Varnostne politike in prakse družbe Deskpro

• Objekti

  Naš ponudnik podatkovnih centrov storitev v oblaku (AWS) upravlja najsodobnejše podatkovne centre, skladne s standardi ISO27001, PCI DSS Level 1, HIPAA, EU-US Privacy Shield in SOC 2 Type.

  Avtomatski sistemi za odkrivanje in gašenje požara so nameščeni na omrežnih, mehanskih in infrastrukturnih področjih. Vsi podatkovni centri AWS so zgrajeni po standardih redundance N+1.

• Varnost na kraju samem

  Objekti naših podatkovnih centrov imajo osebje na kraju samem, ki deluje 24 ur na dan, vse dni v tednu, fizične dostopne točke do strežniških sob, ki jih pokriva CCTV, biometrične varnostne postopke in 24-urni nadzorni nadzor za ohranjanje zaščite pred nepooblaščenim vstopom in fizičnimi kršitvami varnosti. Zahtevajo tudi preverjanje preteklosti za vse zaposlene kot del postopka preverjanja pred zaposlitvijo.

• Nadzor strežnika

  Globalni varnostni operacijski centri AWS izvajajo 24/7 spremljanje dejavnosti dostopa do podatkovnega centra z elektronskimi sistemi za zaznavanje vdorov, nameščenimi v podatkovni plasti. Sisteme nenehno nadzoruje varnostna ekipa Deskpro.

• Lokacije

  Deskpro ponuja uvedbo računov v oblaku v podatkovnih centrih v ZDA, EU ali Veliki Britaniji. Stranke lahko standardno izberejo, v kateri regiji želijo ekskluzivno gostiti svoje podatke.

  Podjetniški načrt stranke se lahko odločijo za gostovanje v eni od 22 držav po vsem svetu.

• Brezprekinitveno napajanje

  Vsak objekt je opremljen z brezprekinitvenim napajanjem (UPS) in rezervnimi generatorji v primeru izpada električne energije.

• Trd perimeter

  Vsak od naših podatkovnih centrov ima nadzorovano perimetrsko plast z varnostnimi ekipami, ki delujejo 24 ur na dan, vse dni v tednu, omejenim in nadzorovanim fizičnim dostopom, večfaktorsko avtentikacijo, elektronskimi sistemi za zaznavanje vdorov in alarmiranjem vrat.

• Posebna varnostna ekipa

  Deskprojeva varnostna ekipa je razporejena po vsem svetu. Zagotavljajo 24/7 spremljanje in odziv na varnostne incidente in opozorila.

• Požarni zidovi

  Deskpro javno omrežje je zaščiteno z Cloudflare Enterprise, ki deluje tako, da filtrira ves dohodni promet iz interneta. Javni e-poštni strežniki so zaščiteni z AWS Shield, ki podobno spremlja in filtrira dohodni promet iz interneta. Nobenih drugih storitev ali dostopa do javnega interneta ni.

• Arhitektura

  V notranjem zasebnem omrežju Deskpro, ki ni dostopno iz javnega interneta, uporabljamo varnostne skupine AWS in kontrole IAM za zaklepanje komunikacije med komponentami, zato mora biti dostop do storitev odobren izrecno po potrebi. Sistemom onemogočimo medsebojno interakcijo, ne da bi to izrecno konfigurirali in načrtovali.

• Zmanjšanje DDoS

  Dnevniki revizije sistema Deskpro se vedno vzdržujejo in preverjajo za anomalije, za zaščito pred porazdeljenimi napadi pa uporabljamo pogodbene ponudnike DDoS tretjih oseb. To vključuje AWS Shield Guards in Cloudflare.

• Dostop z najmanjšimi pravicami

  Dostop do gostiteljskih strežnikov in živih okolij je zagotovljen z najmanj privilegiranimi dostopi. Zelo omejeno število zaposlenih ima dostop do živih okolij, ki prav tako zahtevajo več stopenj varnostnega dostopa.

• Odziv na varnostne incidente (ekipa)

  Deskpro nadzira storitve v oblaku 24/7 in ima odzivno skupino, ki je na klicu 24/7, da se odzove na varnostne incidente. Naš ponudnik gostovanja, AWS, zagotavlja tudi 24/7 globalno spremljanje in podporo za večlokacijske podatkovne centre, ki se uporabljajo za Deskpro Cloud.

• Skeniranje ranljivosti

  Skeniranje ranljivosti se izvaja v celotnem omrežju, da se identificirajo morebitni ranljivi sistemi in omogoči varnostni ekipi, da hitro pregleda morebitne šibke točke.

