Jūsų duomenys – ne pažadas. Parodome, kur jie yra ir kas gali juos pasiekti.
Rodome dabartinės gamybinės architektūros kontrolės priemones ir greta įvardijame tai, kam dar trūksta patvirtintos politikos ar teikėjo įrodymo.
Tai dabartinio techninio įgyvendinimo aprašas, ne saugumo sertifikatas, audito išvada ar paslaugos lygio sutartis. Nepatvirtinti atkūrimo, incidentų ir kai kurių regionų duomenys pažymėti atskirai.
Regionus įvardijame pagal dabartinę gamybinę konfigūraciją. Jei regiono negalime pagrįsti, jo nepriskiriame Europai vien dėl paslaugos teikėjo pavadinimo.
CashCore svetainė, programos API, foniniai darbai ir duomenų bazė veikia atskiruose valdomuose sluoksniuose.
Dokumentų saugyklos, valdomos Redis eilės ir AI teikėjų faktiniai apdorojimo regionai nėra pilnai užfiksuoti viešai tikrintinoje konfigūracijoje. Todėl kol kas neteigiame, kad kiekvienas duomens apdorojimo etapas vyksta tik ES.
Gamybinė API priverstinai naudoja HTTPS. Duomenų bazės ryšys turi naudoti TLS, o Redis ryšys – autentifikuotą TLS schemą; nesaugi konfigūracija nepraeina paleidimo patikros.
Įmonių ir kontorų integracijų raktai saugomi Fernet šifruotu pavidalu su raktų keitimo keliu. Dokumentų konteineris yra privatus, o atsisiuntimui kuriamos riboto laiko tik skaitymo nuorodos.
Kodas pagrindžia saugomų integracijų raktų šifravimą, bet nepatvirtina vieno bendro šifravimo ramybės būsenoje standarto visai duomenų bazei, atsarginėms kopijoms ir kiekvienam išoriniam teikėjui.
Užklausa susiejama su konkrečia įmone, vartotojo narystė tikrinama programoje, o PostgreSQL eilučių lygio apsauga papildomai riboja įmonės duomenis. Gamybinis duomenų bazės vartotojas neturi teisės apeiti šios apsaugos.
Savininko, administratoriaus, buhalterio ir peržiūros vaidmenys turi skirtingas teises. Tik skaitymo vaidmenims mutavimo užklausos blokuojamos; banko prijungimo kvietimus gali kurti tik įgalioti vaidmenys.
Apskaitos registravimas rašo su maišos grandine susietą audito įvykį toje pačioje operacijoje. Tai leidžia tikrinti įrašų kilmę ir aptikti audito sekos pakeitimus.
Repozitorijoje nėra patvirtinto CashCore atsarginių kopijų dažnio, saugojimo trukmės, atkūrimo testų ar prarandamų duomenų ir atkūrimo trukmės tikslų. Kol tai nepatvirtinta, konkretaus atkūrimo termino nežadame.
Viešas incidentų klasifikavimo, reagavimo, klientų informavimo ir užbaigimo procesas dar nepaskelbtas. Sutartiniam vertinimui reikia patvirtinti atsakomybes, pranešimo kanalus ir terminus.
Atskiras saugumo el. paštas repozitorijoje nepatvirtintas. Kol jis nepaskelbtas, pranešimą galima siųsti viešu bendru adresu [email protected]; pirmame laiške nesiųskite slaptų raktų ar pilnų finansinių duomenų.
Parašykite, kokio kontrolės įrodymo reikia jūsų kontorai. Jei atsakymas dar nepatvirtintas, taip ir pasakysime.