Kako Reaudit štiti vaše podatke.

Naša posvećenost bezbednosti

U Reaudit-u bezbednost je naš najviši prioritet. Primenjujemo bezbednosne mere industrijskog nivoa za zaštitu podataka, infrastrukture i poslovanja. Ova stranica opisuje naše bezbednosne prakse i politike.

1. Enkripcija podataka

1.1 Enkripcija u prenosu

• TLS 1.3: Svi podaci u prenosu se enkriptuju korišćenjem TLS 1.3 sa jakim kriptografskim paketima
• HTTPS Everywhere: Sve veze zahtevaju HTTPS
• Perfect Forward Secrecy: Primenjuje se za dodatnu zaštitu

1.2 Enkripcija podataka u mirovanju

• AES-256: Svi osetljivi podaci se enkriptuju u mirovanju
• Enkripcija baze podataka: Potpuna enkripcija baze podataka na nivou polja
• Enkriptovane rezervne kopije: Sve rezervne kopije se enkriptuju
• Upravljanje ključevima: Bezbedno upravljanje ključevima za enkripciju

2. Kontrola pristupa

2.1 Autentifikacija

• OAuth 2.0: Bezbedna integracija trećih strana (Google)
• Upravljanje sesijama: JWT sesije sa bezbednim, httpOnly kolačićima i automatskim istekom (7 dana)
• reCAPTCHA v3: Zaštita od botova prilikom autentifikacije
• Zaštita od brute force napada: Ograničavanje brzine zahteva

2.2 Autorizacija

• Kontrola pristupa zasnovana na ulogama (RBAC): Detaljna prava pristupa
• Princip najmanjih privilegija: Korisnici imaju minimalni neophodni pristup
• Razdvajanje podataka: Strogo razdvajanje podataka između klijenata
• Revizorski zapisi: Sveobuhvatno evidentiranje svih radnji pristupa

3. Bezbednost infrastrukture

3.1 Bezbednost infrastrukture

• MongoDB Atlas: Upravljana baza podataka sa SOC 2 i ISO 27001 sertifikatima
• Docker: Containerized deployment sa automatskim politikama ponovnog pokretanja
• DDoS Protection: Cloudflare DDoS zaštita i WAF

3.2 Bezbednost aplikacija

• Web Application Firewall (WAF): Zaštita od uobičajenih web napada
• Validacija unosa: Stroga validacija svih korisničkih unosa
• CSRF zaštita: Zaštita od Cross-Site Request Forgery
• Content Security Policy: Primena strogih CSP politika
• Bezbednosni zaglavlja: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 Bezbednost API-ja

• Autentifikacija API-ja: API ključevi sa bezbednim skladištenjem
• Ograničavanje brzine: Zaštita od zloupotrebe API-ja
• Verzionisanje API-ja: Kontrolisana evolucija API-ja
• Logovanje API-ja: Sveobuhvatno logovanje svih API zahteva

4. Nadzor i odgovor

4.1 Nadzor

• Praćenje grešaka: Praćenje grešaka u realnom vremenu putem Sentry-ja
• Strukturirano logovanje: Centralizovano logovanje aplikacije sa vremenskim oznakama
• Praćenje dostupnosti: Praćenje dostupnosti usluge

4.2 Odgovor na incidente

• Plan odgovora: Dokumentovane procedure za odgovor na incidente
• Izolacija: Brza izolacija pogođenih sistema
• Obaveštavanje o kršenju: Obaveštavanje u roku od 72 sata u skladu sa GDPR-om

5. Zaštita podataka

5.1 Rezervne kopije podataka

• Automatske rezervne kopije: Dnevne automatske rezervne kopije putem MongoDB Atlas
• Point-in-Time oporavak: Mogućnost vraćanja podataka na bilo koju tačku
• Enkripcija: Sve rezervne kopije se enkriptuju

5.2 Brisanje podataka

• Bezbedno brisanje: Kriptografsko brisanje podataka
• Politika zadržavanja: Jasne politike zadržavanja podataka
• Brisanje na zahtev: Mogućnost brisanja korisničkih podataka

6. Bezbedan razvoj

• Pregled koda: Sve izmene koda podležu peer review-u
• TypeScript Strict Mode: Type-safe kod koji smanjuje greške
• Skeniranje zavisnosti: Automatizovano skeniranje ranjivosti paketa trećih strana
• Razdvajanje okruženja: Odvojena razvojna, staging i produkciona okruženja

7. Bezbednost tima

• Ugovori o poverljivosti: Potpisani od strane svih članova tima
• Princip najmanjih privilegija: Članovi imaju pristup samo onome što je neophodno
• Ukidanje pristupa: Trenutno ukidanje pristupa pri odlasku

8. Usklađenost i sertifikati

8.1 Trenutni sertifikati

• GDPR: Potpuna usklađenost sa Opštom uredbom o zaštiti podataka
• CCPA: Usklađenost sa California Consumer Privacy Act
• PCI DSS: Usklađenost za obradu plaćanja

8.2 Usklađenost sa standardima

• SOC 2: Bezbednosne provere usklađene sa kriterijumima AICPA Trust Service. Zvanična sertifikacija je na našem roadmap-u.
• ISO 27001: Bezbednosne prakse usklađene sa ISO 27001 okvirom. Sertifikacija je na našem roadmap-u.

9. Bezbednost trećih strana

• Procena dobavljača: Stroga bezbednosna procena
• Ugovori o obradi podataka: Ugovori sa svim obrađivačima
• Minimalni pristup: Ograničen pristup trećih strana
• Redovne provere: Kontinuirano praćenje dobavljača

10. Dostupnost usluge

• Managed Database: MongoDB Atlas sa automatskim failover-om
• Automatsko ponovno pokretanje: Docker restart policies za oporavak usluge
• CDN: Cloudflare CDN za globalnu distribuciju sadržaja

11. Prijava ranjivosti

Podstičemo odgovorno otkrivanje bezbednosnih ranjivosti. Ako otkrijete ranjivost:

• Pošaljite email na [email protected]
• Navedite detaljan opis ranjivosti
• Ne otkrivajte je javno dok ne rešimo problem
• Ne pristupajte podacima korisnika i ne menjajte ih

Odgovorićemo u roku od 48 sati i sarađivaćemo na rešavanju problema.

12. Kontakt

Za pitanja ili nedoumice u vezi sa bezbednošću: