Безпека даних у сервісі Вчасно.Кадри

Ми забезпечуємо конфіденційність, цілісність та доступність даних співробітників і документів на всіх етапах роботи в системі.

Безпека є базовим принципом розробки продукту. Ми впроваджуємо технічні, організаційні та процесні заходи для захисту персональних даних, кадрових документів та доступів користувачів.
Що сюди входить:

• принципи безпеки
• культура безпеки
• відповідальність за дані

Захист даних (Data Protection)

• Шифрування at motion забезпечується з використанням TLS
• Шифрування документів та даних at rest забезпечується з використанням AES-256 та KMS рішенням
• Резервне копіювання даних виконується щоденно, в тому числі з використанням технології PITR для відновлення на будь який момент часу.
• Сутності компаній як і їх дані розділені логічно

Інфраструктура та хмарна безпека (Cloud & Infrastructure)

• Ми використовуємо хмарного провайдера послуг AWS, який має глобальну мережу ЦОДів по всьому світі, які фактично досягають відповідності TIER 4. AWS підтримує значний рівень відповідності міжнародним стандартам інформаційної безпеки та має всі галузево прийняті стандарти, серій SOC2, ISO 27001 та ін..
• Запроваджено моніторинг інцидентів інфраструктури 24/7, щоб вчасно реагувати на можливі проблеми в роботі інфрастуктури.
• Ми використовуємо кілька зон доступності в регіоні та кластеризоване середовище для забезпечення відмовостійкості
• Використання парадигми «інфраструктура як код», дозволяє гнучко вносити зміни в існуючу інфраструктуру та забезпечувати швидке відновлення у випадку серйозного інциденту.

Безпека застосунку (Application Security)

• Ми впровадили цикл SDLC, в який інтегрували інструменти SAST/DAST та SCA інструменти. Регулярні оновлення відбуваються безшовно для користувача завдяки використанням технології CI/CD. Код проходить обов’язковий peer-review.
• Впроваджений процес керування вразливостями, який регламентує використання інструментів, підходів та часових рамок по їх усуненню.
• Періодично виконуємо внутрішній web application security assessment та з ad hoc залученням незалежних підрядників
• Наші розробники отримують необхідні лекції з безпечного написання коду, в т.ч. відповідно до OWASP

Управління доступами та ролями (Access & Permissions)

• Доступ до даних обмежується ролями та правами користувачів. Адміністратор компанії самостійно налаштовує рівні доступу до кадрових даних і документів.
• За замовчуванням у Вчасно.Кадри є дві стандартні ролі: «Супер адміністратор», який має повні права на керування системою, та «Адміністратор», який має обмежені права для роботи з іншими учасниками системи.
• Додатково користувачі можуть самостійно гнучко налаштовувати права для ролей у компанії та призначати їх кожному з учасників системи.

Безпека команди та процесів (Internal Security)
Наша компанія впровадила СУІБ на всі ключові процеси – маємо необхідні політики та процедури ІБ.

• Визначена періодичність та проведення внутрішніх аудитів.
• Впроваджений принцип найменших привілеїв в системах
• Впроваджена система керування доступом, включаючи онбординг та офбординг

Контакти з питань безпеки (Security Contact)
Якщо у вас є питання щодо безпеки або ви хочете повідомити про вразливість, зверніться до служби підтримки [email protected] або на [email protected]