Saugumas ir duomenų tvarkymas

1. Mūsų požiūris

Sistemas projektuojame pagal mažiausių privilegijų principą, saugome kuo mažiau duomenų ir vietoj naujoviškų kontrolės priemonių renkamės nuobodžias, gerai išbandytas. Saugumo darbai yra įprasto kūrimo dalis (peržiūrimi tose pačiose „pull request“ užklausose kaip ir visa kita), o ne atskira patikra pabaigoje.

2. Valdymas ir atskaitomybė

Už saugumą atsako vadovybė, jis nėra paliekamas tam, kas arčiausiai. Konkretus mūsų vadovybės narys atsako už informacijos saugumą, šio pareiškimo priežiūrą ir mūsų reagavimo į bet kokį incidentą koordinavimą.

Visais duomenų apsaugos ir saugumo klausimais (įskaitant pranešimus apie pažeidžiamumus) su mumis galima susisiekti adresu office@c9group.dev.

Šį pareiškimą, subtvarkytojų sąrašą ir prieigos registrus peržiūrime bent kartą per metus ir po kiekvieno reikšmingo infrastruktūros pakeitimo.

3. Kokius duomenis saugome

Svetainės lankytojai

Standartiniai užklausų telemetrijos duomenys (IP adresas, naršyklės identifikacinė eilutė, nukreipimo šaltinis, užklausti puslapiai), naudojimo duomenys iš Rybbit (analitikos įrankio, kurį naudojame savo serveryje be slapukų), taip pat analitikos ir reklamos identifikatoriai, jei jiems davėte sutikimą. Išsami informacija, įskaitant kiekvieno tikslo teisinį pagrindą, pateikta mūsų Privatumo politikoje.

Potencialūs klientai

Tai, ką mums atsiunčiate per kontaktinę formą, susitikimo rezervaciją ar el. paštu: paprastai vardas, darbo el. pašto adresas, įmonė ir projekto aprašymas. Prašome tik būtiniausios informacijos, reikalingos naudingam pirmam pokalbiui, ir nereikalaujame jokių kitų asmens duomenų.

Klientų projektų duomenys

Projekto metu galime turėti išeitinį kodą, architektūros dokumentaciją, prisijungimo duomenis prie sistemų, su kuriomis prašote mūsų dirbti, ir (jei to reikalauja darbas) tose sistemose saugomus duomenis. Šiai kategorijai taikoma projekto sutartis, o kai susiję asmens duomenys, ir duomenų tvarkymo sutartis.

4. Priegloba ir duomenų buvimo vieta

Ši svetainė veikia Amazon Web Services. Programos skaičiavimai ir pirminė saugykla yra eu-central-1 (Frankfurtas, Vokietija) regione, Europos Sąjungoje. Statiniai ištekliai platinami per Amazon CloudFront pasaulinį kraštinių serverių tinklą, kuris viešą puslapių turinį ir išteklius (bet ne formų duomenis ar asmens duomenis) laiko podėlyje arti lankytojų.

Klientų projektų infrastruktūra diegiama kliento nurodytame regione. Jei klientui reikia, kad duomenys būtų laikomi tik ES, architektūrą kuriame atitinkamai ir tai raštu patvirtiname projekto sutartyje.

5. Šifravimas

• Perdavimo metu: visas srautas į šią svetainę ir iš jos perduodamas HTTPS protokolu naudojant TLS 1.2 ar naujesnę versiją. Paprastos HTTP užklausos nukreipiamos į HTTPS.
• Saugojimo metu: mūsų AWS aplinkoje saugomi duomenys šifruojami naudojant AWS valdomus raktus.
• Vidiniai perdavimai: srautas tarp mūsų infrastruktūros komponentų perdavimo metu šifruojamas.
• Galiniai įrenginiai: darbo stotyse, naudojamose prieigai prie klientų sistemų ir išeitinio kodo, įjungtas viso disko šifravimas.

