Så skyddar Reaudit dina data.

Vårt säkerhetsåtagande

På Reaudit är säkerhet vår högsta prioritet. Vi tillämpar säkerhetsåtgärder i branschklass för att skydda våra data, vår infrastruktur och vår verksamhet. Den här sidan beskriver våra säkerhetsrutiner och policyer.

1. Datakryptering

1.1 Kryptering vid överföring

• TLS 1.3: All data vid överföring krypteras med TLS 1.3 och starka chifferuppsättningar
• HTTPS Everywhere: Alla anslutningar kräver HTTPS
• Perfect Forward Secrecy: Tillämpas som extra skydd

1.2 Kryptering vid lagring

• AES-256: All känslig data krypteras vid lagring
• Databaskryptering: Fullständig databaskryptering på fältnivå
• Krypterade säkerhetskopior: Alla säkerhetskopior krypteras
• Nyckelhantering: Säker hantering av krypteringsnycklar

2. Åtkomstkontroll

2.1 Autentisering

• OAuth 2.0: Säker integration med tredje part (Google)
• Sessionshantering: JWT-sessioner med säkra httpOnly-cookies och automatiskt utgångsdatum (7 dagar)
• reCAPTCHA v3: Skydd mot bots vid autentisering
• Skydd mot brute force: Begränsning av antal förfrågningar (rate limiting)

2.2 Auktorisering

• Rollbaserad åtkomstkontroll (RBAC): Detaljerade behörigheter
• Principen om minsta möjliga behörighet: Användare har endast den åtkomst som krävs
• Dataisolering: Strikt separation av data mellan kunder
• Granskningsloggar: Fullständig loggning av alla åtkomståtgärder

3. Infrastruktursäkerhet

3.1 Infrastruktursäkerhet

• MongoDB Atlas: Hanterad databas med SOC 2- och ISO 27001-certifieringar
• Docker: Containerbaserad driftsättning med automatiska omstartsregler
• DDoS Protection: Cloudflare DDoS-skydd och WAF

3.2 Applikationssäkerhet

• Web Application Firewall (WAF): Skydd mot vanliga webbattacker
• Indatavalidering: Strikt validering av all användarinmatning
• CSRF-skydd: Skydd mot Cross-Site Request Forgery
• Content Security Policy: Strikta CSP-policyer tillämpas
• Säkra headers: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 API-säkerhet

• API-autentisering: API-nycklar med säker lagring
• Rate limiting: Skydd mot missbruk av API:et
• API-versionshantering: Kontrollerad utveckling av API:et
• API-loggning: Fullständig loggning av alla API-anrop

4. Övervakning och respons

4.1 Övervakning

• Felövervakning: Felövervakning i realtid via Sentry
• Strukturerad loggning: Central applikationsloggning med tidsstämplar
• Drifttidsövervakning: Övervakning av tjänstens tillgänglighet

4.2 Incidenthantering

• Incidentplan: Dokumenterade rutiner för incidenthantering
• Isolering: Snabb isolering av påverkade system
• Incidentanmälan: Anmälan inom 72 timmar enligt GDPR

5. Dataskydd

5.1 Säkerhetskopiering av data

• Automatiska säkerhetskopior: Dagliga automatiska säkerhetskopior via MongoDB Atlas
• Point-in-time-återställning: Möjlighet att återställa data till valfri tidpunkt
• Kryptering: Alla säkerhetskopior krypteras

5.2 Radering av data

• Säker radering: Kryptografisk radering av data
• Lagringspolicy: Tydliga policyer för lagring av data
• Radering på begäran: Möjlighet att radera användardata

6. Säker utveckling

• Kodgranskning: Alla kodändringar genomgår peer review
• TypeScript Strict Mode: Typsäker kod som minskar antalet fel
• Beroendeskanning: Automatiserad skanning av tredjepartspaket efter sårbarheter
• Separata miljöer: Separata miljöer för utveckling, staging och produktion

7. Teamsäkerhet

• Sekretessavtal: Undertecknade av alla teammedlemmar
• Principen om minsta möjliga behörighet: Medlemmar har endast tillgång till det som krävs
• Återkallande av åtkomst: Åtkomst återkallas omedelbart när någon lämnar teamet

8. Regelefterlevnad och certifieringar

8.1 Nuvarande certifieringar

• GDPR: Fullständig efterlevnad av dataskyddsförordningen (GDPR)
• CCPA: Efterlevnad av California Consumer Privacy Act
• PCI DSS: Efterlevnad för betalningshantering

8.2 Anpassning till standarder

• SOC 2: Säkerhetskontroller i linje med AICPA:s Trust Services-kriterier. Formell certifiering finns på vår roadmap.
• ISO 27001: Säkerhetsrutiner i linje med ramverket ISO 27001. Certifiering finns på vår roadmap.

9. Tredjepartssäkerhet

• Leverantörsbedömning: Noggrann säkerhetsbedömning
• Personuppgiftsbiträdesavtal: Avtal med alla personuppgiftsbiträden
• Minsta möjliga åtkomst: Begränsad åtkomst för tredje part
• Regelbundna granskningar: Löpande övervakning av leverantörer

10. Tjänstens tillgänglighet

• Managed Database: MongoDB Atlas med automatisk failover
• Automatisk omstart: Docker restart policies för återställning av tjänster
• CDN: Cloudflare CDN för global innehållsleverans

11. Rapportera sårbarheter

Vi uppmuntrar ansvarsfull rapportering av säkerhetssårbarheter. Om du upptäcker en sårbarhet:

• Skicka ett mejl till [email protected]
• Beskriv sårbarheten i detalj
• Offentliggör den inte förrän vi har åtgärdat problemet
• Öppna eller ändra inte användardata

Vi svarar inom 48 timmar och arbetar med dig för att lösa problemet.

12. Kontakt

Vid frågor eller funderingar om säkerhet: