Безопасность в Replug

Replug применяет комплексные организационные и технические меры, далее именуемые «Практики безопасности», для защиты предоставляемой вами информации, далее именуемой «Информация клиента» (включая, помимо прочего, исходные URL, сокращённые ссылки, данные отслеживания, аналитику, учётные данные аккаунта, а также любые связанные метаданные или контент, например CTA). Эти меры призваны предотвратить потерю, неправомерное использование, несанкционированный доступ к вашим данным или их раскрытие. Эффективность этих мер безопасности постоянно оценивается с учётом чувствительности данных, которые мы собираем, обрабатываем и храним, развития технологий, затрат на внедрение, а также характера, объёма, контекста и конкретных целей деятельности по обработке данных, осуществляемой Replug.

В этом контексте «Сервисы Replug» охватывают все сервисы, предлагаемые Replug, как описано в условиях соглашения, регулирующего использование вами Сервисов Replug. Любые термины с заглавной буквы, не определённые в настоящем документе о Практиках безопасности, имеют значения, определённые в соглашении.

Практики безопасности Replug разработаны в соответствии с применимым законодательством о защите данных и конфиденциальности, включая Общий регламент по защите данных ЕС (GDPR), Закон Калифорнии о защите конфиденциальности потребителей (CCPA/CPRA) и другие международные нормативные рамки.

Replug назначил ответственного за безопасность и/или выделенную команду безопасности. В задачи этой функции входят разработка, внедрение и постоянная поддержка Практик безопасности Replug.

Все сотрудники и привлечённый по договору персонал Replug обязаны строго соблюдать внутренние политики, касающиеся конфиденциального обращения с Информацией клиента.

• При приёме на работу они проходят обучение по безопасности и конфиденциальности, соответствующее их ролям, и периодически (например, ежегодно) проходят повторное обучение.
• Весь персонал обязан ознакомиться с политиками информационной безопасности и согласиться с ними; эти политики подчёркивают конфиденциальность, целостность, доступность и устойчивость систем и сервисов, используемых для предоставления Сервисов Replug.
• Replug применяет строгий контроль, ограничивающий доступ персонала к Информации клиента: такой доступ предоставляется только уполномоченным лицам по принципу служебной необходимости и для законных операционных целей.
• Если это разрешено законом и соответствует степени ответственности роли, Replug проводит проверку кандидатов перед приёмом на работу.

Replug поддерживает надёжные политики контроля доступа, охватывающие приём на работу, увольнение и смену ролей.

• Эти политики включают регулярные проверки доступа, ограничение и контроль административных привилегий, а также механизмы снижения рисков, связанных с неактивными сеансами.
• Там, где это уместно, применяется разделение обязанностей, чтобы свести к минимуму конфликты и риски безопасности.
• Ведётся реестр критически важных систем и учётных записей пользователей с привилегированным доступом.
• Соблюдаются принципы «минимальных привилегий» и доступа «по служебной необходимости».
• Могут применяться средства контроля, ограничивающие одновременные сеансы входа или чрезмерное количество попыток входа.
• Применяются комплексные парольные политики, требующие минимальной сложности паролей, обязательной смены пароля при первом входе или сбросе, а также периодической смены с ограничениями на повторное использование.

Доступ к критически важным внутренним системам, которыми пользуется персонал Replug, защищён многофакторной аутентификацией. Replug также предоставляет MFA своим клиентам для повышения безопасности их аккаунтов.

Replug использует технологию единого входа внутри компании, где это уместно, чтобы упростить и защитить доступ.

• При передаче: Replug поддерживает современные безопасные наборы шифров и протоколы (например, TLS 1.2 и TLS 1.3) для шифрования всей Информации клиента, передаваемой в Сервисы Replug и из них.
• При хранении: конфиденциальная Информация клиента (например, учётные данные аккаунта, ключи API и, возможно, определённые данные конфигурации) шифруется при хранении там, где это уместно, с учётом характера данных и связанных с ними рисков. Replug постоянно отслеживает развитие криптографии, чтобы реагировать на новые уязвимости, сохраняя при этом необходимую совместимость.

Replug постоянно оценивает криптографические стандарты и отказывается от устаревших шифров в соответствии с лучшими отраслевыми практиками (например, рекомендациями NIST).

