1. Сфера применения
Настоящий обзор безопасности действует в масштабах всей компании. Он охватывает наш публичный сайт, каждую платформу, которую мы эксплуатируем или разрабатываем (сегодня это Hublinkly и Clavix 360° в продакшене, Ara в разработке), системы и сайты, которые мы создаём и размещаем для клиентов, а также внутренние инструменты, которыми наша команда пользуется для их разработки и эксплуатации. По мере появления новых продуктов и клиентских проектов те же практики и принципы применяются по умолчанию.
2. Шифрование данных
Мы считаем шифрование базовым уровнем, а не дополнительной опцией.
- При передаче: каждый публичный эндпоинт, который мы эксплуатируем, обслуживается по HTTPS с современным TLS. HTTP-трафик перенаправляется на HTTPS, и мы применяем HSTS там, где это уместно, чтобы браузеры отказывались от понижения протокола при повторных визитах.
- При хранении: данные, хранящиеся в наших управляемых базах данных, объектных хранилищах и резервных копиях, шифруются при хранении средствами базового поставщика. Ключи шифрования управляются поставщиком в соответствии с действующими отраслевыми стандартами.
- Внутренний трафик: обмен между сервисами идёт по шифрованным каналам везде, где поставщик их предоставляет.
3. Аутентификация и контроль доступа
Мы проектируем каждую систему так, чтобы она была безопасной по умолчанию для учётных записей и людей, которые ею пользуются.
- Аутентификация пользователей: пароли никогда не хранятся в открытом виде. Они хешируются надёжными современными алгоритмами (например, bcrypt, Argon2 или хранилищем паролей надёжного провайдера идентификации).
- Безопасность сессий: сессии привязаны к защищённым HTTP-only cookie и истекают по разумному расписанию. В чувствительных сценариях пользователь при необходимости проходит повторную проверку.
- Ролевой доступ (RBAC): если на платформе есть разные типы пользователей (администраторы, участники, клиенты), права моделируются по ролям, а не индивидуальными исключениями.
- Наименьшие привилегии внутри команды: у нашей команды есть только тот доступ, который нужен для работы. Доступ к продакшену ограничен небольшой группой, защищён строгой аутентификацией и журналируется для подотчётности.
- Работа с секретами: ключи API, учётные данные баз данных и токены хранятся в управляемых хранилищах секретов или переменных окружения платформы — но не в системе контроля версий.
4. Инфраструктура
Мы размещаем наши платформы на современной облачной инфраструктуре надёжных поставщиков. Продакшен-среды отделены от сред разработки и тестирования. Там, где мы эксплуатируем несколько клиентских систем, продакшен-среда каждого клиента логически изолирована — отдельные базы данных или схемы, отдельные хранилища объектов, отдельные учётные данные, — чтобы данные одного клиента не смешивались с данными другого. Наши базовые поставщики ведут собственные программы физической и платформенной безопасности, описанные в их опубликованной документации.
5. Резервные копии и надёжность
Для услуг, которые мы размещаем от вашего имени, мы выполняем регулярное резервное копирование и обеспечиваем резервирование на уровне платформы в соответствии с признанной отраслевой практикой.
- резервные копии управляемых баз данных создаются по регулярному расписанию и хранятся в течение срока, соответствующего уровню услуги;
- объектное хранилище реплицируется поставщиком для сохранности данных;
- развёртывания приложений версионируются, чтобы мы могли быстро откатиться, если релиз повёл себя неожиданно;
- процедуры восстановления отрабатываются при значительных изменениях инфраструктуры.
Конкретная частота резервного копирования, сроки хранения и целевые показатели восстановления могут быть ужесточены в индивидуальных договорах с клиентами.
6. Мониторинг и защита от угроз
Мы ведём мониторинг эксплуатируемых нами платформ и применяем стандартные меры защиты от распространённых угроз.
- Сеть и периметр: вышестоящие поставщики обеспечивают защиту от DDoS и фильтрацию на периметре. Мы опираемся на эти механизмы и настраиваем поверх них контроль на уровне приложения.
- Меры против злоупотреблений: публичные эндпоинты проверяют каждое поле на сервере по фиксированным спискам разрешённых значений, содержат скрытые поля-ловушки для ботов, а заявки на консультацию должны быть подтверждены по ссылке из письма, прежде чем попадут к нашей команде.
- Заголовки безопасности: ответы содержат разумные заголовки безопасности (Content-Security-Policy, X-Content-Type-Options, Referrer-Policy и аналогичные), настроенные под каждое приложение.
- Журналирование и разбор: события приложений и инфраструктуры журналируются для подотчётности и расследования инцидентов и разбираются при обнаружении подозрительной активности или сообщении о ней.
- Гигиена зависимостей: мы отслеживаем опубликованные уязвимости в зависимостях приложений и устанавливаем обновления безопасности в разумные сроки, ускоряя их для критических проблем.
