Sera ya Usalama wa Taarifa

Sera hii ya Usalama wa Habari inaelezea vyeti ambavyo Didit inashikilia, udhibiti wa kiufundi na kiutendaji ambao Didit inatumia, na hati za uaminifu zinazopatikana kwa wateja, wateja watarajiwa, wadhibiti, na wakaguzi. Inakaguliwa angalau kila baada ya miezi sita.

• Mawasiliano ya usalama: security@didit.me
• Afisa wa Ulinzi wa Data: dpo@didit.me
• Ukurasa wa hali (wakati halisi): status.didit.me
• Trust pack (chini ya NDA): tuma barua pepe security@didit.me

1. Vyeti na uthibitisho

Kuomba ripoti au vyeti vyovyote vilivyopo, tuma barua pepe security@didit.me. Ripoti zilizozuiliwa chini ya masharti ya mtoa huduma wake (kwa mfano, SOC 2 Type 1) zinashirikiwa baada ya Mkataba wa Kutofichua Siri (NDA) kusainiwa, siku hiyo hiyo ya biashara.

2. Wigo

Sera hii inafunika wafanyakazi wote wa Didit (wafanyakazi, wakandarasi, na wahusika wengine walioidhinishwa), mifumo yote ya uzalishaji na ya shirika ya Didit, na Huduma zinazoelekezwa kwa wateja zilizoelezwa katika Masharti na Vigezo vya Biashara. Inasaidiwa na Taarifa ya Utekelezaji inayoweka msingi wa mfumo wa usimamizi wa ISO/IEC 27001:2022 wa Didit.

3. Utawala

• Mfumo wa Usimamizi wa Usalama wa Habari na Faragha uliopatanishwa na udhibiti wa ISO/IEC 27001:2022 na ISO/IEC 27701, na Taarifa ya Utekelezaji iliyoandikwa.
• Afisa Mkuu wa Teknolojia ndiye mdhamini mkuu wa usalama wa habari; Afisa wa Ulinzi wa Data (dpo@didit.me) anamiliki utawala wa mpango wa faragha.
• Ukaguzi wa usalama wa nje wa kila mwaka na wakaguzi huru (ufuatiliaji wa ISO 27001 na mitihani ya SOC 2).
• Rejista ya hatari inakaguliwa na kuburudishwa kila robo mwaka. Hatari muhimu huwasilishwa kwa kamati ya usimamizi.
• Uboreshaji endelevu, kila tukio, matokeo ya ukaguzi, na tathmini ya hatari huingia kwenye orodha ya kazi za kurekebisha na usasishaji wa sera unaofuata.

4. Usimbaji na usimamizi wa funguo

• Wakati wa kupumzika: AES-256 katika kila database ya uzalishaji, hifadhi ya vitu, na kiasi cha backup.
• Wakati wa kusafiri: TLS 1.3 kwa kila simu ya API ya nje, webhook, na kikao cha Business Console. Matoleo ya zamani ya TLS na ciphers dhaifu yamezimwa. HTTP Strict Transport Security (HSTS) inatekelezwa katika tovuti nzima na kupakiwa mapema.
• Usimamizi wa funguo: AWS Key Management Service (KMS) inashikilia na kuzungusha funguo. Code ya programu haigusi kamwe nyenzo ghafi ya funguo. Funguo za Sandbox na uzalishaji zimetenganishwa kikamilifu.
• Hashing: vitambulisho vya wateja vimehashiwa na kazi za kawaida za sekta zinazoweza kubadilika (bcrypt au sawa). API keys huhifadhiwa kama hashes za njia moja; thamani ghafi huonyeshwa kwa opereta tu wakati wa kuunda.

5. Utambulisho, ufikiaji, na usanifu wa zero-trust

• Zero-trust kwa chaguo-msingi, kila ombi kwa kila mfumo wa ndani linathibitishwa na kuidhinishwa. Hakuna uaminifu usio wazi unaotegemea eneo la mtandao.
• Udhibiti wa ufikiaji unaotegemea majukumu (RBAC) na kanuni ya upendeleo mdogo. Ukaguzi wa ufikiaji huendeshwa kila robo mwaka.
• Uthibitishaji wa Mambo Mengi (MFA) ni lazima kwa kila mfanyakazi, kila mfumo wa uzalishaji, kila console ya wingu, na kila akaunti ya kuhifadhi code.
• Kuingia Mara Moja (SSO) kwa programu za ndani, na MFA ya tokeni ya vifaa kwa majukumu yenye upendeleo.
• Ufikiaji wa Wakati Halisi kwa uzalishaji: ufikiaji wa kudumu wenye upendeleo ni ubaguzi, sio sheria.
• Uandikishaji wa Ukaguzi, kila hatua yenye upendeleo huandikwa kwenye bomba la ukaguzi lisiloweza kubadilishwa, la kuandika mara moja lililohifadhiwa kwa angalau miezi 12.

