# Соответствие требованиям

## ISO

Наш дата-центр сертифицирован по ISO 27001. Подробнее — в [материалах нашего хостинг-партнера](https://jcloud.no/policy/security/).

ISO 27001 — широко признанный международный стандарт информационной безопасности. Он описывает лучшие практики управления безопасностью и комплексные меры контроля в соответствии с рекомендациями ISO 27002.

## GDPR

Как норвежская компания мы полностью соблюдаем GDPR. Наши правила в отношении конфиденциальности и обработки данных изложены в [условиях использования](https://terms.makeplans.com). [Соглашение об обработке данных](https://jcloud.no/policy/dpa/) нашего хостинг-партнера доступно онлайн. Чтобы получить список наших субобработчиков, свяжитесь с нами.

[Как Makeplans соблюдает GDPR](/ru/resheniya/gdpr-sistema-bronirovaniya/)

Общий регламент по защите данных (ЕС) 2016/679 (GDPR) — это нормативный акт ЕС о защите данных и неприкосновенности частной жизни в Европейском союзе (ЕС) и Европейской экономической зоне (ЕЭЗ). Он также регулирует передачу персональных данных за пределы ЕС и ЕЭЗ. Прочитайте [полный текст регламента](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:02016R0679-20160504).

## NIS2

Наш хостинг-партнер соблюдает директиву NIS2. Подробнее — в [материалах нашего хостинг-партнера](https://jcloud.no/policy/security/).

Директива NIS2 (ЕС) 2022/2555 — общеевропейский закон о кибербезопасности. Он предусматривает правовые меры для повышения общего уровня кибербезопасности в ЕС. Прочитайте [полный текст директивы](https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:02022L2555-20221227&qid=1765198642365).

## PCI DSS

Makeplans не хранит данные банковских карт — их безопасную передачу и хранение обеспечивают сертифицированные партнеры.

PCI DSS — международный стандарт безопасности для всех организаций, которые хранят, обрабатывают или передают данные держателей карт и (или) критичные аутентификационные данные. Подробнее — в [материалах нашего хостинг-партнера](https://jcloud.no/policy/security/).

## Безопасная разработка

### Контроль доступа

Безопасность для Makeplans — главный приоритет. Доступ предоставляется по принципу минимальных привилегий, а для входа используется SSO с аппаратным ключом в качестве обязательного второго фактора.

### Безопасность устройств

Мы используем только устройства на macOS. Все устройства зашифрованы, а безопасная конфигурация применяется принудительно.

### Процесс разработки

Мы работаем через пул-реквесты с ревью кода и конвейерами CI/CD. Каждое изменение проходит автоматические тесты, зависимости проверяются на известные уязвимости, а код сканируется на проблемы безопасности.

## Безопасность инфраструктуры

### Хостинг в Норвегии

Наша инфраструктура размещена в Норвегии у JCloud. Их дата-центр сертифицирован по ISO 27001, а сама компания соблюдает требования NIS2, GDPR и PCI DSS. JCloud придерживается передовых практик безопасности и обеспечивает первоклассную физическую защиту и защиту от внешних воздействий для сервисов и инфраструктуры. Подробнее — [на странице JCloud о политике безопасности](https://jcloud.no/policy/security/).

### Шифрование данных

Все данные шифруются при хранении и передаче. Мы регулярно проверяем конфигурацию TLS и следим за тем, чтобы наши сервисы принимали только HTTPS-трафик с включенным HSTS.

### Разделение сред

Непроизводственные среды отделены от производственной как на уровне сети, так и на уровне доступа. Производственные данные никогда не используются для тестирования.

### Журналы аудита

Мы собираем журналы наших сервисов, чтобы обеспечить полноценный аудит, и не записываем в них конфиденциальные данные.

### Высокая доступность

Наша инфраструктура рассчитана на высокую доступность. Резервные копии данных хранятся в нескольких местах не менее 30 дней, а планы аварийного восстановления регулярно проверяются.

### Субобработчики

Мы тщательно проверяем всех обработчиков данных и сводим число привлекаемых третьих сторон к минимуму. [Соглашение об обработке данных](https://jcloud.no/policy/dpa/) и [политика конфиденциальности](https://jcloud.no/policy/privacy/) нашего хостинг-партнера доступны онлайн. Чтобы получить список наших субобработчиков, свяжитесь с нами.

## Организационная безопасность

### Персонал

В Makeplans небольшая команда с сильной технической подготовкой, для которой безопасность — главный приоритет. Сотрудники подписывают соглашение о неразглашении, соблюдают политики безопасности и проходят внутреннее обучение по безопасности с учетом своей роли.

### Реагирование на инциденты

У нас есть процедуры реагирования на инциденты, связанные с безопасностью и конфиденциальностью наших продуктов и услуг. Мы публикуем контактные данные для исследователей безопасности.

### Управление рисками

Мы регулярно проводим оценку рисков и внутренние проверки нашей системы управления информационной безопасностью, инфраструктуры и всех внутренних процессов.

## Сообщения об уязвимостях

Если вы считаете, что нашли уязвимость в Makeplans, или у вас есть другие вопросы по безопасности, ознакомьтесь с информацией о программе [bug bounty](https://help.makeplans.com/article/53-bug-bounty) или напишите нам на [hello@makeplans.com](mailto:hello@makeplans.com).