Сигурност и обработване на данни

1. Нашият подход

Проектираме по принципа на най-малките привилегии, държим възможно най-малко данни и предпочитаме скучни, добре познати мерки пред нови и неизпитани. Работата по сигурността е част от обичайната разработка (преглежда се в същите pull request-и като всичко останало), а не отделна проверка накрая.

2. Управление и отговорност

За сигурността отговаря ръководството, а не който се случи най-близо. Конкретен член на ръководството ни носи отговорност за информационната сигурност, за поддържането на тази декларация и за координирането на реакцията ни при всеки инцидент.

Всички въпроси, свързани със защитата на данните и сигурността (включително сигнали за уязвимости), ни достигат на office@c9group.dev.

Преглеждаме тази декларация, списъка на подизпълнителите по обработването и регистрите на достъпа поне веднъж годишно, както и след всяка съществена промяна в инфраструктурата ни.

3. Какви данни съхраняваме

Посетители на сайта

Стандартна телеметрия на заявките (IP адрес, потребителски агент, препращаща страница, заредени страници), данни за използването от Rybbit, инструмента за анализ, който поддържаме на собствен сървър без бисквитки, както и аналитични и рекламни идентификатори, ако сте дали съгласие за тях. Подробности, включително правното основание за всяка цел, ще намерите в нашата Политика за поверителност.

Потенциални клиенти

Това, което ни изпращате чрез формуляр за контакт, резервация на среща или имейл: обикновено име, служебен имейл, компания и описание на проекта. Искаме минимума, нужен за един полезен първи разговор, и не изискваме лични данни отвъд него.

Данни от клиентски проекти

По време на проект може да съхраняваме изходен код, архитектурна документация, данни за достъп до системите, по които ни възлагате работа, и (ако работата го изисква) данни в тези системи. Тази категория се урежда от договора за проекта, а когато става дума за лични данни, и от споразумение за обработване на данни.

4. Хостинг и местоположение на данните

Този сайт работи в Amazon Web Services. Изчисленията на приложението и основното хранилище (origin) се намират в региона eu-central-1 (Франкфурт, Германия), в рамките на Европейския съюз. Статичните ресурси се разпространяват чрез глобалната мрежа от крайни точки на Amazon CloudFront, която кешира публичното съдържание на страниците и ресурсите (но не и изпратени формуляри или лични данни) близо до посетителите.

Инфраструктурата на клиентските проекти се изгражда в региона, който клиентът посочи. Когато клиентът изисква данните да остават само в ЕС, проектираме архитектурата така и го потвърждаваме писмено в договора за проекта.

5. Криптиране

• При пренос: Целият трафик към и от този сайт минава през HTTPS с TLS 1.2 или по-нова версия. Заявките по обикновен HTTP се пренасочват към HTTPS.
• В покой: Данните, съхранявани в нашата AWS среда, са криптирани в покой с ключове, управлявани от AWS.
• Вътрешен пренос: Трафикът между компонентите на инфраструктурата ни е криптиран при пренос.
• Крайни устройства: Работните станции, от които се осъществява достъп до клиентски системи и изходен код, са с включено пълно криптиране на диска.

6. Контрол на достъпа

• Най-малки привилегии: Достъпът се предоставя според ролята и проекта, ограничен е до това, което изисква работата, и се преглежда периодично.
• Многофакторно удостоверяване: Задължително за конзолите на облачния ни доставчик, системата за контрол на версиите и имейла.
• Без споделени акаунти: Всеки влиза със собствения си акаунт, така че всяко действие може да се проследи до конкретен човек.
• Работа с идентификационни данни: Секретите се пазят в управлявано хранилище за секрети или в криптиран трезор. Никога не се качват в системата за контрол на версиите, не се изпращат по чат и не се съхраняват в обикновени текстови файлове.
• Клиентски достъпи: Когато ни дадете достъп до своите системи, предпочитаме именувани акаунти с права, ограничени до нашата роля, вместо споделени идентификационни данни, и ви молим да ги закриете, когато проектът приключи. Ако не сте закрили нашите, попитайте ни. Ще ви кажем точно какъв достъп все още имаме.
• Напускане: Достъпът се отнема, когато човек напусне компанията или се оттегли от даден проект.

