Технічні заходи безпеки (FAQ)

1. Наскільки надійно зберігаються документи клієнтів?

Для зберігання документів використовується сервіс Amazon S3 , розташований в Німеччині. Стійка інфраструктура Amazon S3 забезпечує надійне зберігання об’єктів. Для збереження конфіденційності файлів клієнтів використовується шифрування AES-256.

2. Чи мають доступ до документів клієнтів співробітники ТОВ “Вчасно сервіс”?

Архітектура рішення передбачає обмеження доступу до файлів клієнтів співробітниками компанії в декілька етапів.

3. Як перевіряється автентичність збережених документів?

Після завантаження файлу з документом у сервіс, файл зберігається в сховищі даних Amazon S3 і не змінюється в процесі накладання чи читання КЕП. Файли КЕП зберігаються окремо від файлу документа.

4. Як зберігаються ключі та паролі?

Усі ключі шифрування та паролі стають доступними для програми тільки в момент запуску програми у середовищі. Паролі користувачів зберігаються в зашифрованому вигляді.
Управління ключами шифрування здійснюється за допомогою AWS KMS.

5. Чи можуть інші компанії чи сторонні особи отримати доступ до наших кадрових даних?

Ні. Усі дані різних організацій логічно ізольовані на рівні системи. Доступ до документів усередині вашої компанії регулюється виключно адміністратором вашої організації за допомогою гнучких налаштувань ролей та прав доступу.

6. Як виконується аутентифікація у веб-застосунку 

На даний момент вхід виконується через логін та пароль. Також доступна можливість аутентифікації через Google OAuth 2.0.

7. Чи присутня 2FA?

Так, присутня, за номером телефону.

8. Яка парольна політика сервісу “Вчасно”?

Пароль має містити щонайменше 8 символів, хоча б одну цифру і один символ (!”#$%*-/:;=?)
Додатково реалізований механізм захисту від підбору паролю.

9. Чи є функція SSO?

На даний момент – ні.

10. Як працює розділення прав доступу у веб-застосунку?

Передбачено гнучке управління доступами:

• Суперадміністратор: має повні права на налаштування системи та управління компанією.
• Адміністратор: має обмежені права для роботи з іншими учасниками та кадровими процесами.
• Ви також можете самостійно налаштовувати та кастомізувати права для будь-яких ролей у компанії та призначати їх відповідним співробітникам.

11. Чи ведеться логування дій користувачів у компанії?

Так, для клієнтів: сервіс записує дії користувачів компанії у сервісі для можливості перегляду адміністраторами клієнтів. Детальніше за посиланням.

12. В яких датацентрах та де розміщується середовище “Вчасно”?

Вчасно розміщується на хмарному сервісі AWS, в регіоні Франкфурт (Європа).
Датацентри AWS володіють великим спектром галузевих стандартів. Більше інформації про сертифікації, якими володіє AWS, за посиланням.

13. За рахунок чого досягається стійкість до відмов?

Відмовостійка архітектура на базі AWS, забезпечує максимально повний та постійний доступ до сервісу в декількох зонах доступності в комплексі з:

• кілька каналів для підключення до Інтернету
• необхідним резервуванням;
• засоби балансування навантаження;
• основне сховище даних Amazon S3;
• резервування та кластеризація компонентів системи;
• захист від DDoS атак.

14. Чи присутнє резервне копіювання систем ТОВ “Вчасно сервіс”

Резервне копіювання даних виконується щоденно, в тому числі з використанням технології PITR для відновлення на будь який момент часу.

15. Чи виконується сканування систем на вразливості?

Так. Сканування на вразливості виконується як самого веб-застосунку так і інфраструктури. Сканування налаштовано в автоматичному режимі. У випадку знайдення нових вразливостей – сповіщаються відповідальні члени нашої команди.

16. Чи виконуються тести на проникнення?

“Вчасно” виконує періодичні комплексні тести на проникнення із залученням незалежних експертів, яких ми обираємо на прозорих тендерних умовах.

17. Чи присутній цикл безпечної розробки програмного забезпечення (SDLC)?

Ми впровадили цикл SDLC, в який інтегрували інструменти SAST/DAST та SCA інструменти. Регулярні оновлення відбуваються безшовно для користувача завдяки використанням технології CI/CD. Код проходить обов’язковий peer-review.

18. Як відбувається патч менеджмент систем ТОВ “Вчасно сервіс”?

Залежно від рівня терміновості, якщо були знайдені оновлення, які закривають вразливості високого та критичного рівня, відповідно до метрик CVSS, – не пізніше одного тижня.
Інші ОЕМ оновлення встановлюються за потреби.

19. Чи перевіряються документи на віруси?

Один із компонентів системи – антивірус ESET, який перевіряє на предмет вірусів усі завантажені документи користувачів.

20. Як забезпечується шифрування даних?

Шифрування даних можна розділити на at rest та in motion.

• at rest – забезпечується шифруванням AES-256;
• in motion – забезпечується шифруванням TLS не нижче версії 1.2. Довжина ключа RSA 2048 біт.