Drošība un datu apstrāde

1. Mūsu pieeja

Mēs projektējam pēc mazāko privilēģiju principa, glabājam pēc iespējas mazāk datu un dodam priekšroku vienkāršiem, labi izprotamiem kontroles pasākumiem, nevis jauniem un neizmēģinātiem. Drošības darbs ir daļa no ikdienas izstrādes (to pārskata tajos pašos koda izmaiņu pieprasījumos kā visu pārējo), nevis atsevišķa pārbaude beigās.

2. Pārvaldība un atbildība

Par drošību atbild vadības līmenis, un tā netiek uzticēta tam, kurš gadās tuvumā. Konkrēts mūsu vadības loceklis ir atbildīgs par informācijas drošību, par šī paziņojuma uzturēšanu un par mūsu rīcības koordinēšanu jebkura incidenta gadījumā.

Ar visiem datu aizsardzības un drošības jautājumiem (tostarp ziņojumiem par ievainojamībām) varat vērsties pie mums, rakstot uz office@c9group.dev.

Mēs pārskatām šo paziņojumu, apakšapstrādātāju sarakstu un piekļuves reģistrus vismaz reizi gadā, kā arī pēc katrām būtiskām izmaiņām mūsu infrastruktūrā.

3. Kādus datus mēs glabājam

Tīmekļa vietnes apmeklētāji

Standarta pieprasījumu telemetrija (IP adrese, lietotāja aģents, atsauces avots, pieprasītās lapas), lietošanas dati no Rybbit (analītikas rīka, ko mēs darbinām savā serverī bez sīkdatnēm), kā arī analītikas un reklāmas identifikatori, ja tiem ir sniegta jūsu piekrišana. Sīkāka informācija, tostarp katra nolūka tiesiskais pamats, ir mūsu Privātuma politikā.

Potenciālie klienti

Tas, ko jūs mums nosūtāt ar saziņas veidlapu, rezervāciju vai e-pastu: parasti vārds, darba e-pasta adrese, uzņēmums un projekta apraksts. Mēs lūdzam tikai to, kas minimāli nepieciešams noderīgai pirmajai sarunai, un neprasām vairāk personas datu.

Klientu sadarbības dati

Sadarbības laikā mūsu rīcībā var būt pirmkods, arhitektūras dokumentācija, piekļuves dati sistēmām, pie kurām jūs lūdzat mums strādāt, un (ja darbs to prasa) šajās sistēmās glabātie dati. Šo kategoriju reglamentē sadarbības līgums un, ja tiek apstrādāti personas dati, datu apstrādes līgums.

4. Mitināšana un datu glabāšanas vieta

Šī tīmekļa vietne darbojas Amazon Web Services platformā. Lietojumprogrammas skaitļošanas resursi un izcelsmes krātuve tiek mitināti reģionā eu-central-1 (Frankfurte, Vācija), Eiropas Savienībā. Statiskie resursi tiek izplatīti, izmantojot Amazon CloudFront globālo malas tīklu, kas tuvu apmeklētājiem saglabā kešatmiņā publisko lapu saturu un resursus (nevis veidlapu iesniegumus vai personas datus).

Klientu projektu infrastruktūra tiek izveidota klienta norādītajā reģionā. Ja klients pieprasa datu glabāšanu tikai ES, mēs to paredzam arhitektūrā un rakstiski apstiprinām sadarbības līgumā.

5. Šifrēšana

• Pārsūtīšanas laikā: Visa datplūsma uz šo tīmekļa vietni un no tās tiek pārraidīta pa HTTPS ar TLS 1.2 vai jaunāku versiju. Vienkārši HTTP pieprasījumi tiek novirzīti uz HTTPS.
• Glabāšanas laikā: Mūsu AWS vidē glabātie dati tiek šifrēti, izmantojot AWS pārvaldītas atslēgas.
• Iekšējā pārsūtīšana: Datplūsma starp mūsu infrastruktūras komponentēm pārsūtīšanas laikā tiek šifrēta.
• Galiekārtas: Darbstacijām, ko izmanto piekļuvei klientu sistēmām un pirmkodam, ir ieslēgta pilna diska šifrēšana.

