Turvalisus ja andmete käsitlemine

1. Meie lähenemisviis

Lähtume vähimate õiguste põhimõttest, hoiame andmeid nii vähe kui võimalik ning eelistame uudsetele lahendustele igavaid ja hästi tuntud kontrollimeetmeid. Turvatöö on tavapärase arendustöö osa (see vaadatakse üle samades muudatustaotlustes nagu kõik muu), mitte eraldi kontrollpunkt lõpus.

2. Juhtimine ja vastutus

Turvalisuse eest vastutab juhtkond, mitte see, kes juhtub kõige lähemal olema. Infoturbe, selle dokumendi ajakohasena hoidmise ja mis tahes intsidendile reageerimise koordineerimise eest vastutab nimeliselt määratud juhtkonna liige.

Kõik andmekaitse- ja turvaküsimused (sealhulgas haavatavusteated) jõuavad meieni aadressil office@c9group.dev.

Vaatame selle dokumendi, alamtöötlejate loetelu ja juurdepääsuregistrid üle vähemalt kord aastas ning pärast iga olulist muudatust oma taristus.

3. Milliseid andmeid me hoiame

Veebisaidi külastajad

Tavapärased päringuandmed (IP-aadress, kasutajaagent, viitaja, päritud lehed), kasutusandmed Rybbitist, mis on meie enda serveris ilma küpsisteta töötav analüütikatööriist, ning analüütika- ja reklaamiidentifikaatorid, kui olete nende kasutamiseks nõusoleku andnud. Üksikasjad, sealhulgas iga eesmärgi õiguslik alus, leiate meie privaatsuspoliitikast.

Potentsiaalsed kliendid

See, mida meile kontaktivormi, broneeringu või e-kirja kaudu saadate: tavaliselt nimi, töö e-posti aadress, ettevõte ja projekti kirjeldus. Küsime vaid nii palju, kui on vaja sisukaks esimeseks vestluseks, ega nõua sellest rohkem isikuandmeid.

Kliendiprojektide andmed

Projekti ajal võivad meil olla lähtekood, arhitektuuridokumentatsioon, juurdepääsuandmed süsteemidele, millega palute meil töötada, ning (kui töö seda nõuab) nendes süsteemides hoitavad andmed. Seda kategooriat reguleerib projektileping ja isikuandmete puhul ka isikuandmete töötlemise leping.

4. Majutus ja andmete asukoht

See veebisait töötab Amazon Web Servicesi taristul. Rakenduse arvutusressursid ja lähtesalvestus asuvad Euroopa Liidus, piirkonnas eu-central-1 (Frankfurt, Saksamaa). Staatilisi faile levitatakse Amazon CloudFronti ülemaailmse servavõrgu kaudu, mis puhverdab avalikku lehesisu ja faile (mitte vormide kaudu saadetud andmeid ega isikuandmeid) külastajate lähedal.

Kliendiprojektide taristu luuakse kliendi määratud piirkonnas. Kui klient nõuab, et andmeid hoitaks üksnes ELis, projekteerime lahenduse vastavalt ja kinnitame selle kirjalikult projektilepingus.

5. Krüpteerimine

• Edastamisel: Kogu liiklus selle veebisaidiga toimub HTTPS-i kaudu, kasutades TLS 1.2 või uuemat versiooni. Tavalised HTTP-päringud suunatakse ümber HTTPS-ile.
• Salvestatuna: Meie AWS-i keskkonnas salvestatud andmed on krüpteeritud AWS-i hallatavate võtmetega.
• Sisemine edastus: Liiklus meie taristu komponentide vahel on edastamisel krüpteeritud.
• Tööjaamad: Arvutitel, millega pääseb ligi kliendisüsteemidele ja lähtekoodile, on sisse lülitatud kogu ketta krüpteerimine.