7. Платежи
Если эксплуатируемая нами услуга предполагает приём платежей, эти платежи обрабатываются надёжными сторонними платёжными провайдерами, которые специализируются в этой области и проходят аудит по отраслевым стандартам, таким как PCI-DSS. HublinkTech не хранит на своих системах полные номера банковских карт, коды CVV или эквивалентные исходные данные карт. Мы можем хранить ограниченные платёжные реквизиты (например, идентификатор авторизованного списания, последние четыре цифры карты или статус счёта), чтобы сверять транзакции и обрабатывать обращения в поддержку.
8. Конфиденциальность данных и соответствие требованиям
Мы считаем конфиденциальность и безопасность двумя сторонами одной дисциплины. Обрабатываемые нами персональные данные обрабатываются в соответствии с принципами Общего регламента ЕС по защите данных (GDPR), британского GDPR и аналогичных режимов — включая прозрачность, ограничение целей, минимизацию данных, ограничение хранения и подотчётность.
Юридические подробности — в нашей Политике конфиденциальности (как мы обращаемся с персональными данными посетителей сайта, потенциальных клиентов и клиентов) и в нашем уведомлении Обработка данных и GDPR (роли, субобработчики, международная передача и права субъектов данных).
9. Управление уязвимостями и обновления
Мы поддерживаем наши приложения, библиотеки и образы платформы в актуальных поддерживаемых версиях. Уведомления о безопасности от разработчиков мы рассматриваем по мере публикации и устраняем проблемы по срокам, зависящим от риска, — критические вопросы приоритетнее работы над функциями. Если исправление требует ломающих изменений для клиентов, мы согласовываем обновление и сообщаем о нём.
10. Ответственное раскрытие уязвимостей
Если вы считаете, что нашли уязвимость в платформе HublinkTech, на эксплуатируемом нами сайте или на этом сайте, сообщите нам об этом на [email protected]. В сообщении полезно указать:
- затронутый URL, приложение или эндпоинт;
- описание проблемы и, по возможности, шаги воспроизведения;
- последствия, которые вы понимаете или предполагаете;
- ваши контактные данные, чтобы мы могли подтвердить получение и связаться с вами.
Мы просим исследователей действовать добросовестно: не ухудшать работу сервисов для других пользователей, не получать больше данных, чем необходимо для демонстрации проблемы, и давать нам разумное время на разбор и устранение до публичного раскрытия. Мы оперативно подтверждаем получение обоснованных сообщений и держим вас в курсе работы над ними.
11. Реагирование на инциденты
Если нам станет известно об инциденте безопасности, затрагивающем хранимые нами данные, мы без неоправданной задержки проводим расследование, принимаем разумные меры по локализации и устранению и уведомляем затронутых лиц, когда это требуется или уместно. В отношении персональных данных наши обязательства по уведомлению об утечках изложены здесь: Обработка данных и GDPR — наше уведомление.
12. Постоянное улучшение и сертификации
Мы относимся к безопасности как к постоянной дисциплине, а не как к разовому штампу. На сегодняшний день у нас нет формальных сертификатов по информационной безопасности, таких как ISO 27001 или SOC 2 Type II. По мере роста HublinkTech и расширения масштаба нашей деятельности мы можем получить формальные сертификаты там, где они соответствуют потребностям клиентов. А пока мы открыто рассказываем о том, что делаем сегодня (описано выше), применяем устоявшиеся отраслевые практики во всей работе и готовы отвечать на вопросы или проходить независимую проверку со стороны клиентов при подключении и продлении договоров.
13. Разделённая ответственность
Надёжная безопасность — общая ответственность. Мы просим клиентов и пользователей платформ хранить учётные данные в безопасности, использовать надёжные уникальные пароли (и многофакторную аутентификацию там, где она доступна), поддерживать контактные данные в актуальном состоянии, чтобы во время инцидента мы могли связаться с нужными людьми, и оперативно сообщать обо всём подозрительном. Для клиентских проектов, где мы размещаем или эксплуатируем систему, специфические обязательства по безопасности изложены в соответствующем договоре.
14. Изменения на этой странице
Мы можем время от времени обновлять настоящий обзор безопасности, отражая новые инструменты, новых поставщиков или развитие практик. Дата «Последнее обновление» в начале страницы отражает самую свежую редакцию. О существенных изменениях мы сообщим разумным способом.
15. Применимое право
Настоящий обзор безопасности регулируется правом Турецкой Республики. Исключительная юрисдикция по любым вытекающим из него спорам принадлежит судам и органам принудительного исполнения Стамбула (İstanbul Mahkemeleri ve İcra Daireleri).
16. Свяжитесь с нами
По вопросам безопасности, для сообщения об уязвимости или запроса подробностей о любой описанной выше практике пишите на [email protected] или посетите нашу страницу контактов. HublinkTech — коммерческое наименование компании Hublinkly Ai Software Technology Ltd., общества с ограниченной ответственностью, зарегистрированного в Торговом реестре Стамбула, с юридическим адресом: Abide-i Hürriyet Cd. No:211, Bolkan Center No.2, Şişli, 34381 Istanbul, Türkiye.
Настоящие условия публикуются на нескольких языках. При расхождении перевода с английской версией преимущественную силу имеет английская версия.