Ответы на часто задаваемые вопросы по безопасности
- Corteos Platform (Unlicensed)
- Любовь Нефедова
- Александр Исобаев
Ниже приведены ответы на вопросы, которые часто возникают у Сотрудников Департаментов по информационной безопасности клиентов.
Далее “ИС” - Информационная система Коретос.
Вопрос | Комментарий | |
|---|---|---|
| 1 | Включена ли ИС Кортеос в реестре отчественного ПО? | Да. https://reestr.digital.gov.ru/reestr/1807120/?sphrase_id=3698750 |
| 2 | Есть ли у ИС Аттестат соответствия требованиям норм ФЗ-152 “О персональных данных”? | Да, деятельность компании приведена в соответствие требованиям, информацию можно получить в статье по ссылке: ФЗ-152 и обработка персональных данных |
| 3 | Есть ли у Кортеос лицензия ФСТЭК? | Нет, Кортеос такая лицензия не нужна при осуществлении текущей деятельности. |
| 4 | Есть ли сертификат ISO 27001? | Да, есть: 
|
| 5 | Где расположены сервера с ИС Кортеос? | Наши сервера расположены в дата центре SoftLine на территории РФ 
|
| 6 | Какие данные хранятся/обрабатываются в ИС? | Хранятся персональные данные: ФИО, дата рождения, пол, номер документа, срок действия документа, телефон, адрес электронной почты, данные мильных карт, данные работодателя (наименование, ИНН, КПП). |
| 7 | Предполагается ли хранение/обработка платежных транзакций и данных платежных карт? | Нет, данные платежных карт и данные по транзакциям в ИС не хранятся и не обрабатываются. |
| 8 | Какие механизмы аутентификации пользователей используются в ИС (логин/пароль, x.509 сертификат, одноразовые SMS-коды и т.д.)? | Логин/пароль или SSO (подробнее про SSO тут SSO ) |
| 9 | Позволяет ли ИС предоставить уникальную учетную запись каждому пользователю, по которой его можно однозначно идентифицировать? | Да, позволяет. |
| 10 | К каким объектам ИС можно разграничить доступ для пользователей? Можно ли редактировать и создавать собственные роли в ИС? | Доступна гибкая ролевая модель с разграничением доступа к различным элементам системы. Роли задаются администратором или с помощью API при создании учетной записи. Подробнее о ролях можно ознакомиться тут Редактор ролей . Можно создавать (с правами тревел-менеджера) собственные роли и редактировать их. Стандартные роли редактировать нельзя. |
| 11 | Предоставляет ли ИС возможность пользователю сменить свой пароль самостоятельно? | Да, предоставляет. |
| 12 | Предоставляет ли ИС возможность обязательной смены первичного пароля пользователя заданного администратором при первом входе в систему? | Да, позволяет с помощью МОДа "Безопасность паролей"(ModPasswordSecurity) |
| 13 | Позволяет ли ИС установить требования к сложности пароля (количество символов, наличие строчных и заглавных букв, цифр, служебных символов и т.д.)? | Да, настраивается с помощью regex (регулярного выражения). |
| 14 | Позволяет ли ИС осуществлять принудительную смену пароля через заданный промежуток времени? | Да, позволяет с помощью МОДа "Безопасность паролей"(ModPasswordSecurity) |
| 15 | Обеспечивает ли ИС хранение истории паролей пользователей для предотвращения повторного их использования? | Да, можно задавать глубину хранения паролей с помощью МОДа "Безопасность паролей"(ModPasswordSecurity) |
| 16 | Обеспечивает ли ИС блокирование пользователя после заданного количества неудачных попыток аутентификации? | Да, можно настроить с помощью МОДа "Безопасность паролей"(ModPasswordSecurity) |
| 17 | Какова длительность простоя пользовательской сессии в ИС (период бездействия), после которого сессия принудительно завершается? | 15 минут |
| 18 | Используются ли криптографические алгоритмы при хранении паролей пользователей? | Пароли хранятся в форме хэша sha256 с солью. |
| 19 | Используются ли криптографические алгоритмы при передаче паролей пользователей? | HTTPS TLS 1.2 |
| 20 | Выдает ли ИС информацию о типе и версии системы или ее компонент до успешного завершения процедур аутентификации и авторизации пользователей? | Нет, не выдаёт. |
| 21 | В случае обнаружения ошибки при проверке логина и пароля пользователя, уточняет ли ИС, какие именно данные введены неправильно? | Нет, не уточняет. |
| 22 | Имеются ли в ИС и ее компонентах жестко запрограммированные учетные записи? Например, в JavaScript или GUI-клиентах. | Нет, не имеется. |
| 23 | Протоколирование каких действий пользователей осуществляется в ИС? |
|
| 24 | Какая информация протоколируется в журналах аудита? | В протоколе содержатся: дата и время события, идентификатор пользователя, ip-адрес, с которого выполнялся запрос к веб-серверу, доменное имя сайта, к которому выполнялся запрос, объекты доступа или модификации и их идентификаторы (при наличии), запросы и ответы к/от поставщиков. |
| 25 | Позволяет ли ИС обрабатывать журналы аудита внутренними средствами ИС? | Нет, существует отдельный портал Лог портал. |
| 26 | Какова глубина хранения журналов аудита в оперативном доступе? | 60 дней. |
| 27 | Записывает ли ИС в журналы аудита данные конфиденциального характера (например, пароль пользователя, информацию о финансовых транзакциях и т.д.)? | Журналы аудита системы не содержат конфиденциальной информации. |
| 28 | Можно ли редактировать журналы аудита (внутренними или внешними средствами)? | Нет, нельзя. |