6. Juurdepääsu kontroll

• Vähimad õigused: Juurdepääs antakse rolli ja projekti kaupa, piiratakse sellega, mida töö nõuab, ning vaadatakse perioodiliselt üle.
• Mitmikautentimine: Nõutav pilveteenuse pakkujate konsoolides, versioonihalduses ja e-postis.
• Ühiskontosid ei kasutata: Igaüks autendib end iseendana, nii et tegevused on konkreetse isikuga seostatavad.
• Juurdepääsuandmete käsitlemine: Saladusi hoitakse hallatud saladuste hoidlas või krüpteeritud seifis. Neid ei lisata kunagi versioonihaldusse, ei saadeta vestluses ega hoita krüpteerimata failides.
• Kliendi juurdepääsuandmed: Kui annate meile juurdepääsu oma süsteemidele, eelistame jagatud juurdepääsuandmetele meie rolliga piiratud nimelisi kontosid ning palume teil need projekti lõppedes tühistada. Kui te pole meie juurdepääsu tühistanud, küsige meilt. Ütleme teile täpselt, milline juurdepääs meil endiselt on.
• Juurdepääsu lõpetamine: Juurdepääs tühistatakse, kui inimene lahkub ettevõttest või projektist.

7. Turvaline arendus

• Koodiülevaatus: Muudatused vaatab enne ühendamist üle keegi teine kui nende autor.
• Versioonihaldus: Kogu tööd jälgitakse Gitis, mis annab tervikliku ja isikuga seostatava muudatuste ajaloo.
• Automaattestimine ja CI: Testid ja koodianalüüs käivituvad iga muudatuse korral automaatselt; ebaõnnestumine peatab torujuhtme.
• Sõltuvuste haldamine: Kolmandate isikute sõltuvused on lukustusfailidega fikseeritud ja neid jälgitakse avaldatud haavatavuste suhtes. Turvateated, mis puudutavad meie tarnitavat sõltuvust, hinnatakse kohe nende saabumisel.
• Saladuste skannimine: Repositooriume jälgitakse sinna lisatud juurdepääsuandmete suhtes; kõik leitud andmed tühistatakse ja vahetatakse välja, mitte ei kustutata pelgalt ajaloost.
• Taristu koodina: Keskkonnad on kirjeldatud versioonihalduses olevate konfiguratsiooni- ja juurutusskriptidega, nii et muudatused on ülevaadatavad ja korratavad, mitte käsitsi tehtud.
• Keskkondade eraldamine: Arendus-, test- ja tootmiskeskkond on eraldatud ning tootmiskeskkonna juurdepääsuandmeid hoitakse ainult seal, kus tootmiskeskkond töötab.

Meie arendajad kasutavad tehisintellektil põhinevaid kodeerimisabilisi. Kogu genereeritud kood läbib sama ülevaatuse, testimise ja sõltuvuste kontrolli nagu käsitsi kirjutatud kood ning me ei sisesta kliendi juurdepääsuandmeid ega konfidentsiaalseid kliendiandmeid kolmandate isikute tehisintellekti tööriistadesse.

8. Haavatavuste ja paikade haldus

Jälgime turvateateid nende platvormide ja sõltuvuste kohta, mida kasutame. Paikamise sihtajad, mida arvestatakse hetkest, mil parandus meile kättesaadavaks muutub:

Kui parandust veel ei ole, rakendame kompenseerivat meedet (lülitame mõjutatud funktsiooni välja, piirame võrgujuurdepääsu või lisame tuvastuse) ja dokumenteerime otsuse. Kliendi nimel käitatavate süsteemide paikamiskohustused on sätestatud asjakohases teenuselepingus ning võivad olla rangemad kui ülaltoodud sihtajad.

9. Logimine ja seire

Rakenduse ja taristu logid kogutakse keskselt meie pilvekeskkonda, säilitatakse kindlaksmääratud aja jooksul ning vaadatakse läbi vea või kahtlustatava intsidendi uurimisel. Meie pilvekontodel tehtud haldustoimingud salvestatakse auditijälge.

