Polityka bezpieczeństwa

Centra danych spełniają wysokie standardy zgodności, a protokoły organizacyjne zapewniają odpowiednią utylizację zasobów i zgodność pracowników. Regularne audyty oraz plany odzyskiwania po awarii dodatkowo chronią dane.

Bezpieczeństwo danych jest dla nas najwyższym priorytetem. Łączymy wiele funkcji zabezpieczających, aby zapewnić, że dane klientów, pracowników i firmy są zawsze chronione, tak aby nasi klienci mogli spać spokojnie wiedząc, że ich dane są bezpieczne, komunikacja chroniona, a działalność zabezpieczona.

Bezpieczeństwo infrastruktury

Bezpieczeństwo infrastruktury polega na ochronie podstawowego sprzętu, oprogramowania i elementów sieciowych wspierających operacje IT organizacji. Obejmuje to wszystko — od centrów danych i serwerów po połączenia sieciowe i urządzenia końcowe. Skuteczne bezpieczeństwo infrastruktury ma na celu zapobieganie nieautoryzowanemu dostępowi, nadużyciom i zakłóceniom, zapewniając integralność, poufność i dostępność systemów IT.

Kluczowe elementy bezpieczeństwa infrastruktury

Dostęp do kluczy szyfrujących ograniczony
Polityka: Dostęp do kluczy szyfrujących mają wyłącznie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
Wdrożenie: Gwarantuje to, że tylko osoby z odpowiednimi uprawnieniami mogą odszyfrować wrażliwe informacje, minimalizując ryzyko naruszenia danych.
Wymuszona unikalna autoryzacja kont
Polityka: Systemy i aplikacje wymagają unikalnych nazw użytkowników i haseł lub autoryzowanych kluczy SSH.
Wdrożenie: Zmniejsza to ryzyko nieautoryzowanego dostępu, zapewniając indywidualną identyfikację użytkownika podczas logowania.
Dostęp do aplikacji produkcyjnych ograniczony
Polityka: Dostęp do aplikacji produkcyjnych mają wyłącznie upoważnieni pracownicy.
Wdrożenie: Zapobiega to ingerencji nieuprawnionych osób w kluczowe aplikacje firmy.
Wdrożone procedury kontroli dostępu
Polityka: Udokumentowane wymagania dotyczące dodawania, modyfikowania i usuwania dostępu użytkowników.
Wdrożenie: Jasne procedury gwarantują systematyczne i bezpieczne zarządzanie uprawnieniami.
Dostęp do produkcyjnych baz danych ograniczony
Polityka: Uprzywilejowany dostęp do baz danych mają tylko upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
Wdrożenie: Chroni to wrażliwe dane przed nieautoryzowanym dostępem lub zmianą.
Dostęp do zapory sieciowej ograniczony
Polityka: Uprzywilejowany dostęp do zapory sieciowej mają wyłącznie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
Wdrożenie: Zapory są kluczowe dla bezpieczeństwa sieci, a ograniczenie dostępu chroni ich konfigurację przed naruszeniem.
Dostęp do produkcyjnego systemu operacyjnego ograniczony
Polityka: Uprzywilejowany dostęp do systemu operacyjnego mają wyłącznie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
Wdrożenie: Chroni to warstwę systemu operacyjnego przed nieuprawnionymi zmianami mogącymi wpływać na stabilność i bezpieczeństwo systemu.
Dostęp do sieci produkcyjnej ograniczony
Polityka: Uprzywilejowany dostęp do sieci produkcyjnej mają wyłącznie upoważnieni użytkownicy z uzasadnioną potrzebą biznesową.
Wdrożenie: Zapewnia, że tylko upoważnieni pracownicy mają dostęp do sieci, redukując ryzyko zagrożeń wewnętrznych.
Cofnięcie dostępu po zakończeniu współpracy
Polityka: Dostęp dla byłych pracowników jest cofany zgodnie z umowami SLA.
Wdrożenie: Zapobiega to dostępowi do systemów firmy po rozwiązaniu stosunku pracy.
Wymuszona unikalna autoryzacja systemów sieciowych
Polityka: Wymaga unikalnych nazw użytkownika i haseł lub autoryzowanych kluczy SSH do dostępu do sieci.
Wdrożenie: Zwiększa bezpieczeństwo, zapewniając możliwość powiązania dostępu z konkretnym użytkownikiem.
Wymagane szyfrowanie dostępu zdalnego
Polityka: Zdalny dostęp do systemów produkcyjnych jest dozwolony wyłącznie przez zatwierdzone, szyfrowane połączenia.
Wdrożenie: Chroni dane przesyłane podczas połączeń zdalnych przed przechwyceniem.
Wykorzystanie systemu wykrywania włamań
Polityka: Ciągłe monitorowanie sieci w celu szybkiego wykrywania naruszeń bezpieczeństwa.
Wdrożenie: IDS zapewnia powiadomienia w czasie rzeczywistym, umożliwiając szybką reakcję na potencjalne zagrożenia.
Monitorowanie wydajności infrastruktury
Polityka: Wykorzystanie narzędzi monitorujących do śledzenia wydajności systemów i generowania alertów po osiągnięciu progów.
Wdrożenie: Zapewnia utrzymanie niezawodności infrastruktury i szybką reakcję na wszelkie problemy.
Segmentacja sieci wdrożona
Polityka: Podział sieci w celu zapobiegania nieautoryzowanemu dostępowi do danych klientów.
Wdrożenie: Ogranicza rozprzestrzenianie się naruszeń poprzez izolowanie poszczególnych części sieci.
Przegląd zapór sieciowych
Polityka: Coroczny przegląd reguł zapór sieciowych z rejestracją zmian.
Wdrożenie: Utrzymuje konfiguracje zapór zgodne z aktualnymi standardami bezpieczeństwa.
Stosowanie zapór sieciowych
Polityka: Zapory sieciowe skonfigurowane tak, by zapobiegać nieuprawnionemu dostępowi.
Wdrożenie: Stanowi pierwszą linię obrony przed zagrożeniami zewnętrznymi.
Utrzymanie standardów twardnienia sieci i systemów
Polityka: Udokumentowane standardy oparte na najlepszych praktykach branżowych, przeglądane corocznie.
Wdrożenie: Zapewnia bezpieczną konfigurację systemów odporną na ataki.