6. Prieigos kontrolė

• Mažiausios privilegijos: prieiga suteikiama pagal vaidmenį ir projektą, tik tiek, kiek reikia darbui, ir periodiškai peržiūrima.
• Kelių veiksnių autentifikavimas: privalomas mūsų debesijos paslaugų teikėjų konsolėse, versijų kontrolės sistemoje ir el. pašte.
• Jokių bendrų paskyrų: kiekvienas asmuo prisijungia savo vardu, todėl kiekvieną veiksmą galima priskirti konkrečiam asmeniui.
• Slaptųjų duomenų tvarkymas: slaptieji duomenys laikomi valdomoje slaptųjų duomenų saugykloje arba šifruotoje saugykloje. Jie niekada neįtraukiami į versijų kontrolės sistemą, nesiunčiami pokalbių programomis ir nesaugomi nešifruotuose failuose.
• Klientų prisijungimo duomenys: kai suteikiate mums prieigą prie savo sistemų, vietoj bendrų prisijungimo duomenų renkamės vardines paskyras, apribotas mūsų vaidmeniu, ir prašome jas panaikinti pasibaigus projektui. Jei mūsų prieigos nepanaikinote, paklauskite mūsų. Tiksliai pasakysime, kokią prieigą vis dar turime.
• Prieigos panaikinimas: prieiga panaikinama, kai asmuo palieka įmonę arba baigia darbą projekte.

7. Saugus kūrimas

• Kodo peržiūra: prieš sujungiant pakeitimus juos peržiūri ne autorius, o kitas asmuo.
• Versijų kontrolė: visas darbas sekamas Git sistemoje, todėl turima išsami pakeitimų istorija, kurioje kiekvieną pakeitimą galima priskirti autoriui.
• Automatinis testavimas ir CI: testai ir kodo kokybės patikros paleidžiami automatiškai po kiekvieno pakeitimo; nesėkmė sustabdo diegimo grandinę (pipeline).
• Priklausomybių valdymas: trečiųjų šalių priklausomybių versijos užfiksuojamos „lockfile“ failuose ir stebimos dėl paskelbtų pažeidžiamumų. Saugumo pranešimai apie priklausomybes, kurias pateikiame su savo produktais, įvertinami iš karto juos gavus.
• Slaptųjų duomenų paieška: saugyklos stebimos, ar į jas nebuvo įtraukta prisijungimo duomenų; aptikti duomenys panaikinami ir pakeičiami naujais, o ne vien ištrinami iš istorijos.
• Infrastruktūra kaip kodas: aplinkos apibrėžiamos versijuojamuose konfigūracijos ir diegimo scenarijuose, todėl pakeitimus galima peržiūrėti ir pakartoti, užuot juos atlikus rankiniu būdu.
• Aplinkų atskyrimas: kūrimo, bandomoji (staging) ir gamybinė aplinkos yra atskirtos, o gamybinės aplinkos prisijungimo duomenys laikomi tik ten, kur veikia gamybinė aplinka.

Mūsų inžinieriai naudoja DI pagrįstus programavimo įrankius. Visas sugeneruotas kodas pereina tą pačią peržiūrą, testavimą ir priklausomybių patikras kaip ir rankomis parašytas kodas, o klientų prisijungimo duomenų ar konfidencialių klientų duomenų į trečiųjų šalių DI įrankius neįkeliame.

8. Pažeidžiamumų ir pataisų valdymas

Stebime saugumo pranešimus apie mūsų naudojamas platformas ir priklausomybes. Pataisų diegimo tikslai, skaičiuojami nuo tada, kai pataisa mums tampa prieinama:

Kai pataisos dar nėra, taikome kompensacinę priemonę (išjungiame paveiktą funkciją, apribojame tinklo prieigą arba įdiegiame aptikimą) ir užfiksuojame sprendimą. Pataisų diegimo įsipareigojimai sistemoms, kurias eksploatuojame kliento vardu, nustatomi taikomoje paslaugų sutartyje ir gali būti griežtesni nei pirmiau nurodyti tikslai.

9. Žurnalų registravimas ir stebėsena

Programų ir infrastruktūros žurnalai centralizuotai renkami mūsų debesijos aplinkoje, saugomi nustatytą laikotarpį ir peržiūrimi tiriant klaidą ar įtariamą incidentą. Administraciniai veiksmai mūsų debesijos paskyrose registruojami audito sekoje.