Системы Replug (включая серверы, межсетевые экраны и критически важные приложения) настроены на запись значимых событий в защищённые централизованные системы для мониторинга, анализа и проверок безопасности.

• Эта среда журналирования собирает данные, связанные с безопасностью, доступом, доступностью и производительностью. Журналы анализируются на предмет событий безопасности с помощью инструментов мониторинга и проверяются командой безопасности.
• Replug использует системы обнаружения вторжений (сетевые и/или узловые) и межсетевые экраны для веб-приложений (WAF), чтобы заблаговременно отслеживать несанкционированные вторжения и защищаться от них.

Replug использует средства сетевой безопасности, включая межсетевые экраны и группы безопасности. Сетевые порты, не являющиеся необходимыми для предоставления Сервисов Replug, блокируются на уровне инфраструктуры.

Replug регулярно сканирует свою производственную инфраструктуру на уязвимости и прилагает коммерчески обоснованные усилия для устранения выявленных уязвимостей, представляющих значительный риск. Выданные компанией конечные устройства (например, ноутбуки) защищены такими мерами, как автоматическая блокировка экрана и полное шифрование диска.

Инфраструктура, обеспечивающая работу Сервисов Replug, спроектирована с учётом отказоустойчивости и высокой доступности в соответствии с нашими обязательствами по соглашению об уровне обслуживания (SLA), что гарантирует надёжное управление ссылками и перенаправление.

Replug поддерживает задокументированный план обеспечения непрерывности бизнеса (BCP), который периодически тестируется, чтобы обеспечить доступность сервиса даже при серьёзных сбоях.

Информация клиента хранится с резервированием в нескольких физических местах в центрах обработки данных хостинг-провайдера Replug для обеспечения устойчивости.

• Replug применяет надёжные процедуры резервного копирования и восстановления, рассчитанные на восстановление после серьёзных сбоев.
• Операционные команды получают оповещения о сбоях систем. Резервное копирование выполняется регулярно, а процедуры восстановления периодически (например, ежеквартально) тестируются для проверки их эффективности.
• В случае аварии целевые показатели восстановления Replug рассчитаны на то, чтобы соответствовать отраслевым нормам для целевого времени восстановления (RTO) и целевой точки восстановления (RPO) или превосходить их.

Для размещения Сервисов Replug компания использует ведущих поставщиков облачной инфраструктуры. Эти поставщики применяют самые современные меры физической и экологической безопасности в своих центрах обработки данных и, как правило, имеют сертификаты ISO 27001, SOC 1/2/3 и PCI DSS.

Replug поддерживает внутренние политики и процедуры безопасности, которые могут быть согласованы с признанными нормативными рамками. Они регулируют операционную деятельность, обеспечивая безопасное обращение с учётными данными (например, хеширование паролей с солью), ведение журналов доступа и исключение записи в журналы конфиденциальных данных, таких как пароли в открытом виде.

Replug следует модели безопасного жизненного цикла разработки (SDLC), которая обеспечивает учёт требований безопасности на всех этапах — от проектирования до развёртывания. Все крупные релизы проходят экспертную проверку кода, автоматизированное тестирование и проверку безопасности.

Новые функции и существенные изменения платформы Replug проходят процедуру проверки безопасности. Перед развёртыванием код тестируется и проходит экспертную проверку. Требования безопасности интегрированы в жизненный цикл разработки продукта.

Replug поддерживает программу раскрытия уязвимостей, чтобы поощрять ответственное сообщение о проблемах безопасности со стороны клиентов, партнёров или исследователей безопасности.

В случае утечки персональных данных или несанкционированного раскрытия Информации клиента, находящейся под контролем Replug, Replug уведомит затронутых клиентов без неоправданной задержки и в сроки, установленные применимым законодательством, включая GDPR (статьи 33 и 34) и CCPA/CPRA.

Replug хранит Информацию клиента только в течение срока, необходимого для предоставления Сервисов Replug, или в течение срока, установленного применимым законодательством. Когда данные больше не нужны, они безопасно удаляются или обезличиваются. Клиенты могут запросить удаление своих данных в соответствии с нашей Политикой конфиденциальности.