Hoiame logid teadlikult vabana mittevajalikest isikuandmetest ega logi päringute sisu, mis sisaldab juurdepääsuandmeid või vormide sisu.

10. Varundamine ja talitluspidevus

See veebisait ei hoia olekut ja selle saab lähtekoodist uuesti üles ehitada: juurutatav pakett koostatakse versioonihalduses olevast koodist, seega tähendab taastamine uuesti juurutamist, mitte varukoopiast taastamist. Lähtekoodi hoitakse Gitis hajutatud koopiatena.

Meie käitatavate kliendisüsteemide puhul määratakse varundamise sagedus, säilitamisaeg, taastepunkti eesmärk ja taasteaja eesmärk projektipõhiselt ning taastamist testitakse, mitte ei eeldata, et see töötab.

11. Töö kliendiandmetega

• Isikuandmete töötlemise leping: Kui töötleme isikuandmeid teie nimel, tegutseme volitatud töötlejana kirjaliku andmetöötluslepingu alusel, mis vastab isikuandmete kaitse üldmääruse artiklile 28. Soovi korral edastame oma standardse andmetöötluslepingu ja võime üle vaadata teie oma.
• Konfidentsiaalsus: Allkirjastame soovi korral vastastikuse konfidentsiaalsuslepingu, ka enne esimest ulatuse kavandamise vestlust.
• Töötlemine juhiste alusel: Töötleme kliendi isikuandmeid üksnes dokumenteeritud juhiste alusel ja mitte kunagi oma eesmärkidel.
• Teade alamtöötlejatest: Teavitame teid enne sellise alamtöötleja lisamist, kes hakkaks teie isikuandmeid töötlema, ja anname teile võimaluse esitada vastuväiteid.
• Tagastamine ja kustutamine: Projekti lõpus tagastame või kustutame kliendiandmed teie soovil ning kinnitame seda kirjalikult, kui see on tehtud.
• Abi: Aitame teil vastata andmesubjektide taotlustele, turvaküsimustikele ja järelevalveasutuste päringutele, mis puudutavad meie ehitatud või käitatavaid süsteeme.

12. Töötajad

• Kõiki kliendiprojektidega tegelevaid isikuid (töötajaid ja lepingupartnereid) seovad kirjalikud konfidentsiaalsuskohustused, mis kehtivad ka pärast nende töösuhte või lepingu lõppemist.
• Alltöövõtjatele kehtivad turva- ja konfidentsiaalsuskohustused, mis ei ole vähem kaitsvad kui meie enda omad, ning me vastutame teie ees nende töö eest.
• Juurdepääs kliendi keskkonnale antakse üksnes neile, kes sellega töötavad, ja see eemaldatakse, kui nad projektist lahkuvad.
• Meie meeskond töötab eri asukohtades; kaugjuurdepääsule kliendisüsteemidele kehtivad samad autentimise ja vähimate õiguste reeglid nagu kontorist tehtavale juurdepääsule.

13. Alamtöötlejad ja kolmandate isikute teenused

Järgmised kolmandad isikud võivad selle veebisaidiga seoses andmeid töödelda. Analüütika- ja reklaamiteenused laaditakse alles pärast teie nõusolekut küpsiste bänneri kaudu; ülejäänud on vajalikud saidi toimimiseks või teile vastamiseks.

Kasutame Google'i nõusolekurežiimi (Consent Mode), nii et Google'i märgendid laaditakse keelatud olekus ning analüütika- ega reklaamiandmeid ei salvestata enne, kui olete nõusoleku andnud. Kui võtate nõusoleku küpsiste bänneri kaudu tagasi, kustutatakse reklaamiidentifikaatorid, mida hoiame kohalikult.

Konkreetses kliendiprojektis kasutatavad alamtöötlejad on loetletud selle projekti andmetöötluslepingus, mitte siin.

14. Rahvusvahelised edastamised

Veebisaidi majutus hoiab andmed ELis. Mõni eespool nimetatud teenusepakkuja asub väljaspool Euroopa Majanduspiirkonda, peamiselt Ameerika Ühendriikides, mistõttu võidakse teatud andmeid sinna edastada.

