תאימות ורגולציה

ISO

מרכז הנתונים שלנו מוסמך לתקן ISO 27001. למידע נוסף ראו את הפרטים משותף האחסון שלנו.

ISO 27001 הוא תקן אבטחת מידע מוכר ומקובל בעולם, שמגדיר שיטות עבודה מומלצות לניהול אבטחה ובקרות אבטחה מקיפות בהתאם להנחיות ISO 27002.

GDPR

כחברה נורווגית אנחנו עומדים באופן מלא בדרישות ה-GDPR. את המדיניות שלנו בנושא פרטיות ועיבוד נתונים תמצאו בתנאי השירות. הסכם עיבוד הנתונים של שותף האחסון שלנו זמין באינטרנט. לרשימת מעבדי המשנה שלנו, צרו איתנו קשר.

קראו איך Makeplans מטפלת ב-GDPR

תקנת הגנת המידע הכללית (EU) 2016/679 (GDPR) היא תקנה בדין האיחוד האירופי העוסקת בהגנת מידע ובפרטיות באיחוד האירופי (EU) ובאזור הכלכלי האירופי (EEA). היא מסדירה גם העברה של מידע אישי אל מחוץ ל-EU ול-EEA. קראו את התקנה המלאה.

NIS2

שותף האחסון שלנו עומד בדרישות דירקטיבת NIS2. למידע נוסף ראו את הפרטים משותף האחסון שלנו.

דירקטיבת NIS2 (EU) 2022/2555 היא חקיקה כלל-אירופית בתחום אבטחת הסייבר. היא קובעת אמצעים משפטיים להעלאת רמת אבטחת הסייבר הכוללת באיחוד האירופי. קראו את הדירקטיבה המלאה.

PCI DSS

Makeplans אינה שומרת פרטי כרטיסי אשראי, אלא נעזרת בשותפים מוסמכים להעברה ולאחסון מאובטחים.

PCI DSS הוא תקן האבטחה העולמי לכל גוף ששומר, מעבד או מעביר נתוני מחזיקי כרטיס ו/או נתוני אימות רגישים. למידע נוסף ראו את הפרטים משותף האחסון שלנו.

פיתוח מאובטח

בקרת גישה

ב-Makeplans אבטחה היא בעדיפות עליונה. תהליך מתן ההרשאות שלנו בנוי לפי עקרון ההרשאה המינימלית, ואנחנו מזדהים באמצעות SSO עם מפתחות חומרה כגורם אימות שני חובה.

אבטחת מכשירים

אנחנו עובדים באופן אחיד עם מכשירי macOS. כל המכשירים מוצפנים, ונאכפת בהם תצורה מאובטחת.

תהליך הפיתוח

אנחנו עובדים עם pull requests, סקירות קוד וצינורות CI/CD. כל שינוי נבדק בבדיקות אוטומטיות, התלויות נבדקות מול פגיעויות ידועות, והקוד נסרק לאיתור בעיות אבטחה.

אבטחת תשתית

אחסון בנורווגיה

התשתית שלנו מאוחסנת ב-JCloud בנורווגיה, שמרכז הנתונים שלה מוסמך לתקן ISO 27001 והיא עומדת בדרישות NIS2, GDPR ו-PCI DSS. החברה מקיימת נהלי אבטחה מהמובילים בתעשייה ומספקת הגנה סביבתית ופיזית ברמה הגבוהה ביותר לשירותים ולתשתית. למידע נוסף על האבטחה ב-JCloud ראו את עמוד מדיניות האבטחה שלה.

הצפנת נתונים

כל הנתונים מוצפנים במנוחה ובתעבורה. אנחנו סורקים באופן קבוע את תצורת ה-TLS שלנו ומוודאים שהשירותים שלנו מאפשרים רק תעבורת HTTPS עם HSTS פעיל.

הפרדת סביבות

סביבות שאינן סביבת הייצור מופרדות ממנה, הן ברמת הרשת והן ברמת בקרת הגישה. נתוני ייצור לעולם אינם משמשים לבדיקות.

יומני ביקורת

אנחנו אוספים לוגים מהשירותים שלנו כדי לאפשר ביקורת תקינה, בלי לתעד מידע רגיש.

זמינות גבוהה

התשתית שלנו בנויה לזמינות גבוהה. הנתונים מגובים בכמה מיקומים למשך 30 יום לפחות, ויש לנו תוכניות התאוששות מאסון שנבדקות באופן קבוע.

מעבדי משנה

אנחנו מבצעים בדיקת נאותות לכל מעבדי המידע ומצמצמים את מספר הצדדים השלישיים המעורבים. הסכם עיבוד הנתונים ומדיניות הפרטיות של שותף האחסון שלנו זמינים באינטרנט. לרשימת מעבדי המשנה שלנו, צרו איתנו קשר.

אבטחה ארגונית

כוח אדם

ב-Makeplans יש צוות קטן וטכני מאוד, שאבטחה נמצאת אצלו בעדיפות עליונה. העובדים חותמים על הסכם סודיות, פועלים לפי נהלי האבטחה ומשתתפים בהדרכות אבטחה פנימיות המותאמות לתפקידם.

תגובה לאירועים

קבענו נהלים לטיפול באירועי אבטחה ופרטיות הקשורים למוצרים ולשירותים שלנו. אנחנו מפרסמים איש קשר לחוקרי אבטחה.

ניהול סיכונים

אנחנו עורכים באופן קבוע הערכות סיכונים ובחינות פנימיות של מערכת ניהול אבטחת המידע שלנו, של התשתית ושל כל התהליכים הפנימיים.

דיווח על פגיעויות אבטחה

אם לדעתכם מצאתם פגיעות אבטחה ב-Makeplans, או שיש לכם חשש אחר בנושא אבטחה, ראו את המידע על bug bounty או פנו אלינו בכתובת hello@makeplans.com.