6. Makazi ya data na utenganishaji

• Umoja wa Ulaya kwa chaguo-msingi. Data ya uzalishaji inachakatwa na kuhifadhiwa katika Umoja wa Ulaya kwenye Amazon Web Services. Makazi maalum ya eneo au nchi yanapatikana kwenye mikataba ya Enterprise, kulingana na upatikanaji, kwa mamlaka ambayo wadhibiti wao wanahitaji.
• Utenganishaji wa mazingira. Sandbox, staging, na uzalishaji yametenganishwa katika ngazi za mtandao, utambulisho, na usimamizi wa funguo. Hakuna binadamu au huduma katika mazingira moja inayoweza kusoma data katika nyingine bila njia wazi, iliyokaguliwa ya ufikiaji.
• Utenganishaji wa wapangaji. Data ya wapangaji wengi imetenganishwa kimantiki na funguo za usimbaji za kila mpangaji inapohitajika. Maswali ya wapangaji-mtambuka yamezuiwa katika ngazi ya programu na database.

7. Mzunguko salama wa maendeleo (SDLC)

• Ukaguzi wa code unahitajika kwa kila mabadiliko ya uzalishaji. Hakuna mhandisi mmoja anayeweza kuunganisha code isiyokaguliwa kwenye uzalishaji.
• Static Application Security Testing (SAST), dependency scanning, na Software Composition Analysis (SCA) huendeshwa kiotomatiki kwenye kila pull request.
• Uchunguzi wa kontena na miundombinu kwenye kila ujenzi na kwa ratiba ya mara kwa mara kwa picha zilizopelekwa.
• Upimaji wa usalama kabla ya uzalishaji kwa mabadiliko yenye athari kubwa (uthibitishaji, usimamizi wa funguo, mabomba ya biometriska, mtiririko wa malipo).
• Majaribio ya kupenya ya ndani yanaendelea; majaribio ya kupenya ya nje angalau mara moja kwa mwaka na wataalamu huru. Matokeo muhimu hufuatiliwa hadi kufungwa kwa ratiba iliyofungwa na SLA.
• Bug-bounty / responsible-disclosure channel, ripoti masuala ya usalama kwa security@didit.me.

8. Usimamizi wa udhaifu

• Patching SLA kwa ukali, muhimu (ndani ya masaa 72 ya kufichuliwa na muuzaji), juu (ndani ya siku 7), kati (ndani ya siku 30), chini (ndani ya siku 90).
• Uchunguzi endelevu wa udhaifu katika miundombinu ya uzalishaji, kontena, na dependencies.
• Uundaji wa vitisho kwa nyuso mpya za bidhaa, mabomba ya biometriska, na miunganisho ya mazingira-mtambuka.

9. Ufuatiliaji, ugunduzi, na majibu ya matukio

• Ufuatiliaji wa 24x7 wa kila mfumo wa uzalishaji na arifa juu ya upatikanaji, makosa, na ishara za usalama.
• Security Information and Event Management (SIEM) inakusanya na kulinganisha matukio ya usalama; mifumo isiyo ya kawaida huwasilishwa kwa wahandisi wa usalama walio kazini.
• Mpango wa Majibu ya Matukio Ulioandikwa na majukumu yaliyotajwa, mti wa mawasiliano, matrix ya ukali, na mchakato wa ukaguzi wa baada ya tukio. Mpango huo hujaribiwa angalau kila mwaka kupitia mazoezi ya mezani.
• Ilani ya uvunjaji wa data binafsi. Didit inawajulisha wateja walioathirika bila kuchelewa kusikostahili na kwa hali yoyote kwa wakati ili kuruhusu wateja kukidhi wajibu wao wa ilani wa masaa 72 chini ya Kanuni ya Ulinzi wa Data ya Jumla (GDPR) Kifungu cha 33. Wateja wa Enterprise wanapokea mhandisi maalum anayepatikana na chaneli maalum ya mawasiliano.
• Ukurasa wa hali ya umma kwenye status.didit.me, kila tukio la uzalishaji, kila uchunguzi wa baada ya tukio, hakuna kuingia kunahitajika.

