Як Reaudit захищає ваші дані.

Наша відданість безпеці

У Reaudit безпека — наш головний пріоритет. Ми застосовуємо заходи безпеки промислового рівня, щоб захищати наші дані, інфраструктуру та операції. Ця сторінка описує наші практики й політики безпеки.

1. Шифрування даних

1.1 Шифрування під час передавання

• TLS 1.3: Усі дані під час передавання шифруються за допомогою TLS 1.3 із надійними наборами шифрів
• HTTPS Everywhere: Усі з'єднання вимагають HTTPS
• Perfect Forward Secrecy: Застосовується для додаткового захисту

1.2 Шифрування під час зберігання

• AES-256: Усі чутливі дані шифруються під час зберігання
• Шифрування бази даних: Повне шифрування бази даних на рівні полів
• Зашифровані резервні копії: Усі резервні копії шифруються
• Керування ключами: Безпечне керування ключами шифрування

2. Контроль доступу

2.1 Автентифікація

• OAuth 2.0: Безпечна інтеграція з третіми сторонами (Google)
• Керування сеансами: JWT-сеанси із захищеними cookies httpOnly та автоматичним завершенням (7 днів)
• reCAPTCHA v3: Захист від ботів під час автентифікації
• Захист від брутфорсу: Обмеження частоти запитів

2.2 Авторизація

• Рольовий контроль доступу (RBAC): Детальні дозволи
• Принцип мінімальних привілеїв: Користувачі мають лише мінімально необхідний доступ
• Розділення даних: Суворе розділення даних між клієнтами
• Журнали аудиту: Комплексне журналювання всіх дій доступу

3. Безпека інфраструктури

3.1 Безпека інфраструктури

• MongoDB Atlas: Керована база даних із сертифікаціями SOC 2 та ISO 27001
• Docker: Контейнеризоване розгортання з автоматичними політиками перезапуску
• DDoS Protection: Захист від DDoS і WAF від Cloudflare

3.2 Безпека застосунків

• Web Application Firewall (WAF): Захист від поширених вебатак
• Валідація вхідних даних: Сувора валідація всіх вхідних даних користувача
• Захист від CSRF: Захист від Cross-Site Request Forgery
• Політика безпеки контенту: Застосування суворих політик CSP
• Безпечні заголовки: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 Безпека API

• Автентифікація API: API-ключі з безпечним зберіганням
• Обмеження частоти запитів: Захист від зловживання API
• Версіонування API: Контрольована еволюція API
• Журналювання API: Комплексне журналювання всіх запитів API

4. Моніторинг і реагування

4.1 Моніторинг

• Відстеження помилок: Відстеження помилок у реальному часі через Sentry
• Структуроване журналювання: Централізоване журналювання застосунку з позначками часу
• Моніторинг доступності: Моніторинг доступності сервісу

4.2 Реагування на інциденти

• План реагування: Задокументовані процедури реагування на інциденти
• Ізоляція: Швидка ізоляція уражених систем
• Повідомлення про порушення: Повідомлення протягом 72 годин відповідно до GDPR

5. Захист даних

5.1 Резервне копіювання даних

• Автоматичні копії: Щоденне автоматичне резервне копіювання через MongoDB Atlas
• Відновлення на момент часу: Можливість відновити дані на будь-який момент
• Шифрування: Усі резервні копії шифруються

5.2 Видалення даних

• Безпечне видалення: Криптографічне видалення даних
• Політика зберігання: Чіткі політики зберігання даних
• Видалення на запит: Можливість видалити дані користувачів

6. Безпечна розробка

• Рецензування коду: Усі зміни коду проходять peer review
• TypeScript Strict Mode: Type-safe код, що зменшує кількість помилок
• Сканування залежностей: Автоматичне сканування вразливостей сторонніх пакетів
• Розділення середовищ: Окремі середовища розробки, staging та production

7. Безпека команди

• Угоди про конфіденційність: Підписані всіма членами команди
• Принцип мінімальних привілеїв: Учасники мають доступ лише до необхідного
• Відкликання доступу: Негайне відкликання під час звільнення

8. Відповідність і сертифікації

8.1 Чинні сертифікації

• GDPR: Повна відповідність Загальному регламенту про захист даних
• CCPA: Відповідність California Consumer Privacy Act
• PCI DSS: Відповідність вимогам обробки платежів

8.2 Узгодження зі стандартами

• SOC 2: Засоби безпеки узгоджені з критеріями AICPA Trust Service. Офіційна сертифікація є в нашій дорожній карті.
• ISO 27001: Практики безпеки узгоджені з фреймворком ISO 27001. Сертифікація є в нашій дорожній карті.

9. Безпека третіх сторін

• Оцінка постачальників: Сувора оцінка безпеки
• Угоди про обробку даних: Договори з усіма обробниками
• Мінімальний доступ: Обмежений доступ третіх сторін
• Регулярні перегляди: Постійний моніторинг постачальників

10. Доступність сервісу

• Managed Database: MongoDB Atlas з автоматичним failover
• Автоматичний перезапуск: Політики перезапуску Docker для відновлення сервісу
• CDN: Cloudflare CDN для глобального розповсюдження контенту

11. Повідомлення про вразливості

Ми заохочуємо відповідальне розкриття вразливостей безпеки. Якщо ви виявили вразливість:

• Надішліть лист на [email protected]
• Надайте детальний опис вразливості
• Не розкривайте її публічно, доки ми не усунемо проблему
• Не отримуйте доступу до даних користувачів і не змінюйте їх

Ми відповімо протягом 48 годин і працюватимемо разом над вирішенням проблеми.

12. Контакти

З питань або занепокоєнь щодо безпеки: