Sauga kaip pamatas.

• Šifravimas perduodant. Visi prisijungimai prie paslaugos naudoja TLS 1.2 ar naujesnę versiją su moderniais šifrų rinkiniais. HSTS taikomas privalomai.
• Šifravimas saugykloje. Jautrūs laukai — atlyginimas, darbuotojų identifikatoriai, el. pašto adresai, demografiniai atributai, veiklos vertinimai — šifruojami stulpelių lygiu su atskiru duomenų šifravimo raktu kiekvienam nuomininkui. Nuomininkų raktai apgaubiami kliento valdomu raktu aparatūra paremtoje raktų valdymo paslaugoje. Atviro teksto raktai niekada nepalieka šifravimo modulio ribų.
• Nuomininkų izoliacija. Kiekviena duomenų bazės užklausa apribojama nuomininko identifikatoriumi per karkaso lygio apsaugą. Prieiga tarp nuomininkų laikoma kritinio sunkumo klaida ir padengiama specialiais integraciniais testais kiekviename apsaugotame galiniame taške.
• Atsarginės kopijos. Šifruotos, saugomos ES, rotuojamos pagal dokumentuotą grafiką. Atkūrimo procedūros periodiškai testuojamos.

• Kelių veiksnių autentifikacija. Prieinama kiekvienam vaidmeniui; arba autentifikatoriaus programėlės kodas, arba slaptaraktis. Administratoriai gali priverstinai taikyti MFA visoje organizacijoje per savitarnos politikos jungiklį.
• Vaidmenimis pagrįsta prieigos kontrolė. Savininkas, administratorius, HR vadovas, analitikas, žiūrovas. Leidimai vertinami serverio pusėje kiekvienai apsaugotai užklausai — UI slėpimas niekada nėra vienintelė kontrolė.
• Paskutinio savininko apsauga. Platforma atsisako destruktyvių vaidmenų pakeitimų, kurie paliktų organizaciją be savininko.
• Sesijų kontrolė. Slapukai yra tik HTTP, saugūs ir same-site. Sesijos baigiasi po 30 neaktyvumo minučių ir 12 valandų absoliučiai; jautrioms operacijoms reikia pakartotinės autentifikacijos.
• SSO ir SCIM. SAML 2.0 vienkartinis prisijungimas ir SCIM aprūpinimas prieinami stambiems klientams; schema palaiko kiekvienos organizacijos autentifikacijos konfigūraciją, kad SSO būtų galima taikyti visoje organizacijoje.

Kiekvienas jautrių duomenų skaitymas ar rašymas registruojamas tik papildomame audito žurnale. Žurnalas fiksuoja vykdytoją, veiksmą, išteklių, laiko žymą ir užklausos identifikatorių, koreliuojantį su programos žurnalais. Audito įrašų negalima keisti ar trinti, įskaitant ir Calbarry. Organizacijų administratoriai gali užklausti savo žurnalą platformoje, kad palaikytų savitarnos atitikties įsipareigojimus pagal Direktyvos 7 straipsnį.

Audito žurnalas saugomas septynerius (7) metus, atsižvelgiant į ilgalaikius atlygio lygybės atitikties įrodymų poreikius.

• Duomenų saugojimas tik ES. Produkcijos duomenys saugomi ir tvarkomi išskirtinai Europos Sąjungoje. Jokie produkcijos duomenys nepalieka EEE.
• Mažiausios privilegijos. Programa veikia kaip duomenų bazės vaidmuo be leidimo keisti ar trinti audito įrašus; tik migracijos vaidmuo gali keisti schemą. Privilegijuota Calbarry personalo prieiga apsaugota MFA, pagrįsta ir registruojama.
• Tinklo kontrolė. Visas įeinantis srautas baigiasi už valdomo CDN su TLS, srauto ribojimu ir DDoS apsauga. Vidinės paslaugos neprieinamos viešame internete.
• Paslapčių valdymas. Jokios paslaptys neįtraukiamos į kodo saugyklą. Produkcijos paslaptys gaunamos iš valdomos paslapčių saugyklos ir rotuojamos pagal dokumentuotą grafiką.

• Tipų atžvilgiu saugus kodas su griežta statine analize; saugos linting taisyklės blokuoja įprastas pažeidžiamumų klases prieš kodo peržiūrą.
• Testai privalomi kiekvienam apsaugotam galiniam taškui, įskaitant nuomininkų izoliacijos ir vaidmenimis pagrįstos prieigos patikras. Padengimo slenksčiai riboja sujungimus.
• Priklausomybės yra fiksuotos, tikrinamos dėl žinomų pažeidžiamumų kiekvienoje versijoje ir atnaujinamos pagal nuolatinį grafiką.
• Paslapčių skenavimas vykdomas kiekvienam commit. Prieš-commit kabliai blokuoja įprastas klaidas (derinimo žurnalai, kode įrašyti prisijungimo duomenys).
• Duomenų bazės migracijos pagal numatytuosius nustatymus yra tik į priekį. Destruktyvioms operacijoms reikia aiškaus operatoriaus patvirtinimo.

• Reagavimas į incidentus. Dokumentuotas reagavimo į incidentus planas, apimantis aptikimą, sulaikymą, pašalinimą, atkūrimą ir poincidentinę peržiūrą. Pranešimas apie asmens duomenų pažeidimą per 72 valandas nuo sužinojimo, kaip reikalauja GDPR 33 straipsnis.
• Žurnalavimas ir stebėjimas. Struktūruoti žurnalai su užklausos-id koreliacija. PII laukai paslepiami prieš pasiekiant žurnalo paskirties vietą. Įspėjimai suveikia dėl autentifikacijos anomalijų, klaidų šuolių ir vientisumo patikrų nesėkmių.
• Veiklos tęstinumas. Multi-AZ infrastruktūra ES veiklos regione; dokumentuoti atkūrimo laiko ir atkūrimo taško tikslai pateikiami DPA.

Aukščiau nurodytos kontrolės sukurtos pagal SOC 2 Type II ir ISO/IEC 27001 reikalavimus. Nepriklausomas trečiosios šalies sertifikavimas yra plane ir bus vykdomas pasiekus pajamų slenkstį, kuriame jis komerciškai pagrįstas. Iki tol klientai gali pasikliauti DPA sutartiniais įsipareigojimais, čia išvardytomis kontrolėmis ir audito teise, apibrėžta mūsų sutartyje.

Jei manote, kad radote Calbarry paveikiančią saugos problemą, praneškite apie ją naudodami kontaktų formą su „Security disclosure“ žinutės temos eilutėje. Neskelbkite detalių, kol neturėjome pagrįstos galimybės ištirti. Pranešimus patvirtiname per dvi (2) darbo dienas ir pripažįstame tyrėjus, kurie prašo priskyrimo.