Bezpieczeństwo centrum danych

Zapewniamy poufność i integralność Twoich danych zgodnie z najlepszymi praktykami branżowymi. Serwery FlowHunt są utrzymywane w obiektach zgodnych z Tier IV lub III+, PCI DSS, SSAE-16 lub ISO 27001. Nasz Zespół Bezpieczeństwa nieustannie wdraża aktualizacje zabezpieczeń i aktywnie reaguje na alerty oraz incydenty bezpieczeństwa.

Bezpieczeństwo fizyczne

Obiekty	Opis
Środowisko serwerowe	Serwery FlowHunt są utrzymywane w obiektach zgodnych z Tier III+ lub IV, PCI DSS, SSAE-16 lub ISO 27001. Centra danych zasilane są redundantnie, każdy z UPS i generatorami zapasowymi.
Ochrona na miejscu	Nasze centra danych posiadają zabezpieczony obwód z wielopoziomowymi strefami bezpieczeństwa, całodobową ochroną, monitoringiem CCTV, wieloskładnikową identyfikacją z biometrycznym dostępem, zamkami fizycznymi oraz alarmami naruszenia bezpieczeństwa.
Monitorowanie	Wszystkie systemy sieci produkcyjnej, urządzenia sieciowe i obwody są stale monitorowane i zarządzane logicznie przez administratorów FlowHunt. Ochrona fizyczna, zasilanie i łączność internetowa poza drzwiami klatek kolokacyjnych lub usługami Amazon/Linode są monitorowane przez operatorów obiektów.
Lokalizacja	Publiczne usługi FlowHunt przechowują dane głównie w Unii Europejskiej (centra danych we Frankfurcie). Chmury prywatne mogą być tworzone zgodnie z preferencjami lub lokalizacją: w USA, Europie czy Azji. Klienci mogą wybrać przechowywanie swoich danych wyłącznie w USA lub Europie.

