Bezpečnostná politika

Dátové centrá spĺňajú vysoké štandardy súladu a organizačné protokoly zabezpečujú likvidáciu aktív aj súlad zamestnancov. Pravidelné hodnotenia a plány obnovy po havárii ďalej chránia údaje.

Bezpečnosť dát je pre nás prvoradá. Kombinujeme viacero bezpečnostných prvkov, aby sme zaistili, že zákaznícke, zamestnanecké a firemné údaje sú vždy chránené, takže naši zákazníci môžu byť pokojní, že ich dáta sú v bezpečí, komunikácia je chránená a ich podnikanie je zabezpečené.

Bezpečnosť infraštruktúry

Bezpečnosť infraštruktúry zahŕňa ochranu základného hardvéru, softvéru a sieťových komponentov, ktoré podporujú IT operácie organizácie. Zahŕňa všetko od dátových centier a serverov až po sieťové pripojenia a koncové zariadenia. Efektívna bezpečnosť infraštruktúry má za cieľ zabrániť neoprávnenému prístupu, zneužitiu a prerušeniam, čím zabezpečuje integritu, dôvernosť a dostupnosť IT systémov.

Kľúčové prvky bezpečnosti infraštruktúry

• Prístup k šifrovacím kľúčom obmedzený
  Politika: Prístup k šifrovacím kľúčom majú len autorizovaní používatelia s oprávnenou obchodnou potrebou.
  Implementácia: Toto zabezpečuje, že citlivé informácie môžu dešifrovať iba osoby s príslušným oprávnením, čím sa minimalizuje riziko úniku dát.

• Vyžadovaná jedinečná autentifikácia účtov
  Politika: Systémy a aplikácie vyžadujú jedinečné používateľské mená a heslá alebo autorizované Secure Socket Shell (SSH) kľúče.
  Implementácia: Znižuje sa tým riziko neoprávneného prístupu tým, že každý používateľ má jedinečnú identitu na autentifikáciu.

• Prístup k produkčným aplikáciám obmedzený
  Politika: Prístup k produkčným aplikáciám majú len oprávnení pracovníci.
  Implementácia: Toto opatrenie zabraňuje neoprávneným osobám zasahovať do kritických aplikácií, ktoré prevádzkujú podnikanie.

• Zavedené postupy riadenia prístupu
  Politika: Zdokumentované požiadavky na pridanie, úpravu a odstránenie prístupových práv používateľov.
  Implementácia: Jasné postupy zaručujú systematickú a bezpečnú správu prístupových práv.

• Prístup k produkčným databázam obmedzený
  Politika: Privilegovaný prístup k databázam majú len autorizovaní používatelia s obchodnou potrebou.
  Implementácia: Týmto spôsobom sú citlivé údaje v databázach chránené pred neoprávneným prístupom alebo zmenami.

• Prístup k firewallu obmedzený
  Politika: Privilegovaný prístup k firewallu majú len autorizovaní používatelia s obchodnou potrebou.
  Implementácia: Firewally sú kľúčové pre sieťovú bezpečnosť a obmedzený prístup zaručuje, že ich konfigurácia nemôže byť kompromitovaná.

• Prístup k produkčnému OS obmedzený
  Politika: Privilegovaný prístup k operačnému systému majú len autorizovaní používatelia s obchodnou potrebou.
  Implementácia: Zabezpečuje sa tak OS vrstva pred neoprávnenými zmenami, ktoré by mohli ovplyvniť stabilitu a bezpečnosť systému.

• Prístup k produkčnej sieti obmedzený
  Politika: Privilegovaný prístup k produkčnej sieti majú len autorizovaní používatelia s obchodnou potrebou.
  Implementácia: Zabezpečuje, že do siete majú prístup len oprávnené osoby, čím sa znižuje riziko vnútorných hrozieb.

• Zrušenie prístupov po ukončení pracovného pomeru
  Politika: Prístupy sú zrušené zamestnancom po ukončení pracovného pomeru v rámci dohodnutých SLA.
  Implementácia: Zabraňuje sa tým bývalým zamestnancom v prístupe do firemných systémov po ukončení pracovného pomeru.

• Vyžadovaná jedinečná autentifikácia sieťových systémov
  Politika: Požaduje sa jedinečné používateľské meno a heslo alebo autorizované SSH kľúče pre prístup do siete.
  Implementácia: Zvýšená bezpečnosť vďaka možnosti priradiť sieťový prístup konkrétnym používateľom.

• Vyžadované šifrované vzdialené prístupy
  Politika: Vzdialený prístup do produkčných systémov je povolený iba cez schválené šifrované pripojenia.
  Implementácia: Chráni prenášané dáta pred zachytením počas vzdialených pripojení.

• Používanie systému detekcie preniknutí
  Politika: Neustále monitorovanie siete na včasnú detekciu bezpečnostných incidentov.
  Implementácia: IDS poskytuje upozornenia v reálnom čase, čo umožňuje rýchlo reagovať na potenciálne hrozby.

• Monitorovanie výkonu infraštruktúry
  Politika: Používanie monitorovacích nástrojov na sledovanie výkonu systémov a generovanie upozornení pri prekročení limitov.
  Implementácia: Zaisťuje robustnosť infraštruktúry a rýchle riešenie prípadných problémov.

