Модулі

Ніколи не зберігаються незашифрованими.
Якщо не потрібно використовувати, використовуються алгоритми, які не дозволяють пароль дізнатися, тільки перевірити
Якщо потрібно використовувати незашифровані паролі (як правило, для аутентифікації системи в інші служби, наприклад, шлюзи зв'язку), паролі доступу надійно зберігаються за межами зашифрованих паролів, щоб не отримати обидва атаки однієї системи.
Паролі не передаються незашифрованими каналами
Внутрішні паролі шифрування ніколи не є глобальними, але вони завжди пов'язані з конкретним користувачем і метою.
Мінімальні механізми AES-256 використовуються для шифрування.
Паролі зберігаються таким чином, щоб їх не можна було отримати або реконструювати з резервних копій, вихідних кодів або експорту (наприклад, dump бази даних, злом системи)
Всі операції, в яких використовується пароль, реєструються. Лог ведеться так, аби можна було з'ясувати, якби хтось ним маніпулював.

Правила для паролів користувача

Паролі користувача розшифровувати не потрібно. Таким чином, зберігаються лише контрольні хеш-коди, що унеможливлюють отримання пароля. Крім того, система вимагає використання безпечного пароля.

Правила безпечного пароля

Не менше 8 символів з двох груп:
Верхній регістр
Малі літери
Цифри
Спеціальні символи

Правила спілкування паролів

Система ніколи не надсилає паролі. Надсилає лише посилання на сторінки, які дозволяють змінити пароль.
Система ніколи не дозволяє змінювати паролі без двофакторної перевірки користувача.
Система завжди інформує користувача, якщо адміністратор розпоряджається своїм обліковим записом. Неможливо змінити налаштування безпеки користувача і не повідомляти користувача другим шляхом (електронною поштою). Зокрема, адміністратор має можливість задати користувачеві новий пароль, але користувач завжди про це повідомляє по електронній пошті; адміністратор не має можливості впливати на надсилання інформаційного листа.

Правила безпеки адміністрації

Управління системою розроблено відповідно до вимог стандарту ISO 27002.

Фізичне забезпечення

Вся фізична інфраструктура розташована в приміщенні центру обробки даних, що відповідає вимогам ISO 27002.
ні адміністратори дата-центру, ні будь-хто інший з правом фізичного доступу до технічного обладнання не мають кодів доступу, які дозволяють отримати доступ до збережених паролів клієнтів.
Якщо фізичні пристрої, на яких працює система, або які зберігають резервні копії системи, використовуються сторонніми особами, вони не можуть отримати збережені паролі.

Правила доступу до системи

Всі активи, на яких управляються паролі, знаходяться під безпосередньою опікою системного адміністратора.
Усі підходи до інфраструктури, яка обробляє паролі, контролюються – документуються підходи та реєструється, хто і коли здійснює доступ до інфраструктури.
Система створює незалежний протокол використання паролів. Огляд доступний клієнту за запитом (з використання паролів можна відслідковувати дані працівників, отже, звіт недоступний у вільному доступі).

Управління кодом

Код, який працює в периметрі, в якому керуються дані, перевіряється і не може залишати технічні засоби адміністратора.
Всі зміни коду перевіряються
Система забезпечується технічними засобами для ідентифікації змін у коді.

Управління паролями

Паролі ніколи не передаються будь-якими фізичними носіями
Адміністратор ніколи не приймає, не передає і не обробляє паролі клієнтів – Паролі завжди вводяться клієнтами безпосередньо самостійно і шифруються відразу після їх введення. Тому системні адміністратори ніколи не бачать паролі клієнтів і не можуть перебувати в їх електронному або іншому спілкуванні. Всі паролі доступу вводяться виключно в середовищі, куди має доступ працівник, який знає паролі.
Паролі система не може відображати неавторизованій особі.
Захист паролів реалізується дворівнево – завдяки цьому отримання пароля першого рівня не дозволяє шифрувати збережену інформацію, яка зашифрована другим рівнем паролів.

Захист несанкціонованого доступу

Система підтримує аудит доступу та авторизації
Якщо клієнти мають будь-які паролі в системі, система вимагає двофакторного входу від усіх користувачів.
Система реєструє як доступ користувачів, так і невдалі спроби доступу. У разі повторного несанкціонованого доступу система блокує подальші спроби.

Дотримані стандарти

Система відповідає вимогам, щоб її могли використовувати компанії, що відповідають стандартам:

TISAX
ISO 20000
*ISO 27000, а саме ISO 27002 (замінив раніше старі стандарти ISO/IEC17799)
GDPR

Вас може зацікавити

Системні дозволи AyMINE framework
Системні дозволи модуля керування завданнями
Системні дозволи модуля керування замовленнями
Системні дозволи модуля persoalistika