Ответы на часто задаваемые вопросы по безопасности

Включена ли ИС Кортеос в реестре отчественного ПО?
https://reestr.digital.gov.ru/

Да. https://reestr.digital.gov.ru/reestr/1807120/?sphrase_id=3698750

Есть ли у ИС Аттестат соответствия требованиям норм ФЗ-152 “О персональных данных”?

Да, деятельность компании приведена в соответствие требованиям, информацию можно получить в статье по ссылке: ФЗ-152 и обработка персональных данных

Есть ли у Кортеос лицензия ФСТЭК?

Нет, Кортеос такая лицензия не нужна при осуществлении текущей деятельности.

Есть ли сертификат ISO 27001?

Да, есть:

Open

Где расположены сервера с ИС Кортеос?

Наши сервера расположены в дата центре SoftLine на территории РФ

Open

Какие данные хранятся/обрабатываются в ИС?

Хранятся персональные данные: ФИО, дата рождения, пол, номер документа, срок действия документа, телефон, адрес электронной почты, данные мильных карт, данные работодателя (наименование, ИНН, КПП).

Предполагается ли хранение/обработка платежных транзакций и данных платежных карт?

Нет, данные платежных карт и данные по транзакциям в ИС не хранятся и не обрабатываются.

Какие механизмы аутентификации пользователей используются в ИС (логин/пароль, x.509 сертификат, одноразовые SMS-коды и т.д.)?

Логин/пароль или SSO (подробнее про SSO тут SSO )

Позволяет ли ИС предоставить уникальную учетную запись каждому пользователю, по которой его можно однозначно идентифицировать?

Да, позволяет.

К каким объектам ИС можно разграничить доступ для пользователей? Можно ли редактировать и создавать собственные роли в ИС?

Доступна гибкая ролевая модель с разграничением доступа к различным элементам системы. Роли задаются администратором или с помощью API при создании учетной записи. Подробнее о ролях можно ознакомиться тут Редактор ролей . Можно создавать (с правами тревел-менеджера) собственные роли и редактировать их. Стандартные роли редактировать нельзя.

Предоставляет ли ИС возможность пользователю сменить свой пароль самостоятельно?

Да, предоставляет.

Предоставляет ли ИС возможность обязательной смены первичного пароля пользователя заданного администратором при первом входе в систему?

Да, позволяет с помощью МОДа "Безопасность паролей"(ModPasswordSecurity)

Позволяет ли ИС установить требования к сложности пароля (количество символов, наличие строчных и заглавных букв, цифр, служебных символов и т.д.)?

Да, настраивается с помощью regex (регулярного выражения).

Позволяет ли ИС осуществлять принудительную смену пароля через заданный промежуток времени?

Да, позволяет с помощью МОДа "Безопасность паролей"(ModPasswordSecurity)

Обеспечивает ли ИС хранение истории паролей пользователей для предотвращения повторного их использования?

Да, можно задавать глубину хранения паролей с помощью МОДа "Безопасность паролей"(ModPasswordSecurity)

Обеспечивает ли ИС блокирование пользователя после заданного количества неудачных попыток аутентификации?

Да, можно настроить с помощью МОДа "Безопасность паролей"(ModPasswordSecurity)

Какова длительность простоя пользовательской сессии в ИС (период бездействия), после которого сессия принудительно завершается?

15 минут

Используются ли криптографические алгоритмы при хранении паролей пользователей?

Пароли хранятся в форме хэша sha256 с солью.

Используются ли криптографические алгоритмы при передаче паролей пользователей?

HTTPS TLS 1.2

Выдает ли ИС информацию о типе и версии системы или ее компонент до успешного завершения процедур аутентификации и авторизации пользователей?

Нет, не выдаёт.

В случае обнаружения ошибки при проверке логина и пароля пользователя, уточняет ли ИС, какие именно данные введены неправильно?

Нет, не уточняет.

Имеются ли в ИС и ее компонентах жестко запрограммированные учетные записи? Например, в JavaScript или GUI-клиентах.

Нет, не имеется.

Протоколирование каких действий пользователей осуществляется в ИС?