Sąmoningai neįtraukiame į žurnalus nereikalingų asmens duomenų ir neregistruojame užklausų turinio, kuriame yra prisijungimo duomenų ar formų turinio.

10. Atsarginės kopijos ir veiklos tęstinumas

Ši svetainė nesaugo būsenos ir gali būti atkurta iš išeitinio kodo: diegiamas paketas sukuriamas iš versijų kontrolėje laikomo kodo, todėl atkūrimas reiškia pakartotinį diegimą, o ne atstatymą iš atsarginės kopijos. Išeitinis kodas laikomas Git sistemoje su paskirstytomis kopijomis.

Mūsų eksploatuojamų klientų sistemų atsarginių kopijų dažnumas, saugojimo trukmė, atkūrimo taško tikslas (RPO) ir atkūrimo laiko tikslas (RTO) nustatomi kiekvienam projektui atskirai, o atkūrimą išbandome, užuot tiesiog tikėjęsi, kad jis veiks.

11. Darbas su klientų duomenimis

• Duomenų tvarkymo sutartis: kai tvarkome asmens duomenis jūsų vardu, veikiame kaip duomenų tvarkytojas pagal rašytinę duomenų tvarkymo sutartį, atitinkančią BDAR 28 straipsnį. Paprašius pateikiame savo standartinę duomenų tvarkymo sutartį, taip pat galime peržiūrėti jūsiškę.
• Konfidencialumas: paprašius pasirašome abipuses konfidencialumo sutartis (NDA), taip pat ir prieš pirmąjį pokalbį dėl projekto apimties.
• Tvarkymas tik pagal nurodymus: klientų asmens duomenis tvarkome tik pagal dokumentais įformintus nurodymus ir niekada savo tikslais.
• Pranešimas apie subtvarkytojus: prieš pasitelkdami subtvarkytoją, kuris tvarkytų jūsų asmens duomenis, jums apie tai pranešame ir suteikiame galimybę prieštarauti.
• Grąžinimas ir ištrynimas: pasibaigus projektui, paprašius grąžiname arba ištriname kliento duomenis ir tai atlikę patvirtiname raštu.
• Pagalba: padedame jums atsakyti į duomenų subjektų prašymus, saugumo klausimynus ir priežiūros institucijų užklausas, susijusias su mūsų sukurtomis ar eksploatuojamomis sistemomis.

12. Darbuotojai

• Visiems, dirbantiems klientų projektuose (darbuotojams ar rangovams), taikomi rašytiniai konfidencialumo įsipareigojimai, kurie galioja ir jiems baigus darbą.
• Subrangovams taikomi saugumo ir konfidencialumo įsipareigojimai, apsaugantys ne mažiau nei mūsų pačių, o už jų darbą jums atsakome mes.
• Prieiga prie kliento aplinkos suteikiama tik joje dirbantiems asmenims ir panaikinama, kai jie baigia darbą projekte.
• Mūsų komanda dirba skirtingose vietose; nuotolinei prieigai prie klientų sistemų taikomos tos pačios autentifikavimo ir mažiausių privilegijų taisyklės kaip ir prieigai iš biuro.

13. Subtvarkytojai ir trečiųjų šalių paslaugos

Toliau nurodytos trečiosios šalys gali tvarkyti duomenis, susijusius su šia svetaine. Analitikos ir reklamos paslaugos įkeliamos tik jums davus sutikimą per mūsų slapukų juostą; kitos yra būtinos svetainei veikti arba jums atsakyti.

Naudojame Google Consent Mode (sutikimo režimą), todėl Google žymos įkeliamos atmestos būsenos ir, kol neduodate sutikimo, į saugyklą neįrašomi jokie analitikos ar reklamos duomenys. Atšaukus sutikimą per slapukų juostą, išvalomi reklamos identifikatoriai, kuriuos saugome vietoje.

Konkrečiame kliento projekte pasitelkiami subtvarkytojai nurodomi to projekto duomenų tvarkymo sutartyje, o ne čia.

