תקן
ISO/IEC 27001
ניהול אבטחת מידע
המסגרת שלפיה אנחנו מזהים סיכונים, מפעילים בקרות ומשפרים כל הזמן את ההגנה על מידע בכל החברה.
אבטחה ותאימות
בנוי לעסקים שלוקחים את האבטחה ברצינות.
Comark מוסמכת לתקני ISO/IEC 27001, 27018 ו-27019. בעמוד הזה נסביר מה זה אומר בפועל: איך אנחנו מגנים על המערכות שאנחנו בונים, מאחסנים ומפעילים, ואיפה מתחילה האחריות של הצוות שלכם.
התקנים שלפיהם אנחנו עובדים
פרטים בהמשך
- ISO/IEC 27001ניהול אבטחת מידע
- ISO/IEC 27018מידע אישי בענן
- ISO/IEC 27019בקרות למגזר האנרגיה
מוסמך
התקנים
שלושה תקנים, דרך עבודה אחת.
מה כל תקן מכסה ואיפה תראו אותו בעבודה שלנו. את פרטי ההסמכה אנחנו מוסרים ללקוחות במסגרת סקר אבטחה.
בקשו את פרטי ההסמכה01 / 03 · החליקו
נהלי אבטחה
מה אנחנו עושים, ביום-יום.
שבעה תחומים שחלים על כל מערכת שאנחנו בונים או מפעילים. לוחות זמנים, תקופות שמירה ומיקום הנתונים נקבעים בכל הסכם שירות.
תקשורת מוצפנת
התעבורה בין המשתמשים, השרתים שלנו ושירותי צד שלישי מוצפנת ב-TLS בזמן ההעברה, ואנחנו מחדשים את התעודות לפני שתוקפן פג.
- HTTPS בכל אתר ו-API
- חידוש תעודות אוטומטי
- ניטור תוקף התעודות
תשתית מאובטחת
אנחנו מקשיחים כל שרת לפני שהוא עולה לאוויר וממשיכים לעדכן אותו גם אחר כך. פתוחים רק השירותים שהמערכת צריכה.
- התקנת Linux מוקשחת עם מפתחות SSH
- עדכוני מערכת הפעלה ואבטחה
- חומת אש וכללי גישה
גיבויים
הגיבויים רצים לפי לוח זמנים ונשמרים במיקום חיצוני, ואנחנו משחזרים מהם באופן קבוע. גיבוי שאף פעם לא שוחזר הוא רק הנחה.
- גיבויים מתוזמנים למיקום חיצוני
- בדיקות שחזור קבועות
- לוח זמנים ותקופת שמירה לכל מערכת
בקרת גישה
כל אחד מקבל את הגישה שהתפקיד שלו דורש, ולא יותר. כניסה עם הרשאות ניהול מוגנת בגורם אימות נוסף.
- הרשאות לפי תפקיד
- אימות דו-שלבי לגישת ניהול
- יומן שינויים
ניטור
אנחנו מנטרים את השרתים, האפליקציות ואירועי האבטחה, וההתראות מגיעות למהנדסים שמכירים את המערכת.
- התראות זמינות ומשאבים
- התראות על אירועי אבטחה
- הצוות שבנה את המערכת מטפל בהתראות
הגנת מידע
אנחנו מטפלים במידע אישי לפי דרישות הפרטיות ולפי נהלי ISO/IEC 27018 שלנו, ושומרים אותו במקום שסיכמנו איתכם.
- מוצפן בזמן ההעברה
- גישה מוגבלת לפי תפקיד
- מיקום הנתונים מוסכם בכתב
פיתוח מאובטח
אבטחה היא חלק מכתיבת הקוד אצלנו. אנחנו מעדכנים את התלויות באופן שוטף, וכל שינוי נבדק ב-staging לפני שהוא מגיע לפרודקשן.
- staging לפני פרודקשן
- עדכוני תלויות ואבטחה
- בדיקות פונקציונליות, ביצועים ואבטחה לפני השקה
תקשורת מוצפנת
התעבורה בין המשתמשים, השרתים שלנו ושירותי צד שלישי מוצפנת ב-TLS בזמן ההעברה, ואנחנו מחדשים את התעודות לפני שתוקפן פג.
- HTTPS בכל אתר ו-API
- חידוש תעודות אוטומטי
- ניטור תוקף התעודות
תשתית מאובטחת
אנחנו מקשיחים כל שרת לפני שהוא עולה לאוויר וממשיכים לעדכן אותו גם אחר כך. פתוחים רק השירותים שהמערכת צריכה.
