Как мы защищаем данные
Мы уделяем особое внимание обеспечению безопасности на всех этапах создания и предоставления сервиса в соответствии с требованиями законодательства Российской Федерации, международными стандартами и лучшими практиками.
Система управления информационной безопасностью
Система управления информационной безопасностью обеспечивает выполнение, контроль и непрерывное совершенствование политик и процедур, разработанных нашими специалистами с учетом анализа актуальных угроз и рисков.
Все клиентские данные и служебные данные, используемые при разработке и эксплуатации сервиса, классифицируются в соответствии с требованиями законодательства. При этом мы учитываем ценность данных и возможные негативные последствия в случае их несанкционированного раскрытия, изменения или уничтожения. Требования к обращению с данными различных классов указаны в правилах допустимого использования.
Мы обеспечиваем постоянное повышение и контроль уровня осведомленности персонала по вопросам информационной безопасности. Все стандартные операционные процедуры, связанные с разработкой и эксплуатацией сервиса и связанной с ним инфраструктуры, четко определяют круг исполнителей, порядок необходимых действий, условия их выполнения и действия в случае нештатных ситуаций.
Мы оцениваем готовность сотрудников к работе с инфраструктурой сервиса и после этого допускаем их к самостоятельной работе. При увольнении или смене должности права доступа к соответствующим компонентам инфраструктуры автоматически отзываются. Особое внимание уделяется контролю взаимодействия с поставщиками услуг.
У сотрудников и поставщиков услуг есть доступ только к тем ресурсам и с таким уровнем привилегий, которые достаточны для успешного решения стоящих перед ними задач.
Процесс безопасной разработки
Основу развития и обеспечения безопасности цифрового сервиса составляет процесс безопасной разработки (Security Development Lifecycle, SDLC). Для его реализации мы применяем следующие подходы и инструменты:
Регулярное повышение уровня квалификации разработчиков и обмен знаниями с экспертами в различных областях, включая экспертов по информационной безопасности. В ходе детального разбора конкретных ситуаций мы не только определяем порядок устранения известных уязвимостей отдельных компонентов приложения, но и вырабатываем методы наиболее эффективного и безопасного использования современных технологий и инструментов для минимизации риска появления уязвимостей «нулевого дня»;Анализ последствий планируемых изменений архитектуры и состава используемых компонентов, который позволяет оценить их влияние как на эффективность функционирования и удобство сервиса в целом, так и заранее выявить возможные угрозы безопасности и способы атак на сервис. В этом случае его архитектура формируется по принципу «Secure by Design», то есть механизмы безопасности закладываются и реализуются во всех его компонентах;Системы автоматического тестирования, статического и динамического анализа компонентов приложения, которые позволяют выявить и своевременно устранить недостатки в коде приложения и конфигурациях его компонентов, влияющие на устойчивость и безопасность сервиса.Среды разработки, тестирования и эксплуатации сервиса разделены, а реализованная в них система управления и контроля жизненного цикла исключает репликацию пользовательских данных из среды эксплуатации в другие окружения.
Применение технологий и средств обеспечения безопасности
Безопасность сервиса обеспечивается с использованием сертифицированных средств защиты информации и компонентов с открытым исходным кодом на нескольких уровнях в соответствии с принципом «Defence in Depth».
На уровне средств виртуализации и на уровне операционной системы реализованы механизмы идентификации и двухфакторной аутентификации пользователей (администраторов), управления доступом к объектам файловой системы и функциям управления, контроля программной среды, регистрации и анализа событий, резервного копирования и восстановления данных.
На уровне приложения реализованы механизмы идентификации и аутентификации пользователей сервиса, управления доступом к функциям приложения, регистрации и анализа событий.
Инфраструктура сервиса, в котором обрабатываются пользовательские данные, изолирована от других сервисов и корпоративных систем, включая среды разработки и тестирования и сети управления инфраструктурой. Все запросы на доступ к конкретным ресурсам в рамках защищенной инфраструктуры на всех ее уровнях обрабатываются в соответствии с принципом нулевого доверия (Zero Trust Network Access, ZTNA) с учетом уровня доступа авторизованного пользователя.
Безопасное взаимодействие компонентов сервиса и информационно-телекоммуникационной инфраструктуры обеспечивается с использованием защищенных каналов связи и виртуальных защищенных сетей (Virtual Private Network, VPN), современных отечественных межсетевых экранов следующего поколения (Next Generation Firewall, NGFW) с модулями глубокого анализа трафика (Deep Packet Inspection, DPI) и предотвращения вторжений (Intrusion Prevention System, IPS), а также межсетевых экранов уровня веб-приложения (Web Application Firewall, WAF).
Своевременное выявление инцидентов безопасности и оперативное реагирование на них осуществляется силами собственного центра управления безопасностью (Security Operations Center, SOC).
Физическая безопасность инфраструктуры
Все компоненты информационно-телекоммуникационной инфраструктуры сервиса располагаются в принадлежащих нам выделенных помещениях, оборудованных современной инженерной инфраструктурой, системами контроля доступа и наблюдения.
Доступ сотрудников, обеспечивающих функционирование и развитие инфраструктуры, в выделенные помещения строго регламентирован.
При выводе оборудования из эксплуатации или выходе его из строя все данные на носителях или сами носители уничтожаются в соответствии с установленными процедурами.