Razvoj

• Varnost zaračunavanja

  Deskpro ne shranjuje podatkov o kreditnih karticah. Za zagotavljanje storitev obračunavanja uporabljamo zunanje storitve, skladne s PCI (Spreedly in Stripe).

  Podatki o vaši kreditni kartici gredo v trenutku skozi naše strežnike in iz tega razloga smo preverjeni kot skladni s standardom varnosti podatkov industrije plačilnih kartic (PCI DSS).

• Zagotavljanje kakovosti

  Imamo namenski oddelek za zagotavljanje kakovosti (QA), ki preizkuša, pregleduje in triaži našo bazo kod. Za vsako posodobitev ali izdajo programske opreme testiranje izvajajo ekipe za razvoj, podporo in zagotavljanje kakovosti z večnivojskim pristopom.

• Ločena/različna okolja

  Obstajata ločena okolja za uprizarjanje in testiranje. Ta okolja so logično in fizično ločena od okolja produkcije v živo. Pri testiranju ali razvoju se ne uporabljajo nobeni podatki o strankah.

• Testiranje penetracije

  Deskpro je preizkušen s testiranjem enot, človeškim nadzorom, testiranjem penetracije aplikacij, statično analizo in funkcionalnimi testi. Vsako leto se izvajajo tudi penetracijski testi tretjih oseb.

• Ublažitev pogostih napadov (XSS, CSRF, SQLi)

  Deskpro je bil ustvarjen za ublažitev običajnih vektorjev napadov; kot so napadi z vbrizgavanjem SQL in napadi s skriptiranjem na različnih mestih (XSS). Deskpro Cloud izkorišča tudi požarni zid za spletne aplikacije (WAF) podjetja CloudFlare za samodejno blokiranje ali izziv sumljivih zahtev.

Šifriranje

• Podatki v mirovanju

  Vsi podatki o strankah, shranjeni šifrirano na strežnikih AWS (z algoritmom šifriranja AES-256).

• Podatki v tranzitu

  Vsi podatki, ki se prenašajo v in iz platforme Deskpro, so šifrirani po žici v skladu z najboljšimi praksami v industriji. Spletni promet prek HTTP je zaščiten s tehnologijo CloudFlare s TLS 1.2 ali 1.3 z uporabo preizkušeno varnih šifrirnih paketov.

  Več informacij o SSL/TLS pri CloudFlarePortableText [components.type] is missing "span"

Programska oprema

• Enotna prijava

  Skrbniki lahko konfigurirajo več možnosti za SSO za platformo Deskpro, vključno s preverjanjem pristnosti OneLogin, Okta, Azure, SAML in JWT. Za SSO so na voljo različne konfiguracijske možnosti, ki vam omogočajo, da prilagodite način interakcije z agenti/strankami.

• Dvofaktorska avtentikacija (2FA)

  Deskpro omogoča 2FA prek vašega ponudnika SSO za skrbnike, agente in stranke.

• Varnost in avtentikacija API-ja

  Deskpro API je API, ki temelji na REST in varno deluje prek HTTPS. Zahteve za API lahko vložijo samo preverjene stranke. Preverjanje pristnosti API-ja je mogoče izvesti prek OAuth, ključev API-ja ali z uporabo kratkotrajnih žetonov API-ja.

• Politike gesel po meri

  Prilagodljive politike gesel je mogoče omogočiti za agente in stranke. To vključuje možnost nastavitve minimalne dolžine gesla, prepoved ponovne uporabe gesla, mešanico številk in znakov ter prisilitev strank, da po določenem času spremenijo geslo.

• Dnevniki nadzora

  Za spremembe, ki jih naredijo skrbniki, se hranijo obsežni revizijski dnevniki. Zagotavljajo zapise, vključno z vrsto, dejanjem, izvajalcem in časovnim žigom, da je bilo izvedeno. Dnevnike dejavnosti za agente si lahko ogledajo tudi skrbniki, ki prikazujejo dejavnost, kot so odgovori na zahtevek ali čas na spletu.

• Uptime

  Deskpro ohranja visoko raven razpoložljivosti na platformi v oblaku, v povprečju preko 99,9 %.

  Obstaja javno dostopna stran s statusom, kjer lahko preverite stanje programske opreme v oblaku in njegove komponente.

• Redundanca

  Uporabljamo AWS z redundanco v vsaj dveh območjih razpoložljivosti, z varnostnimi kopijami baze podatkov, ki po potrebi ponujajo 35-dnevno obnovitev v trenutku. Dodatne šifrirane varnostne kopije zunaj spletnega mesta se posodabljajo dnevno.