6. Piekļuves kontrole

• Mazāko privilēģiju princips: Piekļuve tiek piešķirta katrai lomai un katrai sadarbībai atsevišķi, tikai tādā apjomā, kādu prasa darbs, un tiek periodiski pārskatīta.
• Daudzfaktoru autentifikācija: Obligāta mūsu mākoņpakalpojumu sniedzēju konsolēs, pirmkoda pārvaldības sistēmā un e-pastā.
• Nav koplietotu kontu: Katra persona autentificējas ar savu kontu, tāpēc katru darbību var attiecināt uz konkrētu cilvēku.
• Piekļuves datu pārvaldība: Slepenie dati tiek glabāti pārvaldītā noslēpumu krātuvē vai šifrētā glabātavā. Tie nekad netiek iekļauti pirmkoda repozitorijā, sūtīti tērzēšanā vai glabāti nešifrētos failos.
• Klientu piekļuves dati: Ja jūs piešķirat mums piekļuvi savām sistēmām, mēs dodam priekšroku personalizētiem kontiem, kuru tiesības atbilst mūsu lomai, nevis koplietotiem piekļuves datiem, un lūdzam jūs tos atsaukt, kad sadarbība beidzas. Ja mūsu piekļuve vēl nav atsaukta, jautājiet mums. Mēs jums precīzi pateiksim, kāda piekļuve mums joprojām ir.
• Darba beigas: Piekļuve tiek atsaukta, kad persona aiziet no uzņēmuma vai beidz darbu konkrētajā sadarbībā.

7. Droša izstrāde

• Koda pārskatīšana: Pirms izmaiņu apvienošanas tās pārskata kāds cits, nevis autors.
• Versiju kontrole: Viss darbs tiek uzskaitīts Git, tāpēc ir pieejama pilnīga izmaiņu vēsture, kurā katrai izmaiņai ir zināms autors.
• Automatizēta testēšana un CI: Testi un koda stila pārbaudes automātiski tiek palaisti pie katrām izmaiņām; kļūme aptur konveijeru.
• Atkarību pārvaldība: Trešo pušu atkarību versijas ir fiksētas ar lock failiem, un tiek uzraudzīts, vai tajās nav publiskotu ievainojamību. Drošības paziņojumi, kas skar mūsu piegādātu atkarību, tiek izvērtēti uzreiz pēc saņemšanas.
• Noslēpumu skenēšana: Repozitoriji tiek uzraudzīti, vai tajos nav iekļauti piekļuves dati; visi atrastie tiek atsaukti un nomainīti, nevis tikai izdzēsti no vēstures.
• Infrastruktūra kā kods: Vides ir definētas versiju kontrolē esošā konfigurācijā un izvietošanas skriptos, tāpēc izmaiņas var pārskatīt un atkārtot, nevis tās tiek veiktas manuāli.
• Vižu nodalīšana: Izstrādes, testēšanas un produkcijas vide ir nodalītas, un produkcijas piekļuves dati glabājas tikai tur, kur darbojas produkcijas vide.

Mūsu inženieri koda rakstīšanā izmanto MI rīkus. Viss ģenerētais kods iziet tādu pašu pārskatīšanu, testēšanu un atkarību pārbaudes kā ar roku rakstīts kods, un mēs neievietojam klientu piekļuves datus vai konfidenciālus klientu datus trešo pušu MI rīkos.

8. Ievainojamību un ielāpu pārvaldība

Mēs sekojam drošības paziņojumiem par platformām un atkarībām, ko izmantojam. Ielāpu uzstādīšanas mērķa termiņi, skaitot no brīža, kad labojums mums kļūst pieejams:

Ja labojums vēl nav pieejams, mēs ieviešam kompensējošu kontroles pasākumu (atspējojam skarto funkciju, ierobežojam tīkla piekļuvi vai pievienojam atklāšanu) un dokumentējam lēmumu. Ielāpu uzstādīšanas saistības attiecībā uz sistēmām, ko mēs uzturam klienta vārdā, ir noteiktas attiecīgajā pakalpojumu līgumā, un tās var būt stingrākas par iepriekš minētajiem mērķa termiņiem.

9. Žurnalēšana un uzraudzība

Lietojumprogrammu un infrastruktūras žurnāli tiek vākti centralizēti mūsu mākoņvidē, glabāti noteiktu laiku un pārskatīti, izmeklējot kļūdu vai iespējamu incidentu. Administratīvās darbības mūsu mākoņkontos tiek reģistrētas audita žurnālā.

