Технические и организационные меры

Этот документ описывает технические и организационные меры безопасности и средства контроля, применяемые компанией DEVAR для защиты данных, которые клиенты доверяют нам в рамках предоставления услуг DEVAR.

• «Разработчик» означает лицо, имеющее учетную запись DEVAR и считающееся Контролером данных в соответствии с GDPR, если не указано иное.
• «Данные разработчика» означает любую информацию, предоставленную или переданную разработчиком, которая обрабатывается DEVAR.
• «Конечный пользователь» означает лицо, которое просматривает приложение или веб-страницу, созданную Разработчиком, которая может быть или не быть размещена на платформе DEVAR.
• «Данные конечного пользователя» означает любую информацию, предоставленную или переданную конечным пользователем, которая обрабатывается DEVAR.
• «Персональные данные» означает любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу.
• «Персонал» означает сотрудников DEVAR, консультантов и уполномоченных субпроцессоров.
• «Надежное шифрование» означает использование мер шифрования, соответствующих промышленным стандартам.
• «DEVAR» означает компанию DEVAR Inc. со штаб-квартирой в Марлтоне, Нью-Джерси, США.

ОРГАНИЗАЦИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

• В DEVAR работает штатный инженерно-технический персонал, ответственный за обеспечение информационной безопасности.
• Весь персонал, отвечающий за информационную безопасность, подчиняется непосредственно директору по инженерным вопросам или генеральному директору.
• Все сотрудники подписали соглашения о конфиденциальности, прошедшие юридическую проверку.
• При приеме на работу все сотрудники проходят обучение по вопросам конфиденциальности данных и информационной безопасности.

Физический доступ

• Платформа DEVAR работает с несколькими ведущими облачными провайдерами, которые располагаются в сертифицированных сторонних центрах обработки данных с защищенным физическим периметром, строгим физическим контролем, электронным контролем доступа, персоналом охраны, видеонаблюдением и электронными системами обнаружения вторжений.
• Силовые и телекоммуникационные кабели, по которым передаются данные разработчиков и данные конечных пользователей или поддерживаются информационные услуги в производственных центрах обработки данных, защищены от перехвата, вмешательства и повреждения.
• Производственные центры обработки данных и их оборудование физически защищены от стихийных бедствий, несанкционированного проникновения, злонамеренных атак и аварий.
• Оборудование в производственных центрах обработки данных защищено от перебоев в подаче электроэнергии и других нарушений, вызванных сбоями в работе вспомогательных коммуникаций, и надлежащим образом обслуживается.
• Физический доступ в корпоративный центр DEVAR контролируется 24 часа в сутки с помощью защищенного доступа по пропускам, электронных систем обнаружения вторжения и видеонаблюдения.

ДОСТУП К СИСТЕМАМ

• Доступ к системам DEVAR предоставляется только персоналу, и доступ строго ограничен, если это необходимо для выполнения этими лицами своих функций.
• В DEVAR действует политика паролей, которая запрещает передачу паролей и требует их регулярной смены. Все пароли должны отвечать установленным требованиям минимальной сложности и храниться в зашифрованном виде.
• Доступ к системам, содержащим данные разработчиков и данные конечных пользователей, требует двухфакторной аутентификации и/или объединения учетных записей с помощью открытых стандартов (OAuth2, SAML 2.0 или аналогичных) от сертифицированного стороннего сервиса идентификации с двухфакторной аутентификацией.
• Все коммуникации с системами, содержащими Данные разработчика и Данные конечного пользователя, требуют использования надежного шифрования по таким протоколам, как HTTPS, SSL/TLS и аналогичным.
• Доступ к данным разработчиков и данным конечных пользователей прекращается, когда персонал покидает компанию.
• Доступ персонала к облачным сервисам, содержащим Данные разработчика и Данные конечного пользователя, регистрируется и контролируется.

ДОСТУП К ДАННЫМ

• DEVAR ограничивает доступ Персонала к Данным Разработчика и Данным Конечного Пользователя по принципу «необходимо знать».
• Каждый такой доступ и его последующие операции регистрируются и контролируются.
• Обучение персонала охватывает права доступа и общие рекомендации по определению и использованию данных разработчика и данных конечного пользователя.

КОНТРОЛЬ ДОСТУПНОСТИ

• Исходный код и конфигурационные данные постоянно резервируются в облаке ведущего поставщика средств контроля исходного кода.
• Базы данных и скомпилированный код регулярно подвергаются автоматическому резервному копированию.

КОНТРОЛЬ РАЗДЕЛЕНИЯ ОБЯЗАННОСТЕЙ

• Многоуровневые среды разделяют серверы разработки, постановки и производства на изолированные системы.
• Активная разработка ведется на тестовых базах данных в среде разработки, которые изолированы от реальных данных разработчиков и конечных пользователей.
• Среда постановки позволяет персоналу DEVAR тестировать и выявлять ошибки в новых версиях программного обеспечения до их выпуска в производственную среду.