• Odzivanje na varnostne incidente

  Vzpostavili smo postopke in politike v zvezi z odzivom in obveščanjem o varnostnih incidentih naše varnostne ekipe.

  Stopnja varnostnega incidenta bo narekovala, kako bomo komunicirali in se odzivali na naše stranke. Če pride do varnostnega incidenta, vas bo obveščala naša ekipa za uspeh strank. Na voljo vam bodo pri pomoči in podpori pri dogodku glede posodobitev.

  Vsi naši postopki in politike v zvezi z odzivom na varnostne incidente so ocenjeni in posodobljeni vsaj enkrat letno.

• Načrt za obnovitev po katastrofi in neprekinjenega poslovanja

  V primeru izrednega dogodka ali kritičnega dogodka v katerih koli prostorih Deskpro je vzpostavljen načrt neprekinjenega poslovanja.

  To je bilo ustvarjeno, da lahko še naprej delujemo kot podjetje za naše stranke, ne glede na scenarij. Načrt neprekinjenega poslovanja se vsako leto testira in preverja glede uporabnosti in morebitnih dodatnih izboljšav.

Varnostne kopije

• Trajanje varnostne kopije

  Če ne želite več uporabljati Deskpro, vzdržujemo varnostne kopije vaših računov 60 dni – po tem času so vaši podatki popolnoma izbrisani iz vseh naših sistemov.

• Število varnostnih kopij

  Primarne varnostne kopije ponujajo obnovitev v trenutku za 35 dni. Šifrirane varnostne kopije zunaj spletnega mesta se dnevno posodabljajo.

Odstranjevanje

• Brisanje podatkov

  Vaši podatki so na zahtevo takoj varno izbrisani iz naših primarnih shramb podatkov. Šifrirane varnostne kopije vaših podatkov zunaj spletnega mesta se očistijo z rednim menjavanjem varnostnih kopij vsakih 60 dni.

• Odstranjevanje strojne opreme

  Vsa strojna oprema, ki ni več v uporabi, se v celoti izbriše in odstrani z uporabo regulirane službe za odstranjevanje v skladu z ISO27001.

Varnost končne točke

• Nastavitev delovne postaje

  Preden se kdorkoli pridruži podjetju Deskpro kot zaposleni, je njegova delovna postaja nastavljena in konfigurirana tako, da ustreza vsem našim varnostnim pravilnikom. Ti pravilniki zahtevajo, da so vse delovne postaje konfigurirane na visoki ravni in skladne s standardi varnostnih potrdil, kot sta ISO27001 & Cyber ​​Essentials Plus.

  Vsaka delovna postaja ima med mirovanjem šifrirane podatke, močna gesla (ki jih upravlja varen trezor za upravljanje gesel), omogočeno sledenje lokaciji in zaslone, ki se samodejno izklopijo, ko niso v uporabi.

• Spremljanje

  Centralni sistem upravljanja SA se uporablja za spremljanje, sledenje in poročanje o zlonamerni programski opremi, nepooblaščeni programski opremi in izmenljivih napravah za shranjevanje. To zagotavlja, da so vse delovne postaje posodobljene s popravki in varnostjo. Imamo tudi strogo politiko o neodstranljivih napravah za shranjevanje.

  Vse mobilne naprave (telefoni ali tablice), ki se uporabljajo v službene namene, so del sistema za upravljanje mobilnih naprav za sledenje lokaciji, varna gesla in SSO.

• Zaupnost

  Vsi novi zaposleni so pregledani med postopkom zaposlovanja. Ob nastopu zaposlitve pri Deskpro morajo zaposleni, izvajalci in čistilne ekipe podpisati pogodbo o nerazkritju in zaupnosti. To je tudi podaljšana pogodba po prenehanju delovnega razmerja.

Dostop do občutljivih informacij

• Oskrba

  Samo določenim ljudem v organizaciji je omogočen dostop do občutljivih informacij. Deluje na podlagi potrebe po seznanitvi z dovoljenji, ki temeljijo na vlogah, da se zaposlenim omogoči, da svoje delo opravljajo po svojih najboljših močeh.

  Naša politika nadzora dostopa se izvaja interno in znotraj Deskpro imamo več stopenj varnostnega preverjanja. Nekateri dostopi, na primer razširjena podpora ali scenariji skupne rabe zaslona, ​​se izvajajo na podlagi pogodbe med strankami.

• Preverjanje pristnosti

  Za dodatno povečanje varnosti Deskpro uporablja dvofaktorsko avtentikacijo (2FA) za sisteme, ki vsebujejo občutljive ali osebne podatke.

