Безопасность в SecureCodingHub

Все данные в покое зашифрованы с использованием AES-256. Тома баз данных, резервные копии и файловое хранилище шифруются ключами, управляемыми через выделенную службу управления ключами.

Все коммуникации между клиентами и нашими серверами используют TLS 1.3. Мы принудительно применяем HTTPS на всех эндпоинтах с заголовками HSTS и мониторингом прозрачности сертификатов.

Данные клиентов логически изолированы на уровне приложения. Данные каждой организации сегрегируются строгими средствами контроля доступа, что исключает утечки данных между арендаторами.

Корпоративные клиенты могут интегрироваться со своим поставщиком идентификации, используя единый вход на основе SAML 2.0. Мы поддерживаем все основные IdP, включая Azure AD, Okta и OneLogin.

Поддержка MFA добавляет дополнительный уровень защиты учётных записей пользователей. Мы поддерживаем приложения-аутентификаторы на основе TOTP для второго фактора верификации.

Сессии криптографически защищены короткоживущими токенами, автоматическим истечением срока и возможностями отзыва. Неактивные сессии прекращаются по истечении настраиваемого тайм-аута.

Мы проводим регулярные тесты на проникновение нашей инфраструктуры и приложения силами сторонних специалистов. Выявленные проблемы сортируются, приоритизируются и устраняются в соответствии с критичностью.

Наш конвейер CI/CD включает автоматизированное сканирование зависимостей и анализ состава программного обеспечения. Известные уязвимости в сторонних библиотеках помечаются и оперативно устраняются.

Мы поддерживаем программу ответственного раскрытия для исследователей безопасности. Если Вы обнаружили уязвимость, пожалуйста, сообщите нам о ней, и мы вместе с Вами найдём решение.

Мы собираем только те данные, которые необходимы для предоставления наших услуг. Мы не собираем ненужную персональную информацию и не продаём пользовательские данные третьим лицам.

Данные хранятся только в течение времени, необходимого для достижения целей, для которых они были собраны. Когда данные больше не требуются, они надёжно удаляются или обезличиваются.

Пользователи могут запросить удаление своей учётной записи и связанных с ней данных в любое время. Мы оперативно обрабатываем запросы на удаление и подтверждаем выполнение в течение 30 дней.

Каждое изменение в продакшене проходит через ревью pull request с участием как минимум одного инженера за пределами непосредственной рабочей пары автора. CI выполняет модульные, интеграционные и проверки безопасности при каждом push. Деплои в продакшен проходят через отдельный шаг утверждения. Экстренные изменения следуют документированной процедуре break-glass с ретроспективным разбором на той же неделе. Изменения инфраструктуры управляются как код и пересматриваются по тому же рабочему процессу, что и код приложения.

Анализ состава программного обеспечения выполняется на каждом pull request и снова по ночному расписанию против основной ветки. Уведомления о критических и высоких уязвимостях вызывают оповещение дежурного инженера с целевым окном устранения, измеряемым в днях, а не неделях. Уведомления среднего и низкого уровня агрегируются для еженедельного обзора. Базовые образы контейнеров пересобираются с фиксированной частотой, чтобы транзитивные патчи операционной системы достигали продакшена без необходимости изменений в приложении.

План реагирования на инциденты определяет четыре уровня критичности, пути эскалации и единую точку ответственности на инцидент. Первый ответчик отвечает за локализацию и коммуникацию с клиентом, а выделенный следователь работает с технической стороной. Постинцидентные разборы проводятся без поиска виновных и завершаются письменным отчётом с пунктами действий, отслеживаемыми до закрытия. План отрабатывается не менее двух раз в год на сценариях, чтобы мышечная память существовала до реального инцидента.

Если Ваша команда безопасности обнаружила что-либо во время контрактного пентеста, внутреннего ревью или обычного использования продукта, сообщите об этом непосредственно нашей команде безопасности, а не обсуждайте публично в первую очередь. Мы подтвердим получение в течение двух рабочих дней, предоставим идентификатор отслеживания и будем сообщать о статусе до закрытия проблемы. Мы относимся к согласованному раскрытию как к партнёрству.

Администраторы клиента контролируют назначение ролей в своём арендаторе. Принцип, который мы рекомендуем, такой же, как мы применяем внутри: назначайте самую узкую роль, позволяющую пользователю выполнять работу, и регулярно пересматривайте назначения. В частности, административный доступ должен быть ограничен небольшой именованной группой, и эта группа должна аудироваться по мере смены ролей внутри Вашей организации.

Когда человек покидает Вашу организацию, его деактивация в Вашем поставщике идентификации должна распространиться через SCIM для удаления доступа к платформе. Мы настоятельно рекомендуем провижининг через SCIM вместо ручного управления пользователями для любой организации свыше тридцати мест. Если Вы не можете внедрить SCIM сегодня, чек-лист прекращения работы на уровне учётной записи с именованным владельцем — следующий по эффективности контроль.

Страница статуса, охватывающая доступность платформы и инциденты деградации сервиса. Список субобработчиков. Текущее дополнение об обработке данных. Сама эта страница безопасности. Как только SOC 2 Type II будет завершён, отчёт будет доступен под NDA по запросу через Вашего контактного менеджера. Существенные обновления политик, затрагивающие клиентов, объявляются через Вашего контактного менеджера, а не прячутся в журнале изменений.

Внутренние схемы сетевой архитектуры, детальные потоки аутентификации, конкретные инструменты, используемые нашей командой безопасности, графики ротации ключей на уровне отдельных ключей, имена и роли сотрудников команды безопасности. Любое из этого может быть рассмотрено под NDA, когда того требует разговор — например, в ходе обзора безопасности, инициированного отделом закупок — но этому не место на публичной странице. Публикация этой информации снизила бы стоимость целевой атаки, не давая ни одному клиенту реальной выгоды.