Mēs apzināti neiekļaujam žurnālos nevajadzīgus personas datus un nereģistrējam pieprasījumu pamattekstu, kas satur piekļuves datus vai veidlapu saturu.

10. Rezerves kopijas un darbības nepārtrauktība

Šī tīmekļa vietne nesaglabā stāvokli, un to var no jauna izveidot no pirmkoda: izvietojamais artefakts tiek izveidots no versiju kontrolē esoša koda, tāpēc atjaunošana nozīmē atkārtotu izvietošanu, nevis atjaunošanu no rezerves kopijām. Pirmkods glabājas Git ar izkliedētām kopijām.

Klientu sistēmām, ko mēs uzturam, rezerves kopiju veidošanas biežums, glabāšanas ilgums, atjaunošanas punkta mērķis un atjaunošanas laika mērķis tiek noteikti katrai sadarbībai atsevišķi, un atjaunošana tiek pārbaudīta, nevis pieņemts, ka tā darbosies.

11. Darbs ar klientu datiem

• Datu apstrādes līgums: Ja mēs apstrādājam personas datus jūsu vārdā, mēs darbojamies kā apstrādātājs saskaņā ar rakstisku datu apstrādes līgumu, kas atbilst VDAR 28. pantam. Pēc pieprasījuma mēs nodrošinām savu standarta datu apstrādes līgumu un varam izskatīt jūsējo.
• Konfidencialitāte: Pēc pieprasījuma mēs parakstām savstarpējus konfidencialitātes līgumus, arī pirms pirmās sarunas par darba apjomu.
• Apstrāde tikai pēc norādījumiem: Klientu personas datus mēs apstrādājam tikai saskaņā ar dokumentētiem norādījumiem un nekad saviem nolūkiem.
• Paziņošana par apakšapstrādātājiem: Pirms piesaistām apakšapstrādātāju, kas apstrādātu jūsu personas datus, mēs jūs informējam un dodam iespēju iebilst.
• Atgriešana un dzēšana: Sadarbības beigās pēc pieprasījuma mēs atgriežam vai dzēšam klientu datus un rakstiski apstiprinām, kad tas ir izdarīts.
• Palīdzība: Mēs palīdzam jums atbildēt uz datu subjektu pieprasījumiem, drošības anketām un uzraudzības iestāžu pieprasījumiem saistībā ar sistēmām, ko esam izveidojuši vai uzturam.

12. Personāls

• Ikvienam, kas strādā pie klientu projektiem (darbiniekam vai līgumdarbiniekam), ir saistošas rakstiskas konfidencialitātes saistības, kas paliek spēkā arī pēc viņa darba beigām.
• Apakšuzņēmējiem ir saistošas drošības un konfidencialitātes saistības, kas nodrošina ne mazāku aizsardzību kā mūsu pašu saistības, un mēs joprojām esam atbildīgi jūsu priekšā par viņu darbu.
• Piekļuvi klienta videi piešķir tikai tiem cilvēkiem, kas pie tās strādā, un tā tiek atsaukta, kad viņi beidz darbu projektā.
• Mūsu komanda strādā dažādās vietās; attālinātai piekļuvei klientu sistēmām piemēro tos pašus autentifikācijas un mazāko privilēģiju noteikumus kā piekļuvei no biroja.

13. Apakšapstrādātāji un trešo pušu pakalpojumi

Turpmāk minētās trešās personas var apstrādāt datus saistībā ar šo tīmekļa vietni. Analītikas un reklāmas pakalpojumi tiek ielādēti tikai pēc jūsu piekrišanas, ko sniedzat mūsu sīkdatņu joslā; pārējie ir nepieciešami vietnes darbībai vai lai mēs varētu jums atbildēt.

Mēs izmantojam Google Consent Mode, tāpēc Google tagi tiek ielādēti liegtā stāvoklī un nekādi analītikas vai reklāmas dati netiek saglabāti, kamēr jūs nedodat piekrišanu. Atsaucot piekrišanu sīkdatņu joslā, tiek dzēsti reklāmas identifikatori, ko mēs glabājam lokāli.

Apakšapstrādātāji, kas tiek izmantoti konkrētā sadarbībā ar klientu, ir uzskaitīti šīs sadarbības datu apstrādes līgumā, nevis šeit.

