Polityka bezpieczeństwa

Nasze centra danych spełniają wysokie standardy zgodności, a protokoły organizacyjne zapewniają właściwą utylizację zasobów i przestrzeganie zasad przez pracowników. Regularne oceny oraz plany odzyskiwania po awarii dodatkowo chronią dane.

Bezpieczeństwo danych jest dla nas sprawą najwyższej wagi. Łączymy wiele funkcji zabezpieczeń, aby zapewnić ochronę danych klientów, pracowników i firmy, dzięki czemu nasi klienci mogą spać spokojnie, wiedząc że ich dane są bezpieczne, komunikacja chroniona, a firmy zabezpieczone.

Bezpieczeństwo infrastruktury

Bezpieczeństwo infrastruktury obejmuje ochronę podstawowego sprzętu, oprogramowania i elementów sieci, które wspierają operacje IT organizacji. Obejmuje to wszystko, od centrów danych i serwerów po połączenia sieciowe i urządzenia końcowe. Skuteczne zabezpieczenia infrastruktury mają na celu zapobieganie nieautoryzowanemu dostępowi, nadużyciom i zakłóceniom, zapewniając integralność, poufność i dostępność systemów IT.

Kluczowe elementy bezpieczeństwa infrastruktury

• Dostęp do kluczy szyfrujących ograniczony
  Zasada: Dostęp do kluczy szyfrujących mają jedynie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
  Wdrożenie: Zapewnia to, że tylko osoby z odpowiednimi uprawnieniami mogą odszyfrować wrażliwe informacje, minimalizując ryzyko wycieku danych.

• Wymuszona unikalna autoryzacja konta
  Zasada: Systemy i aplikacje wymagają unikalnych nazw użytkowników i haseł lub autoryzowanych kluczy SSH.
  Wdrożenie: Ogranicza to ryzyko nieautoryzowanego dostępu, zapewniając każdemu użytkownikowi indywidualną tożsamość uwierzytelniającą.

• Dostęp do aplikacji produkcyjnych ograniczony
  Zasada: Dostęp do aplikacji produkcyjnych mają tylko upoważnieni pracownicy.
  Wdrożenie: Zapobiega to manipulacjom przy kluczowych aplikacjach obsługujących działalność firmy przez osoby nieuprawnione.

• Ustanowione procedury kontroli dostępu
  Zasada: Udokumentowane wymagania dotyczące dodawania, modyfikacji i usuwania dostępu użytkowników.
  Wdrożenie: Jasne procedury zapewniają systematyczne i bezpieczne zarządzanie uprawnieniami dostępowymi.

• Dostęp do baz danych produkcyjnych ograniczony
  Zasada: Uprzywilejowany dostęp do baz danych mają jedynie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
  Wdrożenie: Chroni to wrażliwe dane przechowywane w bazach przed nieuprawnionym dostępem lub zmianami.

• Dostęp do zapory sieciowej ograniczony
  Zasada: Uprzywilejowany dostęp do zapory mają jedynie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
  Wdrożenie: Zapory są kluczowe dla bezpieczeństwa sieci; ograniczony dostęp zapobiega kompromitacji ich konfiguracji.

• Dostęp do systemu operacyjnego produkcyjnego ograniczony
  Zasada: Uprzywilejowany dostęp do systemu operacyjnego mają jedynie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
  Wdrożenie: Chroni warstwę systemu operacyjnego przed nieautoryzowanymi zmianami mogącymi wpłynąć na stabilność i bezpieczeństwo.

• Dostęp do sieci produkcyjnej ograniczony
  Zasada: Uprzywilejowany dostęp do sieci produkcyjnej mają jedynie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
  Wdrożenie: Zapewnia, że tylko uprawnione osoby mają dostęp do sieci, ograniczając ryzyko zagrożeń wewnętrznych.

• Odebranie dostępu po zakończeniu współpracy
  Zasada: Dostęp odchodzącym pracownikom jest odbierany w ramach ustalonych SLA.
  Wdrożenie: Zapobiega to dostępowi byłych pracowników do systemów firmy po zakończeniu zatrudnienia.

• Wymuszona unikalna autoryzacja systemu sieciowego
  Zasada: Wymaga unikalnych nazw użytkowników i haseł lub autoryzowanych kluczy SSH do dostępu sieciowego.
  Wdrożenie: Zwiększa bezpieczeństwo, zapewniając możliwość śledzenia dostępu do sieci przez poszczególnych użytkowników.

• Wymuszanie szyfrowania zdalnego dostępu
  Zasada: Zdalny dostęp do systemów produkcyjnych dozwolony jest wyłącznie przez zatwierdzone, szyfrowane połączenia.
  Wdrożenie: Chroni dane przesyłane przez zdalne połączenia przed przechwyceniem.

• Wykorzystanie systemu wykrywania włamań
  Zasada: Ciągły monitoring sieci w celu wczesnego wykrywania naruszeń bezpieczeństwa.
  Wdrożenie: IDS zapewnia powiadomienia w czasie rzeczywistym, umożliwiając szybką reakcję na potencjalne zagrożenia.

• Monitorowanie wydajności infrastruktury
  Zasada: Stosowanie narzędzi monitorujących do śledzenia wydajności systemu i generowania alertów po przekroczeniu progów.
  Wdrożenie: Zapewnia utrzymanie sprawności infrastruktury i szybkie reagowanie na problemy.

• Segmentacja sieci wdrożona
  Zasada: Segmentacja sieci w celu uniemożliwienia nieautoryzowanego dostępu do danych klientów.
  Wdrożenie: Ogranicza zasięg potencjalnych naruszeń poprzez izolowanie części sieci.

• Przegląd zapór sieciowych
  Zasada: Coroczny przegląd reguł zapory wraz ze śledzeniem zmian.
  Wdrożenie: Utrzymuje konfigurację zapór zgodną z aktualnymi standardami bezpieczeństwa.

• Wykorzystanie zapór sieciowych
  Zasada: Zapory skonfigurowane do zapobiegania nieautoryzowanemu dostępowi.
  Wdrożenie: Stanowią pierwszą linię obrony przed zagrożeniami zewnętrznymi.

• Utrzymywanie standardów twardnienia sieci i systemów
  Zasada: Udokumentowane standardy oparte na najlepszych praktykach branżowych, przeglądane corocznie.
  Wdrożenie: Zapewnia, że systemy są skonfigurowane bezpiecznie i odporne na ataki.

Bezpieczeństwo centrum danych

Zapewniamy poufność i integralność Twoich danych zgodnie z najlepszymi praktykami branżowymi. Serwery FlowHunt są hostowane w obiektach zgodnych z Tier IV lub III+, PCI DSS, SSAE-16 lub ISO 27001. Nasz zespół ds. bezpieczeństwa na bieżąco wdraża aktualizacje zabezpieczeń i aktywnie reaguje na alerty oraz incydenty.

Bezpieczeństwo fizyczne

Bezpieczeństwo sieci

Nasza sieć jest chroniona przez redundantne zapory, najlepszej klasy routery, bezpieczny transport HTTPS przez sieci publiczne oraz technologie wykrywania i/lub zapobiegania włamaniom (IDS/IPS), które monitorują i/lub blokują złośliwy ruch oraz ataki sieciowe.

Dodatkowe środki

• Ochrona przed DDoS: Infrastruktura na najwyższym poziomie branżowym chroni przed atakami typu odmowa usługi i minimalizuje ich skutki.
• Szyfrowanie komunikacji: Komunikacja pomiędzy Tobą a serwerami FlowHunt jest szyfrowana zgodnie z najlepszymi praktykami branżowymi HTTPS i Transport Layer Security (TLS) przez sieci publiczne.

Bezpieczeństwo organizacyjne

Procedury utylizacji zasobów

• Ocena inwentarza: Identyfikacja i katalogowanie wszystkich urządzeń przeznaczonych do utylizacji.
• Kopia zapasowa danych: Bezpieczne wykonanie kopii zapasowej niezbędnych danych przed utylizacją.
• Usuwanie danych: Wykorzystanie certyfikowanych narzędzi do całkowitego usunięcia danych z urządzeń zgodnie z normami branżowymi.
• Fizyczne zniszczenie: W przypadku braku możliwości bezpiecznego usunięcia danych stosowane są metody fizycznego niszczenia, takie jak rozdrabnianie lub rozmagnesowanie.
• Zgodność środowiskowa: Wszystkie metody utylizacji są zgodne z przepisami o ochronie środowiska.

Certyfikacja i zgodność

• Dokumentacja: Prowadzenie szczegółowej ewidencji wszystkich zutylizowanych zasobów, w tym numerów seryjnych, metod i dat utylizacji.
• Weryfikacja zewnętrzna: Współpraca z certyfikowanymi dostawcami zewnętrznymi w celu weryfikacji i udokumentowania procesu utylizacji.

Zgodność pracowników i kontraktorów

• Sprawdzanie przeszłości: Nowi pracownicy przechodzą gruntowną weryfikację przed zatrudnieniem.
• Kodeks postępowania: Zarówno pracownicy, jak i kontraktorzy muszą potwierdzić znajomość i przestrzeganie kodeksu postępowania firmy; w przypadku naruszeń stosowane są odpowiednie środki dyscyplinarne.
• Umowy poufności: Umowy o zachowaniu poufności są wymagane od wszystkich pracowników podczas wdrożenia oraz od kontraktorów przy rozpoczęciu współpracy.

Protokoły wizyt i bezpieczeństwa

• Procedury dla gości: Goście muszą się zarejestrować, nosić identyfikator gościa i być eskortowani przez upoważnionego pracownika podczas pobytu w strefach zabezpieczonych.
• Szkolenia świadomościowe: Pracownicy przechodzą szkolenia z zakresu świadomości bezpieczeństwa w ciągu trzydziestu dni od zatrudnienia oraz corocznie, aby być na bieżąco z najlepszymi praktykami i nowymi zagrożeniami.

Bezpieczeństwo produktu

Szyfrowanie danych

Wszystkie bazy danych FlowHunt oraz ich kopie zapasowe zawierające wrażliwe dane klientów są szyfrowane. Szyfrowanie danych rozliczeniowych i płatniczych realizowane jest przez naszych operatorów płatności (Stripe).

• Szyfrowanie na poziomie kolumn: Szyfruje wybrane kolumny w bazie danych, zapewniając ukierunkowaną ochronę. Metoda ta jest szczególnie przydatna do zabezpieczeń wrażliwych pól, takich jak klucze API.
• Protokoły szyfrowania: Do szyfrowania transmisji danych w sieci stosowane są protokoły Secure Sockets Layer (SSL) oraz Transport Layer Security (TLS).

Testy penetracyjne

FlowHunt regularnie przeprowadza testy penetracyjne i zachęca zewnętrznych badaczy bezpieczeństwa do zgłaszania luk w ramach programu bug bounty.

Aktualizacja: 30.05.2025