- התקנת Linux מוקשחת עם מפתחות SSH
- עדכוני מערכת הפעלה ואבטחה
- חומת אש וכללי גישה
גיבויים
הגיבויים רצים לפי לוח זמנים ונשמרים במיקום חיצוני, ואנחנו משחזרים מהם באופן קבוע. גיבוי שאף פעם לא שוחזר הוא רק הנחה.
- גיבויים מתוזמנים למיקום חיצוני
- בדיקות שחזור קבועות
- לוח זמנים ותקופת שמירה לכל מערכת
בקרת גישה
כל אחד מקבל את הגישה שהתפקיד שלו דורש, ולא יותר. כניסה עם הרשאות ניהול מוגנת בגורם אימות נוסף.
- הרשאות לפי תפקיד
- אימות דו-שלבי לגישת ניהול
- יומן שינויים
ניטור
אנחנו מנטרים את השרתים, האפליקציות ואירועי האבטחה, וההתראות מגיעות למהנדסים שמכירים את המערכת.
- התראות זמינות ומשאבים
- התראות על אירועי אבטחה
- הצוות שבנה את המערכת מטפל בהתראות
הגנת מידע
אנחנו מטפלים במידע אישי לפי דרישות הפרטיות ולפי נהלי ISO/IEC 27018 שלנו, ושומרים אותו במקום שסיכמנו איתכם.
- מוצפן בזמן ההעברה
- גישה מוגבלת לפי תפקיד
- מיקום הנתונים מוסכם בכתב
פיתוח מאובטח
אבטחה היא חלק מכתיבת הקוד אצלנו. אנחנו מעדכנים את התלויות באופן שוטף, וכל שינוי נבדק ב-staging לפני שהוא מגיע לפרודקשן.
- staging לפני פרודקשן
- עדכוני תלויות ואבטחה
- בדיקות פונקציונליות, ביצועים ואבטחה לפני השקה
Engage
גם במוצר שלנו.
Comark בונה, מאחסנת ומפעילה את Engage, פלטפורמת ההודעות שלנו, וההגנות האלה מובנות בה.
על Engage- אבטחה ברמת השורה (RLS) בכל טבלה
- טוקנים של ערוצים נשמרים בכספת AES-256-GCM
- Webhooks מאומתים ב-HMAC
- תקופות שמירה לנתונים מאוחסנים
- תיעוד ההסכמות של אנשי קשר
אחריות משותפת
אבטחה היא שותפות. כאן עובר הקו.
החלוקה המדויקת תלויה בשירות ומעוגנת בכל הסכם. כך היא נראית בדרך כלל במערכת שאנחנו מנהלים.
במה אנחנו מטפלים
Comark- הקשחת שרתים ועדכוני מערכת הפעלה
- חומות אש, TLS וחידוש תעודות
- גיבויים, בדיקות שחזור והתאוששות
- ניטור והתראות
- קוד מאובטח ועדכוני תלויות
- גישה של הצוות שלנו
- תגובה לאירועים במערכות שלנו
מה אנחנו מסכמים יחד
בהסכם- מודל התפקידים וההרשאות
- לוח הגיבויים ותקופת השמירה
- מיקום הנתונים ומעבדי המידע
- יעדי התאוששות
- אינטגרציות צד שלישי
- אנשי קשר ומדרג טיפול באירועים
במה הצוות שלכם מטפל
אתם- חשבונות משתמשים ומי מקבל גישה
- סיסמאות חזקות ואימות דו-שלבי למשתמשים שלכם
- הסרת גישה כשאנשים עוזבים
- תוכן ונתונים שאתם מעלים
- המכשירים שמשמשים לגישה למערכת
- דיווח לנו על כל דבר חשוד
דיווח אחראי
דווחו לנו על פרצה לפני כל אחד אחר.
אם אתם חושבים שמצאתם בעיית אבטחה במערכת של Comark או ב-Engage, דווחו עליה באופן פרטי באימייל. נאשר שקיבלנו את הדיווח ונעדכן אתכם לאורך התיקון.
דווחו אלinfo@comark.co.il
כשאתם מדווחים
- 01תארו את הבעיה ואיך משחזרים אותה
- 02אל תיגשו לנתונים של אחרים, ואל תשנו או תמחקו אותם
- 03תנו לנו זמן לתקן לפני פרסום פומבי
לסקר האבטחה שלכם
שאלו את המהנדסים.
אנחנו עונים ישירות על סקרי אבטחה. ספרו לנו מה התהליך שלכם דורש.
סקר אבטחה? מהנדסים יענו עליו.
שלחו לנו את השאלון או הדרישות שלכם. מהנדס, לא איש מכירות, יענה עליהם.