14. Tarptautiniai duomenų perdavimai

Svetainės priegloba užtikrina, kad duomenys liktų ES. Kai kurie pirmiau nurodyti teikėjai yra įsisteigę už Europos ekonominės erdvės ribų, daugiausia Jungtinėse Amerikos Valstijose, todėl tam tikri duomenys gali būti perduodami ten.

Šiems perdavimams remiamės Europos Komisijos standartinėmis sutarčių sąlygomis, teikėjo sertifikavimu pagal ES ir JAV duomenų privatumo sistemą (kai taikoma) ir šiame puslapyje aprašytomis papildomomis priemonėmis: visų pirma šifravimu perdavimo metu ir duomenų kiekio mažinimu. Kiekvieno teikėjo duomenų perdavimo mechanizmą pateikiame paprašius.

15. Reagavimas į incidentus

Nustatę saugumo incidentą, paveikusį mūsų saugomus duomenis, jį suvaldome, įvertiname jo mastą, pašaliname priežastį ir informuojame paveiktus asmenis.

Po kiekvieno reikšmingo incidento atliekame incidento analizę, kurioje neieškoma kaltųjų, užfiksuojame pagrindinę priežastį ir taisomuosius veiksmus ir išvadomis pasidalijame su paveiktais klientais.

16. Atsakingas pažeidžiamumų atskleidimas

Jei manote, kad radote saugumo pažeidžiamumą šioje svetainėje ar bet kurioje mūsų eksploatuojamoje sistemoje, norime apie tai sužinoti.

Mainais prašome:

• Suteikti mums pagrįstą laiką problemai ištaisyti prieš ją viešai atskleidžiant
• Nebandyti pasiekti, keisti ar trinti jums nepriklausančių duomenų ir sustoti tą akimirką, kai pažeidžiamumą įrodėte
• Nevykdyti paslaugos trikdymo (DoS) testų, nesiųsti šlamšto, nenaudoti socialinės inžinerijos ir fizinių atakų prieš mūsų darbuotojus ar biurus
• Nenaudoti automatinių skenerių, kurie blogina paslaugos veikimą kitiems naudotojams

Šiuo metu neturime mokamos klaidų paieškos atlygio (bug bounty) programos. Tačiau perskaitome kiekvieną žmogaus atsiųstą pranešimą ir už jį padėkojame.

17. Standartai, kurių laikomės

Mūsų praktika sukurta taip, kad atitiktų toliau nurodytus standartus ir gaires. Šiuo metu nesame sertifikuoti pagal nė vieną iš jų, o jei tai pasikeis, čia nurodysime sertifikavimo įstaigą ir sertifikato datą.

• BDAR (Reglamentas (ES) 2016/679): pritaikytoji ir standartizuotoji duomenų apsauga, duomenų tvarkytojo pareigos pagal 28 straipsnį ir pranešimas apie asmens duomenų saugumo pažeidimus.
• ISO/IEC 27001: naudojamas kaip pavyzdinis modelis mūsų prieigos kontrolės, turto valdymo ir reagavimo į incidentus praktikai.
• OWASP Top 10 ir OWASP ASVS: atskaitos taškas taikomųjų programų saugumo peržiūrai.
• CIS Benchmarks: atskaitos taškas debesijos ir operacinių sistemų bazinei konfigūracijai.
• NIS2 (Direktyva (ES) 2022/2555): ja vadovaujamės kurdami sprendimus klientams, kuriems ji taikoma ir kurių tiekimo grandinės įsipareigojimai apima ir mus.

18. Dokumentai, pateikiami paprašius

Pirkimų ir saugumo komandos gali paprašyti šių dokumentų adresu office@c9group.dev:

• Mūsų standartinės duomenų tvarkymo sutarties
• Abipusės konfidencialumo sutarties
• Konkretaus projekto subtvarkytojų sąrašo ir duomenų perdavimo mechanizmo
• Užpildytų atsakymų į jūsų saugumo klausimyną ar tiekėjo vertinimą
• Rašytinio konkrečiam projektui taikomų kontrolės priemonių aprašymo

19. Kontaktai

Taip pat žr. mūsų Privatumo politiką, Paslaugų teikimo sąlygas ir Pareiškimą dėl prieinamumo.

20. Kalba