Bezpieczeństwo sieci

Nasza sieć jest chroniona przez redundantne zapory sieciowe, nowoczesne technologie routerowe, bezpieczny transport HTTPS przez sieci publiczne oraz technologie wykrywania i/lub zapobiegania włamaniom (IDS/IPS), które monitorują i/lub blokują złośliwy ruch i ataki sieciowe.

Dodatkowe środki

Ochrona przed DDoS: Wiodąca w branży infrastruktura chroni przed atakami typu denial-of-service i minimalizuje ich skutki.
Szyfrowanie komunikacji: Komunikacja między Tobą a serwerami FlowHunt jest szyfrowana zgodnie z najlepszymi praktykami branżowymi (HTTPS oraz TLS) przez sieci publiczne.

Bezpieczeństwo organizacyjne

Procedury utylizacji zasobów

Ocena zasobów: Identyfikacja i katalogowanie wszystkich urządzeń przeznaczonych do utylizacji.
Kopia zapasowa danych: Bezpieczne tworzenie kopii zapasowej niezbędnych danych przed utylizacją.
Czyszczenie danych: Wykorzystanie certyfikowanych narzędzi do usuwania wszystkich danych z urządzeń zgodnie ze standardami branżowymi.
Fizyczna destrukcja: W przypadku urządzeń niepodlegających czyszczeniu stosuje się metody fizycznego zniszczenia, takie jak rozdrabnianie czy rozmagnesowanie.
Zgodność środowiskowa: Wszystkie metody utylizacji są zgodne z przepisami środowiskowymi.

Certyfikacja i zgodność

Dokumentacja: Prowadzenie szczegółowej ewidencji wszystkich zutylizowanych zasobów, w tym numerów seryjnych, metod i dat utylizacji.
Weryfikacja zewnętrzna: Zaangażowanie certyfikowanych podmiotów zewnętrznych do potwierdzenia i udokumentowania procesu utylizacji.

Zasady dla pracowników i współpracowników

Weryfikacja kandydatów: Nowi pracownicy przechodzą szczegółowe sprawdzenie przed zatrudnieniem.
Kodeks postępowania: Wszyscy pracownicy i współpracownicy muszą zaakceptować i przestrzegać kodeksu postępowania firmy; za naruszenia przewidziane są sankcje dyscyplinarne.
Umowy o poufności: Umowy o zachowaniu poufności są wymagane od wszystkich pracowników podczas wdrożenia oraz od współpracowników przy rozpoczęciu współpracy.

Procedury bezpieczeństwa i wizyt

Procedury dla gości: Goście muszą się rejestrować, nosić identyfikator oraz być eskortowani przez upoważnionego pracownika podczas przebywania w strefach chronionych.
Szkolenia z bezpieczeństwa: Pracownicy odbywają szkolenia z bezpieczeństwa w ciągu trzydziestu dni od zatrudnienia oraz corocznie, aby być na bieżąco z najlepszymi praktykami i nowymi zagrożeniami.

Bezpieczeństwo produktu

Szyfrowanie danych

Wszystkie bazy danych FlowHunt oraz ich kopie zapasowe zawierające wrażliwe dane klientów są szyfrowane. Szyfrowanie danych płatniczych realizowane jest przez naszych operatorów płatności (Stripe).

Szyfrowanie na poziomie kolumn: Szyfrowanie wybranych kolumn w bazie, co pozwala lepiej chronić szczególnie wrażliwe pola, takie jak klucze API.
Protokoły szyfrowania: Do szyfrowania transmisji danych w sieci wykorzystywane są protokoły SSL oraz TLS.

Testy penetracyjne

FlowHunt regularnie przeprowadza testy penetracyjne i zachęca zewnętrznych badaczy bezpieczeństwa do udziału w programie bug bounty w celu wykrywania podatności.

Zaktualizowano: 30.05.2025