14. Starptautiska datu nosūtīšana

Tīmekļa vietnes mitināšana nodrošina, ka dati paliek ES. Daži no iepriekš minētajiem pakalpojumu sniedzējiem ir reģistrēti ārpus Eiropas Ekonomikas zonas, galvenokārt Amerikas Savienotajās Valstīs, tāpēc daļa datu var tikt nosūtīta uz turieni.

Šādai nosūtīšanai mēs izmantojam Eiropas Komisijas standarta līguma klauzulas, pakalpojumu sniedzēja sertifikāciju saskaņā ar ES un ASV datu privātuma regulējumu, ja tāda ir, un šajā lapā aprakstītos papildu pasākumus: galvenokārt šifrēšanu pārsūtīšanas laikā un datu minimizēšanu. Katra pakalpojumu sniedzēja datu nosūtīšanas mehānisms ir pieejams pēc pieprasījuma.

15. Reaģēšana uz incidentiem

Ja mēs konstatējam drošības incidentu, kas skar mūsu glabātos datus, mēs to ierobežojam, novērtējam tā apmēru, novēršam cēloni un informējam skartās personas.

Pēc katra būtiska incidenta mēs veicam pēcincidenta pārskatu, nemeklējot vainīgos, dokumentējam pamatcēloni un korektīvās darbības un dalāmies ar secinājumiem ar skartajiem klientiem.

16. Atbildīga ievainojamību atklāšana

Ja uzskatāt, ka esat atraduši drošības ievainojamību šajā tīmekļa vietnē vai kādā no mūsu uzturētajām sistēmām, mēs vēlamies par to uzzināt.

Savukārt mēs lūdzam jūs:

• Dot mums saprātīgu laiku problēmas novēršanai, pirms to publiskojat
• Nepiekļūt datiem, kas jums nepieder, nemainīt un nedzēst tos, un apstāties brīdī, kad ievainojamība ir pierādīta
• Neveikt pakalpojumatteices testus, nesūtīt surogātpastu un neizmantot sociālo inženieriju vai fiziskus uzbrukumus pret mūsu darbiniekiem vai birojiem
• Neizmantot automatizētus skenerus, kas pasliktina pakalpojuma darbību citiem lietotājiem

Pašlaik mums nav apmaksātas kļūdu atlīdzības programmas. Taču mēs izlasām katru ziņojumu, ko mums nosūta cilvēks, un pateicamies par to.

17. Standarti, kurus mēs ievērojam

Mūsu prakse ir izstrādāta tā, lai atbilstu turpmāk minētajiem ietvariem. Pašlaik mēs neesam sertificēti atbilstoši nevienam no tiem, un, ja tas mainīsies, mēs šeit norādīsim sertifikācijas iestādi un sertifikāta datumu.

• VDAR (Regula (ES) 2016/679): Integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma, apstrādātāja pienākumi saskaņā ar 28. pantu un paziņošana par personas datu aizsardzības pārkāpumiem.
• ISO/IEC 27001: Izmantots kā atsauces modelis mūsu piekļuves kontroles, aktīvu pārvaldības un reaģēšanas uz incidentiem praksei.
• OWASP Top 10 un OWASP ASVS: Atsauce lietojumprogrammu drošības pārskatīšanai.
• CIS Benchmarks: Atsauce mākoņa un operētājsistēmu bāzes konfigurācijai.
• NIS2 (Direktīva (ES) 2022/2555): Tiek ņemta vērā, veidojot risinājumus klientiem, uz kuriem tā attiecas un kuru piegādes ķēdes pienākumi attiecas arī uz mums.

18. Pēc pieprasījuma pieejamā dokumentācija

Iepirkumu un drošības komandas var pieprasīt šādus dokumentus, rakstot uz office@c9group.dev:

• Mūsu standarta datu apstrādes līgumu
• Savstarpēju konfidencialitātes līgumu
• Apakšapstrādātāju sarakstu un datu nosūtīšanas mehānismu konkrētai sadarbībai
• Aizpildītas atbildes uz jūsu drošības anketu vai piegādātāja novērtējumu
• Rakstisku aprakstu par kontroles pasākumiem, kas piemēroti konkrētam projektam

19. Kontakti

Skatiet arī mūsu Privātuma politiku, Lietošanas noteikumus un Paziņojumu par piekļūstamību.

20. Valoda