TRUST & БЕЗБЕДНОСТ НА ПЛАТФОРМАТА

Хостирање и инфраструктура

Платформата Iksnets е хостирана на управувана SaaS инфраструктура обезбедена од Base44, со локации на серверите во ЕУ/ЕЕП. Инфраструктурата користи cloud платформа со висок степен на достапност и автоматско скалирање.

• •Регион на хостирање: ЕУ/ЕЕП (Франкфурт, Германија);
• •Достапност (SLA): цел 99.5% време на работа;
• •Автоматско скалирање за врвно оптоварување;
• •Изолација на тенанти преку Row-Level Security (RLS).

Енкрипција

Сите податоци се енкриптирани при пренос и при мирување:

• •При пренос: TLS 1.3 / HTTPS за сите комуникации помеѓу клиентот и серверот;
• •При мирување: AES-256 за базата на податоци и складиштето на фајлови;
• •Хеширање: SHA-256 за лозинки и докази за аудит логови (ланец на хеш за tamper-evidence);
• •OTP кодови: SHA-256 hash на 6-цифрени OTP кодови, чување само на hash.

Автентикација и контрола на пристап

• •Повеќефакторска автентикација (MFA) преку е-пошта OTP — задолжителна ако е овозможена од корисникот;
• •Row-Level Security (RLS) за изолација на податоците помеѓу клиентите (тенантите);
• •Контрола на пристап врз улога (admin, consultant, auditor, client);
• •Принцип на најмало потребно знаење за секој модул;
• •Сесии со CSRF заштита и истекување на token-и.

Резервни копии и обновување

Редовни бекапи се прават за да се обезбеди обновување по катастрофа:

• •Автоматски дневни бекапи на базата на податоци;
• •Задржување: 30 дена историја на бекапи;
• •Recovery Time Objective (RTO): ≤ 24 часа;
• •Recovery Point Objective (RPO): ≤ 12 часа;
• •План за обновување по катастрофа (Disaster Recovery Plan) кој се тестира редовно.

Локација на податоците

Сите податоци на клиентите се чуваат во ЕУ/ЕЕП (Франкфурт, Германија). Не се врши пренос на податоци во трети земји вон ЕУ/ЕЕП освен кога е неопходно за обезбедување на услугата и со соодветни заштитни мерки (Standard Contractual Clauses).

• •База на податоци: ЕУ/ЕЕП;
• •Складиште на фајлови: ЕУ/ЕЕП;
• •Аналитика: анонимизирани податоци, ЕУ/ЕЕП.

Мониторинг и логирање

• •Аудит логови со SHA-256 ланец на хеш за tamper-evidence — секој запис е криптографски поврзан со претходниот;
• •Логирање на сите промени на ентитети (created, updated, deleted);
• •Пронаоѓање на корисникот што го направил секоја промена;
• •Мониторинг на неуспешни најави и серверски настани;
• •Задржување на логови: 12 месеци.

Безбедносно тестирање

Платформата подлежи на редовни безбедносни тестови:

• •Пенетрациски тестови — најмалку еднаш годишно;
• •Скенирање на ранливости — континуирано;
• •Преглед на код пред секое издавање на верзија;
• •Следење на CVE и безбедносни совети за зависностите.

Управување со инциденти

Имаме формален процес за одговор на безбедносни инциденти:

• •Детекција и класификација на инциденти;
• •Известување на засегнатите клиенти во рок од 24 часа од откривањето на прекршок на податоци;
• •Контроверзна акција и истрага;
• •Пост-инцидент преглед и подобрувања.

Приватност и DPA

Обработката на лични податоци на клиентите и нивните вработени се врши согласно GDPR и Законот за заштита на личните податоци. Детали за улогата на Iksnets како Обработувач се во Договорот за обработка на податоци (DPA).

• •Iksnets дејствува како Обработувач (Processor) за податоците што клиентите ги внесуваат;
• •Клиентот е Контролор (Controller) на сопствените податоци;
• •Бришење на податоците по завршување на договорот во рок од 30 дена.

Деловна континуитет

Име план за деловна континуитет кој обезбедува продолжување на услугите и при прекини. Вклучува алтернативни процедури, комуникациски план и редовни тестови.

Контакт за безбедност

За пријава на безбедносни ранливости или прашања поврзани со безбедноста на платформата, контактирајте нè на security@iksnets.com. Ги почитуваме одговорното откривање (coordinated vulnerability disclosure).