Соответствие требованиям
ISO
Наш дата-центр сертифицирован по ISO 27001. Подробнее — в материалах нашего хостинг-партнера.
ISO 27001 — широко признанный международный стандарт информационной безопасности. Он описывает лучшие практики управления безопасностью и комплексные меры контроля в соответствии с рекомендациями ISO 27002.
GDPR
Как норвежская компания мы полностью соблюдаем GDPR. Наши правила в отношении конфиденциальности и обработки данных изложены в условиях использования. Соглашение об обработке данных нашего хостинг-партнера доступно онлайн. Чтобы получить список наших субобработчиков, свяжитесь с нами.
Общий регламент по защите данных (ЕС) 2016/679 (GDPR) — это нормативный акт ЕС о защите данных и неприкосновенности частной жизни в Европейском союзе (ЕС) и Европейской экономической зоне (ЕЭЗ). Он также регулирует передачу персональных данных за пределы ЕС и ЕЭЗ. Прочитайте полный текст регламента.
NIS2
Наш хостинг-партнер соблюдает директиву NIS2. Подробнее — в материалах нашего хостинг-партнера.
Директива NIS2 (ЕС) 2022/2555 — общеевропейский закон о кибербезопасности. Он предусматривает правовые меры для повышения общего уровня кибербезопасности в ЕС. Прочитайте полный текст директивы.
PCI DSS
Makeplans не хранит данные банковских карт — их безопасную передачу и хранение обеспечивают сертифицированные партнеры.
PCI DSS — международный стандарт безопасности для всех организаций, которые хранят, обрабатывают или передают данные держателей карт и (или) критичные аутентификационные данные. Подробнее — в материалах нашего хостинг-партнера.
Безопасная разработка
Контроль доступа
Безопасность для Makeplans — главный приоритет. Доступ предоставляется по принципу минимальных привилегий, а для входа используется SSO с аппаратным ключом в качестве обязательного второго фактора.
Безопасность устройств
Мы используем только устройства на macOS. Все устройства зашифрованы, а безопасная конфигурация применяется принудительно.
Процесс разработки
Мы работаем через пул-реквесты с ревью кода и конвейерами CI/CD. Каждое изменение проходит автоматические тесты, зависимости проверяются на известные уязвимости, а код сканируется на проблемы безопасности.
Безопасность инфраструктуры
Хостинг в Норвегии
Наша инфраструктура размещена в Норвегии у JCloud. Их дата-центр сертифицирован по ISO 27001, а сама компания соблюдает требования NIS2, GDPR и PCI DSS. JCloud придерживается передовых практик безопасности и обеспечивает первоклассную физическую защиту и защиту от внешних воздействий для сервисов и инфраструктуры. Подробнее — на странице JCloud о политике безопасности.
Шифрование данных
Все данные шифруются при хранении и передаче. Мы регулярно проверяем конфигурацию TLS и следим за тем, чтобы наши сервисы принимали только HTTPS-трафик с включенным HSTS.
Разделение сред
Непроизводственные среды отделены от производственной как на уровне сети, так и на уровне доступа. Производственные данные никогда не используются для тестирования.
Журналы аудита
Мы собираем журналы наших сервисов, чтобы обеспечить полноценный аудит, и не записываем в них конфиденциальные данные.
Высокая доступность
Наша инфраструктура рассчитана на высокую доступность. Резервные копии данных хранятся в нескольких местах не менее 30 дней, а планы аварийного восстановления регулярно проверяются.
Субобработчики
Мы тщательно проверяем всех обработчиков данных и сводим число привлекаемых третьих сторон к минимуму. Соглашение об обработке данных и политика конфиденциальности нашего хостинг-партнера доступны онлайн. Чтобы получить список наших субобработчиков, свяжитесь с нами.
Организационная безопасность
Персонал
В Makeplans небольшая команда с сильной технической подготовкой, для которой безопасность — главный приоритет. Сотрудники подписывают соглашение о неразглашении, соблюдают политики безопасности и проходят внутреннее обучение по безопасности с учетом своей роли.
Реагирование на инциденты
У нас есть процедуры реагирования на инциденты, связанные с безопасностью и конфиденциальностью наших продуктов и услуг. Мы публикуем контактные данные для исследователей безопасности.
Управление рисками
Мы регулярно проводим оценку рисков и внутренние проверки нашей системы управления информационной безопасностью, инфраструктуры и всех внутренних процессов.
Сообщения об уязвимостях
Если вы считаете, что нашли уязвимость в Makeplans, или у вас есть другие вопросы по безопасности, ознакомьтесь с информацией о программе bug bounty или напишите нам на hello@makeplans.com.