| 29 | Необходим ли ИС для штатного функционирования доступ к сети Интернет? | Да, необходим. Протокол взаимодействия HTTPS. |
| 30 | Возможно ли расположение ИС или отдельных ее компонент в демилитаризованной зоне (DMZ) или другом изолированном сегменте корпоративной сети клиента? | Да, такое исполнение возможно, подробнее об этом можно узнать тут Описание возможностей исполнения системы Кортеос в контуре заказчика |
| 31 | Поддерживает ли ИС транзакционность операций над критичными данными? | Транзакции на уровне запросов к MS SQL. |
| 32 | Предоставляет ли ИС встроенные средства создания резервных копий данных и настроек ИС? | Да, с помощью проприетарных средств MS SQL + скриптинга для резервирования исполняемых файлов и журналов аудита. |
| 33 | Позволяет ли ИС автоматически шифровать резервируемые данные? | Да, с помощью проприетарных средств MS SQL + MS EFS. |
| 34 | Обеспечивают ли средства создания резервных копий контроль целостности данных при их резервировании и восстановлении? | Да, с помощью проприетарных средств MS SQL + NTFS + Dallas Lock 8.0-K. |
| 35 | Предоставляет ли ИС встроенные средства шифрования данных в процессе их хранения и передачи? | Да, с помощью проприетарных средств MS SQL (column encryption, алгоритм шифрования - AES_256) + HTTPS TLS 1.2 с ключом шифрования RSA не менее 2048 бит. |
| 36 | Какие механизмы самозащиты от внешних и внутренних воздействий присутствуют в ИС? | Межсетевой экран, NAT, АВЗ Kaspersky Security 10.1 для Windows Server, СЗИ от НСД Dallas Lock 8.0-K, сетевой сканер безопасности Xspider 7.8.25 |
| 37 | Как часто происходит установка обновлений безопасности на ИС, ее компоненты и ОС? | Критические обновления - незамедлительно. Остальные обновления - еженедельно в технологическое окно обслуживания. |
| 38 | Происходит ли тестирование обновлений безопасности (ОС, БД и т.д.) на совместимость с ИС перед их установкой? | Да, предварительно обновления устанавливаются на тестовом контуре, выполняются сценарии тестирования, затем происходит установка и тестирование на продуктовом контуре. |
| 39 | Как происходит внесение изменений в ИС? Есть ли утвержденный процесс по внесению изменений в ИС? | Для внесения изменений:
Ветка разработки с модификациями системы отделена от ветки со стабильной версией раздельными регламентами обработки задач. Таким образом поддерживается максимальная стабильность и возможность оперативно вносить критические исправления. |
| 40 | Разделены ли среды разработки и тестирования с продуктивной средой ИС? Если да, то каким образом (логически или физически) Имеют ли доступ разработчики на продуктивную среду ИС? | Продуктовая среда физически отделена от среды разработки (разные физические серверы). |
| 41 | Обеспечивается ли защита от сетевых атак на ИС посредством межсетевого экрана (Firewall)? | Да, с помощью межсетевого экрана Cisco ASA 5516-X. |
| 42 | Изолирован ли сетевой трафик разных клиентов в сетевой инфраструктуре ИС? | Каждый клиент обращается на свое доменное имя на веб-сервере. Возможна настройка индивидуального ip-адреса, порта и маршрутизации трафика для отдельного клиента. |
| 43 | Каким образом обеспечивается непрерывность функционирования ИС? | Применяются следующие меры:
|
| 44 | Какой ЦОД используется ИС, в какой стране располагается и каким уровнем надежности обладает ЦОД, в котором установлена ИС? | ДЦ Ixcellerate Moscow one (Россия, г. Москва, Алтуфьевское шоссе, дом 33Г), уровень tier 3. Подробнее о ЦОД по ссылке. |
| 45 | Какие меры физической безопасности обеспечиваются в ЦОД, в котором размещена ИС? | В ЦОД построено пять рубежей физической безопасности, включая до трех периметров СКУД с биометрическими датчиками, системы видео-наблюдения с круглосуточной охраной, автоматизированная система пожаротушения. |
| 46 | Обеспечивает ли ИС возможность логически или физически изолировать данные разных клиентов так чтобы они были доступны только одному клиенту? | Да, такое исполнение возможно. Необходимо прорабатывать реализацию в индивидуальном порядке. |
| 47 | Какова процедура удаления данных клиентов из ИС? | Процедура выполняется по запросу. Данные клиента локализуются в БД и определяются первичным ключом клиента. При запросе удаления данных возможно полное удаление следов информации при помощи sql-команд. Лог-файлы также локализованы в файловой системе и системе хранения логпортала, и могут быть удалены непосредственно с диска и через запрос в системе хранения логов. После указанных процедур выполняется очистка свободного места на физических дисках, содержавших данные клиента. |
| 48 | Позволяет ли ИС создавать уникальные ключи шифрования для каждого клиента ИС? | Да, позволяет, для этого делается настройка на уровне доменного имени. |
| 49 | Есть ли у администраторов ИС доступ к ключевому материалу клиентов или ИС? | Нет, данные хранятся в виде хэша. |
| 50 | Используются ли в ИС самоподписанные сертификаты? | Нет, не используются. |
| 51 | Указывают ли пользовательские идентификаторы явным образом на уровень привилегий пользователя? | Нет, не указывают. |
| 52 | Наличие прокси-сервера и средства контроля утечки информации (DLP)? | Нет |
| 53 | Применяется ли средства анализа защищенности для обнаружения уязвимостей ИС? | Да, используются средства из техпаспотра в разделе ФЗ-152 и обработка персональных данных |