10. Kuendelea kwa biashara na urejeshaji wa maafa

• Multi-AZ active redundancy katika kila eneo la uzalishaji; failover ya kiotomatiki kwa huduma zisizo na hali.
• Backups zimesimbwa, zimetenganishwa kijiografia ndani ya mipaka ya makazi iliyochaguliwa, na hujaribiwa kwa ratiba ya mara kwa mara.
• Recovery Point Objective (RPO) ≤ saa 1 na Recovery Time Objective (RTO) ≤ saa 4 kwa API kuu ya uthibitishaji na Business Console.
• Majaribio ya Disaster Recovery (DR) angalau kila mwaka.

11. Usalama wa wafanyakazi

• Ukaguzi wa historia kwa kila mfanyakazi na kila mkandarasi mwenye ufikiaji wa data ya uzalishaji au data binafsi, inapokubaliwa na sheria inayotumika.
• Mikataba ya usiri wakati wa kuajiriwa kwa kila mfanyakazi na mkandarasi.
• Mafunzo ya lazima ya usalama na faragha wakati wa kuajiriwa na kuburudishwa angalau kila mwaka kwa kila mfanyakazi. Mafunzo maalum (usimbaji salama, ushughulikiaji wa data ya biometriska, kupambana na udanganyifu, kupambana na utakatishaji fedha) kwa majukumu yanayohitaji.
• Uigaji wa phishing kwa ratiba ya mara kwa mara.
• Mchakato wa kujiunga / kuhama / kuondoka unabatilisha ufikiaji ndani ya masaa 24 ya mabadiliko ya jukumu au kuondoka.

12. Usimamizi wa wachuuzi na wasindikaji wadogo

• Kila mchakataji mdogo hupimwa hatari kabla ya kuajiriwa na kukaguliwa tena angalau kila mwaka.
• Kila mchakataji mdogo husaini Mkataba wa Uchakataji Data (DPA) unaoweka majukumu ya ulinzi wa data yanayofanana sana na yale ambayo Didit inawajibika kwa wateja wake.
• Orodha ya sasa ya wasindikaji wadogo inashirikiwa na wateja na wateja watarajiwa kupitia barua pepe baada ya Mkataba wa Kutofichua Siri (NDA) kusainiwa. Tuma barua pepe security@didit.me kuomba. Wateja waliojisajili kwa arifa za mabadiliko ya wasindikaji wadogo huarifiwa kwa barua pepe na ilani ya kutosha kabla ya kupinga.

13. Haki za mhusika wa data na kufuta

• Haki ya kufikia na kubebeka, `GET /v3/sessions/:session_id/decision/`.
• Haki ya kufuta, `POST /v3/sessions/:session_id/delete/`. Huondoa kikao na kila kitu kilichounganishwa katika kila replica.
• Uhifadhi kwa kila programu unaweza kusanidiwa katika Business Console kati ya siku 30 na miaka 10; chaguo-msingi ni usio na kikomo isipokuwa mteja atasanidi kipindi kifupi. Uhifadhi wa data ya biometriska katika kila kesi unategemea, na umewekewa kikomo na, sheria na kanuni zinazotumika za faragha ya biometriska, ikiwemo Kanuni ya Ulinzi wa Data ya Jumla ya EU (GDPR) Kifungu cha 9, Sheria ya Faragha ya Habari za Biometriska ya Illinois (BIPA), Sheria ya Texas ya Kukamata au Kutumia Kitambulisho cha Biometriska (CUBI), Washington H.B. 1493, na sheria nyingine yoyote inayotumika ya faragha ya biometriska; ambapo sheria hiyo inaweka kipindi kifupi cha uhifadhi au wajibu wa uharibifu wa mapema, sheria hiyo fupi au kali inashinda kipindi chochote cha uhifadhi cha msingi au kilichosanidiwa na mteja.
• Tazama Sera ya Faragha na Ilani ya Faragha ya Uthibitishaji kwa mchakato kamili wa haki za mhusika wa data.

14. Kuripoti suala la usalama

Ikiwa unaamini umepata udhaifu wa usalama katika bidhaa au huduma yoyote ya Didit, tuma barua pepe security@didit.me na maelezo, hatua za uzalishaji, na athari uliyoona. Didit inakubali ripoti za usalama ndani ya siku 2 za biashara na inafanya kazi kwa nia njema na waripoti wanaofuata mazoea ya kufichua kwa uwajibikaji.

15. Mawasiliano

• Usalama: security@didit.me
• Afisa wa Ulinzi wa Data: dpo@didit.me
• Faragha: privacy@didit.me
• Kisheria / mikataba: legal@didit.me
• Ombi la Trust pack (chini ya NDA): security@didit.me