Drošības arhitektūra

Kā mēs aizsargājam Jūsu dokumentus, datus un darījumu integritāti. Veidots uzņēmumiem, kuriem savu rīku izvēle ir jāpamato IT un juridiskajām komandām.

Infrastruktūra

Lietotņu serveri, datubāze, šifrētā failu krātuve un rezerves kopijas darbojas Hetzner infrastruktūrā Vācijā. Rezerves kopijas ir šifrētas un tiek glabātas atsevišķi no primārās sistēmas.

Šifrēšana

Pārsūtīšanas laikā

Visai saziņai tiek izmantota TLS 1.2+ šifrēšana. API galapunkti, failu augšupielāde un saziņa starp pakalpojumiem ir šifrēta no gala līdz galam. HSTS galvenes nodrošina piekļuvi tikai ar HTTPS.

Glabāšanā — datubāze

Datubāze darbojas uz šifrētiem diskiem EEZ un ir sasniedzama tikai no mūsu lietotņu serveriem.

Glabāšanā — dokumenti

Katrs dokuments tiek šifrēts ar ChaCha20-Poly1305 un savu atslēgu, pirms tas tiek ierakstīts krātuvē, tāpēc noplūdusi krātuve neatklāj neko lasāmu. Darbinieki nepiekļūst dokumentu saturam, ja vien Jūs to nelūdzat atbalsta nolūkos vai to nepieprasa likums.

Autentifikācija un identitāte

Doki Dok neglabā paroles. Jūs pierakstāties ar:

Pieteikšanās saitēm — vienreizējas lietošanas pieteikšanās saiti, kas tiek nosūtīta uz Jūsu e-pastu un ir derīga 10 minūtes
Google vai Microsoft — vienoto pierakstīšanos ar Jūsu esošo darba kontu

Autentifikācija darbojas mūsu pašu serveros (pašmitināts Better Auth); sesijas beidzas pēc 30 dienām.

Drīzumā: parakstīšana ar valsts eID, izmantojot Smart-ID, Mobile-ID un eParaksts. Tie rada kvalificētus elektroniskos parakstus, kuriem saskaņā ar eIDAS regulu visā ES/EEZ ir tādas pašas juridiskās sekas kā rokrakstā izdarītam parakstam.

Dokumentu drošība

Dokumenti ir tas galvenais, ko Doki Dok aizsargā. Mūsu pieeja:

Individuāla šifrēšana

Katrs fails tiek šifrēts ar unikālu atslēgu. Vienas atslēgas atklāšana nevar novest pie masveida kompromitācijas.

Bez apmācības, bez pārdošanas

Dokumenti nekad netiek izmantoti MI modeļu apmācībai, pārdoti trešajām personām, un Doki Dok darbinieki tiem nepiekļūst. Tie ir paredzēti tikai Jūsu lietošanai Pakalpojumā.

Piekļuves kontrole

Piekļuve darījumu telpām balstās uz atļaujām. Piekļuve dokumentiem tiek reģistrēta un ir auditējama. Failu kopīgošana rada kontrolētas piekļuves saites ar konfigurējamu derīguma termiņu.

Droša dzēšana

Kad dokumenti tiek dzēsti, tie tiek neatgriezeniski izņemti no primārās krātuves un rezerves kopiju rotācijas cikla laikā izdzēsti no rezerves kopijām.

Audita žurnāli

Katra darbība darījumu telpā tiek ierakstīta nemaināmā audita žurnālā. Tas ietver:

Dokumentu augšupielādi, lejupielādi un versiju izmaiņas
Parakstīšanas notikumus un identitātes pārbaudes rezultātus
Atļauju izmaiņas un piekļuves piešķiršanu
Komentāru un anotāciju darbības
Telpu izveidi, mainīšanu un slēgšanu

Audita žurnālus var tikai papildināt, un neviens lietotājs, tostarp administratori, tos nevar mainīt vai dzēst. Tie tiek glabāti likumā noteikto laikposmu, lai nodrošinātu darījumu integritāti un atbilstību normatīvajām prasībām.

Atbilstības nostāja

Pārredzamības piezīme: Pašlaik mums nav SOC 2 vai ISO 27001 sertifikātu. Tomēr mūsu infrastruktūra, procesi un kontroles ir izstrādāti atbilstoši šiem ietvariem, un mēs aktīvi strādājam pie oficiālas sertifikācijas.

Mūsu pašreizējā atbilstības nostāja ietver:

VDAR

Norvēģijas/EEZ uzņēmums. Datu apstrādes noteikumi ikvienam klientam un līgumi ar visiem apakšapstrādātājiem — skatiet VDAR un datu apstrāde. Dokumenti tiek glabāti un apstrādāti EEZ.

eIDAS

Kvalificēti elektroniskie paraksti ar Smart-ID, Mobile-ID un eParaksts ir integrācijas testēšanas stadijā.

SOC 2 (saskaņotība)

Kontroles saskaņotas ar SOC 2 Type II uzticamības principiem: drošība, pieejamība, apstrādes integritāte, konfidencialitāte un privātums. Oficiālā sertifikācija tiek īstenota.

ISO 27001 (saskaņotība)

Informācijas drošības pārvaldības prakse saskaņota ar ISO 27001 prasībām. Oficiālā sertifikācija ir plānota.

Trešo pušu drošība

Mēs uzturam nelielu pakalpojumu sniedzēju skaitu, un ar katru no tiem mums ir noslēgts datu apstrādes līgums. Pašreizējais saraksts ir pieejams sadaļā VDAR un datu apstrāde.

Reaģēšana uz incidentiem

Drošības incidenta gadījumā mūsu reaģēšanas process ietver:

Tūlītēju ierobežošanu un izmeklēšanu
Skarto klientu informēšanu bez nepamatotas kavēšanās un 48 stundu laikā
Paziņošanu Norvēģijas datu aizsardzības iestādei (Datatilsynet) 72 stundu laikā, ja to pieprasa likums
Pēcincidenta pārskatu un seku novēršanu
Pārredzamu saziņu visa procesa laikā

Jautājumi?

Ja Jums ir jautājumi par mūsu drošības praksi vai nepieciešama informācija piegādātāja novērtējumam, sazinieties ar mums:

Agdir Drift AS — Drošība

Waglesgårdveien 38, 4844 Arendal, Norvēģija

Reģ. nr. 921 893 639

E-pasts: [email protected]
Tālrunis: +47 370 23 500