1. Для привилегированных пользователей и системных событий: журнал MS Windows EventLog.

2. Для событий БД: лог MS SQL Server.

3. Для http-обмена: лог MS IIS.

4. Для событий системы: собственная система ведения логов. Подробнее о системе логов тут Лог портал.
   Протоколируются:

• попытки авторизации (успешные и неуспешные),

• действия пользователей по работе с заказами (просмотр, операции с заказами),

• действия пользователей по изменению моделей данных,

• запросы к API, включая IP-адрес источника и заголовки запросов,

• обмен данными с поставщиками услуг.

Какая информация протоколируется в журналах аудита? 

В протоколе содержатся: дата и время события, идентификатор пользователя, ip-адрес, с которого выполнялся запрос к веб-серверу, доменное имя сайта, к которому выполнялся запрос, объекты доступа или модификации и их идентификаторы (при наличии), запросы и ответы к/от поставщиков.

Позволяет ли ИС обрабатывать журналы аудита внутренними средствами ИС?

Нет, существует отдельный портал Лог портал.

Какова глубина хранения журналов аудита в оперативном доступе?

60 дней.

Записывает ли ИС в журналы аудита данные конфиденциального характера (например, пароль пользователя, информацию о финансовых транзакциях и т.д.)?

Журналы аудита системы не содержат конфиденциальной информации.
При редактировании объекта персоны существует возможность включать или исключать персональные данные из данных аудита (настраивается в административном разделе) .
Журналы обмена с поставщиками содержат персональные данные пассажиров как необходимая часть сопровождения заказов услуг тревел-агентом и страхования финансовых рисков или оспаривания финансовых претензий.

Можно ли редактировать журналы аудита (внутренними или внешними средствами)?

Нет, нельзя.

Необходим ли ИС для штатного функционирования доступ к сети Интернет?

Да, необходим. Протокол взаимодействия HTTPS.

Возможно ли расположение ИС или отдельных ее компонент в демилитаризованной зоне (DMZ) или другом изолированном сегменте корпоративной сети клиента?

Да, такое исполнение возможно, подробнее об этом можно узнать тут Описание возможностей исполнения системы Кортеос в контуре заказчика

Поддерживает ли ИС транзакционность операций над критичными данными?

Транзакции на уровне запросов к MS SQL.

Предоставляет ли ИС встроенные средства создания резервных копий данных и настроек ИС?

Да, с помощью проприетарных средств MS SQL + скриптинга для резервирования исполняемых файлов и журналов аудита.

Позволяет ли ИС автоматически шифровать резервируемые данные?

Да, с помощью проприетарных средств MS SQL + MS EFS.

Обеспечивают ли средства создания резервных копий контроль целостности данных при их резервировании и восстановлении?

Да, с помощью проприетарных средств MS SQL + NTFS + Dallas Lock 8.0-K.

Предоставляет ли ИС встроенные средства шифрования данных в процессе их хранения и передачи?

Да, с помощью проприетарных средств MS SQL (column encryption, алгоритм шифрования - AES_256) + HTTPS TLS 1.2 с ключом шифрования RSA не менее 2048 бит.

Какие механизмы самозащиты от внешних и внутренних воздействий присутствуют в ИС?

Межсетевой экран, NAT, АВЗ Kaspersky Security 10.1 для Windows Server, СЗИ от НСД Dallas Lock 8.0-K, сетевой сканер безопасности Xspider 7.8.25

Как часто происходит установка обновлений безопасности на ИС, ее компоненты и ОС?

Критические обновления - незамедлительно. Остальные обновления - еженедельно в технологическое окно обслуживания.

Происходит ли тестирование обновлений безопасности (ОС, БД и т.д.) на совместимость с ИС перед их установкой?

Да, предварительно обновления устанавливаются на тестовом контуре, выполняются сценарии тестирования, затем происходит установка и тестирование на продуктовом контуре.

Как происходит внесение изменений в ИС? Есть ли утвержденный процесс по внесению изменений в ИС?