7. Сигурна разработка

• Преглед на кода: Промените се преглеждат от човек, различен от автора им, преди да бъдат слети.
• Контрол на версиите: Цялата работа се води в Git, което дава пълна история на промените с ясно авторство.
• Автоматизирани тестове и CI: Тестовете и статичните проверки на кода се изпълняват автоматично при всяка промяна; при неуспех конвейерът спира.
• Управление на зависимостите: Зависимостите от трети страни са фиксирани чрез lock файлове и се следят за публикувани уязвимости. Бюлетините за сигурност, засягащи зависимост, която доставяме, се оценяват веднага щом ги получим.
• Сканиране за секрети: Хранилищата се следят за качени идентификационни данни; всичко открито се отменя и подменя, а не просто се изтрива от историята.
• Инфраструктура като код: Средите са описани във версионирана конфигурация и скриптове за внедряване, така че промените могат да се преглеждат и възпроизвеждат, вместо да се правят на ръка.
• Разделяне на средите: Средите за разработка, тестване (staging) и продукция са разделени, а продукционните идентификационни данни се държат само там, където работи продукцията.

Нашите инженери използват инструменти за програмиране с помощта на ИИ. Целият генериран код минава през същите прегледи, тестове и проверки на зависимостите като написания на ръка, а клиентски идентификационни данни и поверителни клиентски данни не поставяме в инструменти за ИИ на трети страни.

8. Управление на уязвимости и корекции

Следим бюлетините за сигурност на платформите и зависимостите, които използваме. Целеви срокове за корекции, отчитани от момента, в който поправката стане достъпна за нас:

Когато поправка все още няма, прилагаме компенсираща мярка (изключваме засегнатата функция, ограничаваме мрежовия достъп или добавяме механизъм за откриване) и документираме решението. Сроковете за корекции на системи, които поддържаме от името на клиент, са определени в съответния договор за услуги и може да са по-строги от посочените по-горе.

9. Журнали и наблюдение

Журналите на приложенията и инфраструктурата се събират централно в облачната ни среда, пазят се за определен срок и се преглеждат при разследване на грешка или на предполагаем инцидент. Административните действия в облачните ни акаунти се записват в одитна следа.

Съзнателно не допускаме излишни лични данни в журналите и не записваме тела на заявки, които съдържат идентификационни данни или съдържание на формуляри.

10. Резервни копия и непрекъснатост

Този сайт не пази състояние и може да се изгради наново от изходния код: артефактът за внедряване се създава от код под контрол на версиите, така че възстановяването означава повторно внедряване, а не възстановяване от резервно копие. Изходният код се пази в Git с разпределени копия.

За клиентските системи, които поддържаме, честотата на резервните копия, срокът за съхранението им, целевата точка на възстановяване и целевото време за възстановяване се определят за всеки проект поотделно, а възстановяването се тества, вместо да се приема, че ще сработи.

11. Работа с клиентски данни

• Споразумение за обработване на данни: Когато обработваме лични данни от ваше име, действаме като обработващ лични данни по писмено споразумение (DPA), което отговаря на член 28 от ОРЗД. При поискване предоставяме нашето стандартно споразумение и можем да прегледаме вашето.
• Поверителност: При поискване подписваме двустранни споразумения за неразгласяване (NDA), включително преди първия разговор за обхвата на проекта.
• Обработване само по указания: Обработваме личните данни на клиента само по документирани указания и никога за собствени цели.
• Уведомяване за подизпълнители: Уведомяваме ви, преди да добавим подизпълнител, който би обработвал ваши лични данни, и ви даваме възможност да възразите.
• Връщане и изтриване: В края на проекта при поискване връщаме или изтриваме клиентските данни и потвърждаваме писмено, когато това е направено.
• Съдействие: Помагаме ви да отговаряте на искания на субекти на данни, въпросници за сигурност и запитвания от регулатори, свързани със системи, които сме изградили или поддържаме.

12. Персонал

• Всеки, който работи по клиентски проекти (служител или външен изпълнител), е обвързан с писмени задължения за поверителност, които остават в сила и след края на ангажимента му.
• Към подизпълнителите прилагаме изисквания за сигурност и поверителност, които защитават не по-малко от нашите, и оставаме отговорни пред вас за тяхната работа.
• Достъп до клиентска среда получават само хората, които работят по нея, и той се отнема, когато се оттеглят от проекта.
• Екипът ни работи от различни места; отдалеченият достъп до клиентски системи следва същите правила за удостоверяване и най-малки привилегии като достъпа от офиса.

