentry
• Strukturirano beleženje: Centralno beleženje aplikacije s časovnimi žigi
• Spremljanje razpoložljivosti: Spremljanje razpoložljivosti storitve

4.2 Odzivanje na incidente

• Načrt odzivanja: Dokumentirani postopki odzivanja na incidente
• Izolacija: Hitra izolacija prizadetih sistemov
• Obveščanje o kršitvi: Obveščanje v 72 urah v skladu z GDPR

5. Zaščita podatkov

5.1 Varnostne kopije podatkov

• Samodejne varnostne kopije: Dnevne samodejne varnostne kopije prek MongoDB Atlas
• Obnovitev na določeno točko v času: Možnost obnovitve podatkov na katero koli točko
• Šifriranje: Vse varnostne kopije so šifrirane

5.2 Brisanje podatkov

• Varno brisanje: Kriptografsko brisanje podatkov
• Politika hrambe: Jasne politike hrambe podatkov
• Brisanje na zahtevo: Zmožnost brisanja uporabniških podatkov

6. Varen razvoj

• Pregled kode: Vse spremembe kode so predmet medsebojnega pregleda
• TypeScript Strict Mode: Type-safe koda, ki zmanjšuje napake
• Skeniranje odvisnosti: Avtomatizirano skeniranje ranljivosti paketov tretjih oseb
• Ločevanje okolij: Ločena razvojna, staging in produkcijska okolja

7. Varnost ekipe

• Dogovori o zaupnosti: Podpisani s strani vseh članov ekipe
• Načelo najmanjših pravic: Člani imajo dostop le do nujno potrebnih podatkov
• Preklic dostopa: Takojšen preklic ob prenehanju sodelovanja

8. Skladnost in certifikati

8.1 Trenutni certifikati

• GDPR: Popolna skladnost s Splošno uredbo o varstvu podatkov
• CCPA: Skladnost z California Consumer Privacy Act
• PCI DSS: Skladnost za obdelavo plačil

8.2 Usklajenost s standardi

• SOC 2: Varnostni pregledi, usklajeni z merili AICPA Trust Service. Uradna certifikacija je na našem načrtu.
• ISO 27001: Varnostne prakse, usklajene z okvirom ISO 27001. Certifikacija je na našem načrtu.

9. Varnost tretjih oseb

• Ocena dobaviteljev: Stroga varnostna ocena
• Dogovori o obdelavi podatkov: Pogodbe z vsemi obdelovalci
• Najmanjši dostop: Omejen dostop tretjih oseb
• Redni pregledi: Nenehno spremljanje dobaviteljev

10. Razpoložljivost storitve

• Managed Database: MongoDB Atlas z samodejnim failover
• Samodejni ponovni zagon: Docker restart policies za obnovitev storitve
• CDN: Cloudflare CDN za globalno distribucijo vsebine

11. Prijava ranljivosti

Spodbujamo odgovorno razkritje varnostnih ranljivosti. Če odkrijete ranljivost:

• Pošljite e-pošto na [email protected]
• Navedite podroben opis ranljivosti
• Ne razkrivajte je javno, dokler težave ne odpravimo
• Ne dostopajte do uporabniških podatkov in jih ne spreminjajte

Odgovorili bomo v 48 urah in sodelovali pri reševanju težave.

12. Kontakt

Za vprašanja ali pomisleke glede varnosti: