Varnostna politika

Naši podatkovni centri izpolnjujejo visoke standarde skladnosti, organizacijski protokoli pa zagotavljajo odlaganje sredstev in skladnost zaposlenih. Redne ocene in načrti za obnovitev po nesrečah dodatno varujejo podatke.

Varnost podatkov je za nas izjemnega pomena. Združujemo več varnostnih funkcij, da zagotovimo, da so podatki strank, zaposlenih in podjetja vedno zaščiteni, tako da so naše stranke lahko mirne, saj vedo, da so njihovi podatki varni, njihova komunikacija zaščitena in njihova podjetja varovana.

Varnost infrastrukture

Varnost infrastrukture vključuje zaščito osnovne strojne, programske in omrežne opreme, ki podpira informacijsko-tehnološko (IT) delovanje organizacije. To zajema vse od podatkovnih centrov in strežnikov do omrežnih povezav in končnih naprav. Učinkovita varnost infrastrukture si prizadeva preprečiti nepooblaščen dostop, zlorabe in motnje ter zagotavlja celovitost, zaupnost in razpoložljivost IT-sistemov.

Ključne komponente varnosti infrastrukture

• Dostop do šifrirnih ključev omejen
  Politika: Dostop do šifrirnih ključev je omejen na pooblaščene uporabnike, ki imajo poslovno potrebo.
  Izvedba: To zagotavlja, da lahko občutljive podatke dešifrirajo le osebe z ustreznimi pooblastili, s čimer se zmanjša tveganje za vdore.

• Obvezna edinstvena avtentikacija računa
  Politika: Sistemi in aplikacije zahtevajo edinstvena uporabniška imena in gesla ali pooblaščene SSH-ključe.
  Izvedba: To zmanjša tveganje nepooblaščenega dostopa, saj ima vsak uporabnik svojo identiteto za avtentikacijo.

• Omejen dostop do produkcijskih aplikacij
  Politika: Dostop do produkcijskih aplikacij je omejen le na pooblaščeno osebje.
  Izvedba: S tem se prepreči, da bi nepooblaščeni uporabniki posegali v ključne aplikacije, ki poganjajo poslovanje.

• Vzpostavljeni postopki za nadzor dostopa
  Politika: Dokumentirane zahteve za dodajanje, spreminjanje in odstranjevanje uporabniškega dostopa.
  Izvedba: Jasni postopki zagotavljajo sistematično in varno upravljanje pravic dostopa.

• Omejen dostop do produkcijskih podatkovnih baz
  Politika: Privilegirani dostop do podatkovnih baz je omejen na pooblaščene uporabnike z poslovno potrebo.
  Izvedba: S tem se ščitijo občutljivi podatki, shranjeni v podatkovnih bazah, pred nepooblaščenim dostopom ali spremembami.

• Omejen dostop do požarnega zidu
  Politika: Privilegirani dostop do požarnega zidu je omejen na pooblaščene uporabnike z poslovno potrebo.
  Izvedba: Požarni zidovi so ključni za omrežno varnost, omejen dostop pa zagotavlja, da njihove nastavitve ne bodo ogrožene.

• Omejen dostop do produkcijskega operacijskega sistema
  Politika: Privilegirani dostop do operacijskega sistema je omejen na pooblaščene uporabnike z poslovno potrebo.
  Izvedba: To ščiti OS plast pred nepooblaščenimi spremembami, ki bi lahko vplivale na stabilnost in varnost sistema.

• Omejen dostop do produkcijskega omrežja
  Politika: Privilegirani dostop do produkcijskega omrežja je omejen na pooblaščene uporabnike z poslovno potrebo.
  Izvedba: Zagotavlja, da lahko do omrežja dostopajo le pooblaščene osebe, s čimer se zmanjša tveganje notranjih groženj.

• Preklic dostopa ob prenehanju zaposlitve
  Politika: Dostop zaposlenih, ki so prenehali z delom, se prekliče v okviru pogodbene ravni storitev (SLA).
  Izvedba: S tem se prepreči, da bi bivši zaposleni po prenehanju dostopali do sistemov podjetja.

• Obvezna edinstvena avtentikacija omrežnih sistemov
  Politika: Zahteva edinstvena uporabniška imena in gesla ali pooblaščene SSH-ključe za dostop do omrežja.
  Izvedba: Poveča varnost, saj je dostop do omrežja mogoče izslediti do posameznega uporabnika.

• Obvezno šifriranje oddaljenega dostopa
  Politika: Oddaljen dostop do produkcijskih sistemov je dovoljen samo prek odobrenih šifriranih povezav.
  Izvedba: Ščiti podatke, posredovane prek oddaljenih povezav, pred prestrezanjem.

• Uporaba sistema za zaznavanje vdorov
  Politika: Neprestano spremljanje omrežja za zgodnje zaznavanje varnostnih incidentov.
  Izvedba: IDS zagotavlja obvestila v realnem času, kar omogoča hiter odziv na potencialne grožnje.

• Spremljanje zmogljivosti infrastrukture
  Politika: Uporaba orodij za spremljanje delovanja sistema in generiranje opozoril ob preseženih pragovih.
  Izvedba: Zagotavlja robustnost infrastrukture in pravočasno odpravo težav.

• Izvedena segmentacija omrežja
  Politika: Segmentacija omrežja za preprečevanje nepooblaščenega dostopa do podatkov strank.
  Izvedba: Omejuje širjenje vdorov z izolacijo posameznih delov omrežja.

• Letni pregled požarnih zidov
  Politika: Letni pregled pravil požarnega zidu s sledenjem spremembam.
  Izvedba: Zagotavlja, da so nastavitve požarnih zidov posodobljene in skladne z najnovejšimi varnostnimi standardi.

• Uporaba omrežnih požarnih zidov
  Politika: Požarni zidovi so konfigurirani za preprečevanje nepooblaščenega dostopa.
  Izvedba: Delujejo kot prva obrambna linija pred zunanjimi grožnjami.

• Vzdrževanje standardov za utrjevanje omrežij in sistemov
  Politika: Dokumentirani standardi, ki temeljijo na najboljših praksah v industriji, se letno pregledujejo.
  Izvedba: Zagotavlja, da so sistemi varno konfigurirani za odpornost proti napadom.

Varnost podatkovnih centrov

Zaupnost in celovitost vaših podatkov zagotavljamo z najboljšimi industrijskimi praksami. Strežniki FlowHunt gostujejo v objektih, ki so skladni s standardi Tier IV ali III+, PCI DSS, SSAE-16 ali ISO 27001. Naša varnostna ekipa nenehno uvaja varnostne posodobitve in se aktivno odziva na varnostna opozorila in dogodke.

Fizična varnost

Omrežna varnost

Naše omrežje je zaščiteno z rezervnimi požarnimi zidovi, vrhunsko usmerjevalno tehnologijo, varnim prenosom HTTPS prek javnih omrežij ter tehnologijami za zaznavanje in/ali preprečevanje vdorov (IDS/IPS), ki nadzorujejo in/ali blokirajo zlonamerni promet in napade na omrežje.

Dodatni ukrepi

• Ublažitev DDoS napadov: Vgrajena je vrhunska infrastruktura za zaščito pred in ublažitev vpliva napadov zavrnitve storitve.
• Šifriranje komunikacije: Komunikacija med vami in strežniki FlowHunt je šifrirana po najboljših industrijskih praksah HTTPS in TLS prek javnih omrežij.

Organizacijska varnost

Postopki za odlaganje sredstev

• Ocena inventarja: Identificiranje in evidentiranje vseh naprav, predvidenih za odlaganje.
• Varnostno kopiranje podatkov: Varno varnostno kopiranje potrebnih podatkov pred odlaganjem.
• Brisanje podatkov: Uporaba certificiranih orodij za izbris vseh podatkov z naprav v skladu z industrijskimi standardi.
• Fizično uničenje: Za naprave, ki jih ni mogoče izbrisati, se uporabljajo metode fizičnega uničenja, kot sta drobljenje ali razmagnetenje.
• Okoljska skladnost: Vse metode odlaganja so v skladu z okoljskimi predpisi.

Certifikati in skladnost

• Dokumentacija: Vodenje podrobnih evidenc o vseh odloženih sredstvih, vključno s serijskimi številkami, metodami odlaganja in datumi.
• Zunanje preverjanje: Vključitev certificiranih zunanjih izvajalcev za preverjanje in dokumentiranje postopka odlaganja.

Skladnost zaposlenih in pogodbenikov

• Preverjanje ozadja: Novi zaposleni opravijo temeljito preverjanje preteklosti pred zaposlitvijo.
• Kodeks ravnanja: Zaposleni in pogodbeniki morajo potrditi in spoštovati kodeks ravnanja podjetja, pri čemer so za kršitve predvideni disciplinski ukrepi.
• Pogodbe o zaupnosti: Pogodbe o zaupnosti so obvezne za vse zaposlene ob zaposlitvi in za pogodbenike ob sklenitvi sodelovanja.

Protokoli za obiskovalce in varnost

• Postopki za obiskovalce: Obiskovalci se morajo prijaviti, nositi značko za obiskovalce in jih mora spremljati pooblaščeni zaposleni ob dostopu do varovanih območij.
• Usposabljanje o varnosti: Zaposleni opravijo usposabljanje o varnosti v 30 dneh po zaposlitvi in nato vsako leto, da so seznanjeni z najboljšimi praksami in novimi grožnjami.

Varnost izdelka

Šifriranje podatkov

Vse baze in varnostne kopije baz FlowHunt z občutljivimi podatki strank so šifrirane. Šifriranje podatkov o obračunavanju in plačilih izvajajo naši plačilni procesorji (Stripe).

• Šifriranje na ravni stolpcev: Šifrira določene stolpce v podatkovni bazi in tako omogoča bolj ciljno usmerjeno zaščito podatkov. Ta metoda je uporabna za zaščito občutljivih polj, kot so API ključi.
• Šifrirni protokoli: Za šifriranje prenosa podatkov po omrežjih se uporabljajo protokoli SSL in TLS.

Testiranje odpornosti na vdore

FlowHunt redno izvaja testiranje odpornosti na vdore in spodbuja zunanje varnostne raziskovalce prek programa nagrajevanja napak, da prepoznajo ranljivosti.

Posodobljeno: 30. 5. 2025