Для внесения изменений:

• ставится задача в системе управления проектом;

• выполняется изменение и тестирование в локальной среде разработки исполнителем;

• выполняется код-ревью в системе управления версиями (git);

• выполняется доставка, сборка изменений и выполнение сценариев тестирования в системе непрерывной интеграции (Jenkins);

• перед регламентным еженедельным обновлением сборка препродуктовой версии отделяется от среды разработки и отдельно тестируется актуальным набором автоматических и ручных тестовых сценариев;

• после успешного прохождения тестирования выполняется разворачивание сборки системы на отдельной продуктовой площадке с прохождением сокращенного набора тестовых сценариев (не несущих финансовые риски, такие как выписка и пр.);

Ветка разработки с модификациями системы отделена от ветки со стабильной версией раздельными регламентами обработки задач. Таким образом поддерживается максимальная стабильность и возможность оперативно вносить критические исправления.
Набор тестовых сценариев пополняется на регулярной основе по факту выявления ошибок и расширения функционала системы.

Разделены ли среды разработки и тестирования с продуктивной средой ИС? Если да, то каким образом (логически или физически) Имеют ли доступ разработчики на продуктивную среду ИС?

Продуктовая среда физически отделена от среды разработки (разные физические серверы).
На продуктовую среду имеют доступы только администраторы и привилегированные пользователи, выполняющие обновление системы.

Обеспечивается ли защита от сетевых атак на ИС посредством межсетевого экрана (Firewall)?

Да, с помощью межсетевого экрана Cisco ASA 5516-X.

Изолирован ли сетевой трафик разных клиентов в сетевой инфраструктуре ИС?

Каждый клиент обращается на свое доменное имя на веб-сервере. Возможна настройка индивидуального ip-адреса, порта и маршрутизации трафика для отдельного клиента.

Каким образом обеспечивается непрерывность функционирования ИС?

Применяются следующие меры:

• резервирование интернет-канала в датацентре;

• резервирование серверов по питанию;

• отказоустойчивая файловая система (raid-1) на серверах;

• оперативные резервные копии на каждом сервере;

• взаимозаменяемость серверов (каждый сервер может временно взять на себя функцию второго).

Какой ЦОД используется ИС, в какой стране располагается и каким уровнем надежности обладает ЦОД, в котором установлена ИС?

ДЦ Ixcellerate Moscow one (Россия, г. Москва, Алтуфьевское шоссе, дом 33Г), уровень tier 3. Подробнее о ЦОД по ссылке.

Какие меры физической безопасности обеспечиваются в ЦОД, в котором размещена ИС?

В ЦОД построено пять рубежей физической безопасности, включая до трех периметров СКУД с биометрическими датчиками, системы видео-наблюдения с круглосуточной охраной, автоматизированная система пожаротушения.

Обеспечивает ли ИС возможность логически или физически изолировать данные разных клиентов так чтобы они были доступны только одному клиенту?

Да, такое исполнение возможно. Необходимо прорабатывать реализацию в индивидуальном порядке.

Какова процедура удаления данных клиентов из ИС?

Процедура выполняется по запросу. Данные клиента локализуются в БД и определяются первичным ключом клиента. При запросе удаления данных возможно полное удаление следов информации при помощи sql-команд. Лог-файлы также локализованы в файловой системе и системе хранения логпортала, и могут быть удалены непосредственно с диска и через запрос в системе хранения логов. После указанных процедур выполняется очистка свободного места на физических дисках, содержавших данные клиента.

Позволяет ли ИС создавать уникальные ключи шифрования для каждого клиента ИС?

Да, позволяет, для этого делается настройка на уровне доменного имени.

Есть ли у администраторов ИС доступ к ключевому материалу клиентов или ИС?

Нет, данные хранятся в виде хэша.

Используются ли в ИС самоподписанные сертификаты?

Нет, не используются.

Указывают ли пользовательские идентификаторы явным образом на уровень привилегий пользователя?

Нет, не указывают.

Наличие прокси-сервера и средства контроля утечки информации (DLP)?

Нет

Применяется ли средства анализа защищенности для обнаружения уязвимостей ИС?

Да, используются средства из техпаспотра в разделе ФЗ-152 и обработка персональных данных