13. Подизпълнители и услуги на трети страни

Следните трети страни може да обработват данни във връзка с този сайт. Услугите за анализ и реклама се зареждат само след като дадете съгласие чрез банера за бисквитки; останалите са необходими за работата на сайта или за да ви отговорим.

Използваме Google Consent Mode, така че таговете на Google се зареждат в състояние на отказ и не се записват данни за анализ или реклама, докато не дадете съгласие. Ако оттеглите съгласието си чрез банера за бисквитки, рекламните идентификатори, които пазим локално, се изтриват.

Подизпълнителите, използвани в конкретен клиентски проект, са изброени в споразумението за обработване на данни за този проект, а не тук.

14. Международно предаване на данни

Хостингът на сайта държи данните в ЕС. Някои от посочените по-горе доставчици са установени извън Европейското икономическо пространство, предимно в Съединените щати, което означава, че определени данни може да бъдат предадени там.

За тези предавания разчитаме на стандартните договорни клаузи на Европейската комисия, на сертифицирането на доставчика по Рамката за защита на данните между ЕС и САЩ, където е приложимо, и на допълнителните мерки, описани на тази страница: преди всичко криптиране при пренос и свеждане на данните до минимум. Механизмът за предаване за всеки доставчик е достъпен при поискване.

15. Реакция при инциденти

Ако установим инцидент със сигурността, засягащ данни, които съхраняваме, ограничаваме го, оценяваме обхвата му, отстраняваме причината и уведомяваме засегнатите.

След всеки значим инцидент правим преглед без търсене на виновни, документираме първопричината и коригиращите действия и споделяме изводите със засегнатите клиенти.

16. Отговорно разкриване на уязвимости

Ако смятате, че сте открили уязвимост в сигурността на този сайт или на някоя система, която поддържаме, искаме да научим за нея.

В замяна ви молим:

• Да ни дадете разумно време да отстраним проблема, преди да го оповестите публично
• Да не достъпвате, променяте или изтривате данни, които не са ваши, и да спрете в момента, в който сте демонстрирали уязвимостта
• Да не провеждате тестове за отказ на услуга, да не изпращате спам и да не използвате социално инженерство или физически атаки срещу нашите служители или офиси
• Да не използвате автоматизирани скенери, които влошават услугата за другите потребители

В момента нямаме платена програма за награди за открити уязвимости (bug bounty). Но четем всеки сигнал, изпратен от човек, и благодарим за него.

17. Стандарти, които следваме

Практиките ни са изградени в съответствие със следните рамки. В момента не сме сертифицирани по нито една от тях и ако това се промени, ще посочим тук сертифициращия орган и датата на сертификата.

• ОРЗД (Регламент (ЕС) 2016/679): Защита на данните на етапа на проектирането и по подразбиране, задълженията на обработващия по член 28 и уведомяването за нарушения.
• ISO/IEC 27001: Използва се като референтен модел за практиките ни по контрол на достъпа, управление на активите и реакция при инциденти.
• OWASP Top 10 и OWASP ASVS: Референтна рамка за преглед на сигурността на приложенията.
• CIS Benchmarks: Референтна рамка за базовата конфигурация на облачни среди и операционни системи.
• NIS2 (Директива (ЕС) 2022/2555): Вземаме я предвид, когато разработваме за клиенти в обхвата ѝ, чиито задължения по веригата на доставки се простират и до нас.

18. Документация, достъпна при поискване

Екипите по снабдяване и по сигурност могат да поискат следното на office@c9group.dev:

• Нашето стандартно споразумение за обработване на данни
• Двустранно споразумение за неразгласяване
• Списъка на подизпълнителите и механизма за предаване на данни за конкретен проект
• Попълнени отговори на вашия въпросник за сигурност или оценка на доставчик
• Писмено описание на мерките, приложени в конкретен проект

19. Контакт

Вижте също Политиката за поверителност, Общите условия и Декларацията за достъпност.

20. Език