  Uporaba enotne prijave (SSO) za zaposlene omogoča vodstvu, da takoj onemogoči ali spremeni dostop do vseh aplikacij. To se uporablja, ko zaposleni zapusti Deskpro ali je treba njegov dostop odstraniti.

• Upravljanje gesel

  Deskpro kot del naše interne politike gesel zahteva, da vsi zaposleni uporabljajo odobrenega upravitelja gesel. To zagotavlja, da so gesla močna, shranjena na varnem mestu, se redno spreminjajo in ne uporabljajo ponovno. Po potrebi upravitelj gesel opozori uporabnike na morebitna tveganja za geslo, da ohrani visoko raven varnosti na vseh ravneh.

Upravljanje prodajalca

• Podstoritvene organizacije

  Da bi Deskpro deloval učinkovito, se zanašamo na podstoritvene organizacije, ki nam pomagajo zagotavljati naše storitve.

  Ko izbiramo primernega prodajalca za zahtevano storitev, sprejmemo ustrezne ukrepe, da zagotovimo ohranitev varnosti in celovitosti naše platforme. Vsaka podstoritvena organizacija je pred implementacijo v Deskpro temeljito pregledana, testirana in varnostno preverjena.

• Skladnost prodajalca

  Deskpro spremlja učinkovitost teh prodajalcev in jih vsako leto pregleda, da se potrdi njihova stalna varnost in zaščitni ukrepi. Pogled a seznam naših trenutnih podstoritvenih organizacijPortableText [components.type] is missing "span"

• Podprocesorji

  V vsakem primeru, ko bi uporaba ene od teh podstoritvenih organizacij lahko vplivala na varnost Deskpro, sprejmemo ustrezne ukrepe za zmanjšanje tveganja. To vključuje sklepanje sporazumov in zagotavljanje, da so skladni z ustreznimi certifikati ali predpisi, kot je GDPR.

Zunanja validacija

• Revizije varnostne skladnosti

  Deskpro vedno aktivno išče, spremlja in izboljšuje naše varnostne nastavitve. To poteka z rednimi preverjanji in ocenami naše ekipe za notranjo varnost in ocenjevalcev tretjih oseb.

  Vse rezultate delimo z vodstveno ekipo in o njih poglobljeno razpravljamo pri pregledih upravljanja varnosti. Nedavne varnostne revizije in certifikati vključujejo ISO27001, PCI, Cyber ​​Essentials Plus, CSA Star, G-Cloud 12 in pripravljenost na GDPR. Naš seznam certifikatov si lahko ogledate na dnu te strani.

  Naša politika nadzora dostopa se izvaja interno in znotraj Deskpro imamo več stopenj varnostnega preverjanja. Nekateri dostopi, na primer razširjena podpora ali scenariji skupne rabe zaslona, ​​se izvajajo na podlagi pogodbe med strankami.

• Testiranje penetracije

  Neodvisno testiranje penetracije s strani certificirane tretje osebe CREST CHECK se izvaja vsaj enkrat letno. Izvedeni testi prodora so osredotočeni na varnost, infrastrukturo in izdelek. Rezultate teh testov delita in na podlagi njih ukrepata ekipa za varnost in višje vodstvo.

  Naše letno testiranje vključuje tudi skeniranje ranljivosti zunanjega in notranjega omrežja s certifikatom za Cyber ​​Essentials Plus. Vse teste penetracije tretjih oseb izvajajo svetovalci, certificirani po standardih CREST.

• Revizije, ki jih vodijo stranke

  Zavedamo se, da lahko v določenih okoliščinah organizacija zahteva dodatne revizije ali testiranje prodora, preden lahko opravi nakup Deskpro. Stranke vabimo k izvajanju lastnega penetracijskega testiranja v okolju Deskpro. Če ga želite organizirati, se obrnite na podporo za načrtovanje tega in za nadaljnje cene.

• Odgovorno razkritje

  Če ste varnostni strokovnjak ali raziskovalec in menite, da ste odkrili težavo, povezano z varnostjo v spletnih sistemih Deskpro, cenimo vašo pomoč pri odgovornem razkrivanju težave. Imamo Odgovorno razkritje program. Prosimo varnostno raziskovalno skupnost, da nam da priložnost, da popravimo ranljivost, preden jo javno razkrijemo.

Certificiranje/skladnost

• • ISO 27001
  • SOC 2 tip II
  • Cyber ​​Essentials
  • Cyber ​​Essentials Plus
  • Zvezda CSA
  • GDPR
  • G-Cloud
  • PCI-DSS
  • CCPA
  • Standardne pogodbene klavzule (SCC)