Nende edastamiste puhul tugineme Euroopa Komisjoni lepingutüüptingimustele, teenusepakkuja sertifitseerimisele ELi ja USA andmekaitseraamistiku (EU-US Data Privacy Framework) alusel, kui see on kohaldatav, ning sellel lehel kirjeldatud lisameetmetele: eelkõige krüpteerimisele edastamisel ja võimalikult väheste andmete töötlemisele. Iga teenusepakkuja edastamismehhanismi kohta saate teavet meie käest küsida.

15. Intsidentidele reageerimine

Kui tuvastame turvaintsidendi, mis mõjutab meie hoitavaid andmeid, piirame selle leviku, hindame selle ulatust, kõrvaldame põhjuse ja teavitame mõjutatud isikuid.

Pärast iga olulist intsidenti teeme süüdlasi otsimata intsidendijärgse analüüsi, dokumenteerime algpõhjuse ja parandusmeetmed ning jagame tulemusi mõjutatud klientidega.

16. Vastutustundlik avalikustamine

Kui arvate, et olete leidnud turvahaavatavuse sellel veebisaidil või mõnes meie käitatavas süsteemis, tahame sellest kuulda.

Vastutasuks palume teil:

• anda meile mõistlik aeg probleemi parandamiseks enne selle avalikustamist
• vältida juurdepääsu teile mittekuuluvatele andmetele ning nende muutmist või kustutamist ja lõpetada tegevus hetkel, kui olete haavatavuse olemasolu tõendanud
• mitte teha teenusetõkestusteste, saata rämpsposti ega kasutada meie töötajate või kontorite vastu sotsiaalset manipuleerimist või füüsilisi rünnakuid
• mitte kasutada automaatseid skannereid, mis halvendavad teenuse kvaliteeti teiste kasutajate jaoks

Meil ei ole praegu tasulist vigade leidmise preemiaprogrammi. Loeme aga läbi iga teate, mille inimene saadab, ja täname selle eest.

17. Standardid, millest lähtume

Meie tegevuspraktika on kujundatud vastama järgmistele raamistikele. Me ei ole praegu sertifitseeritud ühegi neist alusel ning kui see muutub, märgime siia sertifitseerimisasutuse ja sertifikaadi kuupäeva.

• Isikuandmete kaitse üldmäärus (GDPR, määrus (EL) 2016/679): Lõimitud ja vaikimisi andmekaitse, artiklist 28 tulenevad volitatud töötleja kohustused ja rikkumisest teavitamine.
• ISO/IEC 27001: Kasutame võrdlusmudelina oma juurdepääsu kontrolli, varahalduse ja intsidentidele reageerimise praktikate jaoks.
• OWASP Top 10 ja OWASP ASVS: Alus rakenduste turvaülevaatuseks.
• CIS Benchmarks: Alus pilve- ja operatsioonisüsteemide baaskonfiguratsiooniks.
• NIS2 (direktiiv (EL) 2022/2555): Arvestame sellega, kui ehitame lahendusi direktiivi kohaldamisalasse kuuluvatele klientidele, kelle tarneahelaga seotud kohustused laienevad ka meile.

18. Soovi korral kättesaadavad dokumendid

Hanke- ja turvameeskonnad saavad aadressilt office@c9group.dev küsida järgmist:

• Meie standardne isikuandmete töötlemise leping
• Vastastikune konfidentsiaalsusleping
• Konkreetse projekti alamtöötlejate loetelu ja edastamismehhanism
• Täidetud vastused teie turvaküsimustikule või tarnija hindamisele
• Kirjalik kirjeldus konkreetse projekti suhtes rakendatud kontrollimeetmetest

19. Kontakt

Vaadake ka meie privaatsuspoliitikat, kasutustingimusi ja ligipääsetavusteatist.

20. Keel