• Implementovaná segmentácia siete
  Politika: Segmentácia siete s cieľom zabrániť neoprávnenému prístupu k zákazníckym údajom.
  Implementácia: Obmedzuje šírenie incidentov izoláciou rôznych častí siete.

• Revízia firewallov v sieti
  Politika: Ročná revízia firewallových pravidiel so sledovaním zmien.
  Implementácia: Udržiava konfigurácie firewallov aktuálne a v súlade so súčasnými bezpečnostnými štandardmi.

• Používanie firewallov v sieti
  Politika: Firewally sú konfigurované na zabránenie neoprávnenému prístupu.
  Implementácia: Slúžia ako prvá línia obrany pred externými hrozbami.

• Dodržiavanie štandardov hardeningu siete a systémov
  Politika: Zdokumentované štandardy podľa najlepších odvetvových postupov, revidované raz ročne.
  Implementácia: Zaručuje bezpečnú konfiguráciu systémov na odolávanie útokom.

Bezpečnosť dátových centier

Dôvernosť a integritu vašich údajov zabezpečujeme podľa najlepších odvetvových postupov. Servery FlowHunt sú umiestnené v zariadeniach spĺňajúcich Tier IV alebo III+, PCI DSS, SSAE-16 či ISO 27001. Náš bezpečnostný tím neustále nasadzuje bezpečnostné aktualizácie a promptne reaguje na bezpečnostné výstrahy a udalosti.

Fyzická bezpečnosť

Sieťová bezpečnosť

Naša sieť je chránená redundantnými firewallmi, špičkovou routerovou technológiou, zabezpečeným HTTPS prenosom cez verejné siete a technológiami detekcie a/alebo prevencie sieťových prienikov (IDS/IPS), ktoré monitorujú a/alebo blokujú škodlivú prevádzku a útoky na sieť.

Dodatočné opatrenia

• Mitigácia DDoS útokov: Používame infraštruktúru na špičkovej úrovni na ochranu pred útokmi typu denial-of-service a na zmiernenie ich dopadu.
• Šifrovanie komunikácie: Komunikácia medzi vami a servermi FlowHunt je šifrovaná podľa najlepších odvetvových postupov prostredníctvom HTTPS a Transport Layer Security (TLS) cez verejné siete.

Organizačná bezpečnosť

Postupy likvidácie aktív

• Inventarizácia: Identifikácia a zaznamenanie všetkých zariadení určených na likvidáciu.
• Zálohovanie dát: Bezpečné zálohovanie potrebných údajov pred likvidáciou.
• Čistenie dát: Použitie certifikovaných nástrojov na dôkladné vymazanie všetkých údajov zo zariadení podľa odvetvových noriem.
• Fyzická likvidácia: Pri zariadeniach, ktoré nie je možné vyčistiť, sa používajú metódy fyzickej likvidácie ako drvenie alebo odmagnetovanie.
• Súlad s environmentálnymi predpismi: Všetky metódy likvidácie sú v súlade s environmentálnymi nariadeniami.

Certifikácia a súlad

• Dokumentácia: Vedenie detailných záznamov o všetkých zlikvidovaných aktívach vrátane sériových čísel, metód likvidácie a dátumov.
• Overenie tretími stranami: Zapojenie certifikovaných externých dodávateľov na overenie a zdokumentovanie procesu likvidácie.

Súlad zamestnancov a dodávateľov

• Kontroly minulosti: Noví zamestnanci podstupujú dôkladnú previerku pred nástupom do firmy.
• Kódex správania: Zamestnanci aj dodávatelia musia potvrdiť a dodržiavať firemný kódex správania, pričom platia disciplinárne opatrenia pri jeho porušení.
• Dohody o mlčanlivosti: Dohody o mlčanlivosti sú povinné pre všetkých zamestnancov pri nástupe a pre dodávateľov pri začiatku spolupráce.

Návštevné a bezpečnostné protokoly

• Postupy pre návštevníkov: Návštevníci sa musia zapísať, nosiť návštevnícky preukaz a byť sprevádzaní oprávneným zamestnancom pri vstupe do zabezpečených priestorov.
• Školenia o bezpečnosti: Zamestnanci absolvujú školenie o bezpečnosti do tridsiatich dní od nástupu a následne každoročne, aby boli informovaní o najlepších praktikách a nových hrozbách.

Bezpečnosť produktu

Šifrovanie dát

Všetky databázy FlowHunt a zálohy databáz s citlivými zákazníckymi údajmi sú šifrované. Šifrovanie fakturačných a platobných údajov zabezpečujú naši platobní partneri (Stripe).

• Šifrovanie na úrovni stĺpcov: Šifruje konkrétne stĺpce v databáze, čo umožňuje cielenú ochranu údajov. Táto metóda je užitočná na zabezpečenie citlivých polí, ako sú API kľúče.
• Šifrovacie protokoly: Na šifrovanie prenosu údajov cez siete sa používajú protokoly Secure Sockets Layer (SSL) a Transport Layer Security (TLS).

Penetračné testovanie

FlowHunt vykonáva pravidelné penetračné testy a podporuje externých bezpečnostných výskumníkov prostredníctvom bug bounty programu na identifikáciu zraniteľností.

Aktualizované: 30. 5. 2025