Jsou naše data zabezpečena?

Používáme standardní průmyslové protokoly a osvědčené postupy k ochraně vašich dat a soukromí.
V dnešním složitém a regulovaném prostředí nám naši uživatelé svěřují ochranu svých dat pomocí nástrojů a postupů, které jsou v souladu s průmyslovými standardy. Tato stránka poskytuje přehled o úsilí, které Netatoo vynakládá na splnění těchto požadavků.

V dnešním složitém a regulovaném prostředí nám naši uživatelé svěřují ochranu svých dat pomocí nástrojů a postupů, které jsou v souladu s průmyslovými standardy. Tato stránka poskytuje přehled o úsilí, které Netatoo vynakládá na splnění těchto požadavků.

Zabezpečení databáze a přístupů

Začínáme tím, že zabezpečujeme naši vrstvu perzistence omezením přístupu k naší primární aplikační databázi na aplikační vrstvu a pevně stanovenou sadu známých IP adres patřících Netatoo. Toto omezení přístupu je realizováno pomocí kombinace pravidel firewallu, autentizačních mechanismů (vyžadujících, aby uživatelé prokázali svou identitu) a autorizace prostřednictvím oprávnění založených na rolích.

Zálohování a obnova dat

Možnost katastrofální ztráty aplikačních dat (například v důsledku přírodní katastrofy) řešíme automatickým vytvářením záloh databází s geo-redundantním přístupem.

Vytváříme úplné a rozdílové zálohy, z nichž každá je šifrována algoritmem AES-256.
Úplné zálohy databází probíhají každých několik hodin, zatímco rozdílové zálohy obvykle probíhají každou hodinu, a zálohy transakčních logů obvykle probíhají každých 10 až 15 minut.
V případě ztráty dat jsme schopni obnovit data k určitému okamžiku, abychom minimalizovali ztrátu informací. Integrita záloh je pravidelně a poloautomaticky ověřována, aby bylo zajištěno, že uložená data jsou v souladu.
Zálohy jsou uchovávány po dobu 90 dnů, poté jsou zničeny.

Bezpečnostní audit a detekce hrozeb

Abychom si udrželi regulační shodu, porozuměli aktivitě databáze a lépe pochopili odchylky a anomálie, které by mohly naznačovat podezření na narušení bezpečnosti (další aspekt GDPR EU), nasadili jsme pokročilý audit umožňující detekci hrozeb na našich serverech. Tyto služby detekují potenciální hrozby, jakmile se objeví (např. abnormální připojení k databázím, zranitelnosti SQL injekce) a okamžitě upozorňují náš tým, aby mohl přijmout potřebná opatření. V případě GDPR je tato služba klíčovým prvkem technického mechanismu, který nám umožňuje detekovat narušení dat a informovat dozorové orgány v nepravděpodobném případě, že by k takové situaci došlo.

Zabezpečení připojení a protokol HTTPS

Na úrovni aplikační vrstvy vynucujeme, aby všechny příchozí požadavky používaly zabezpečená připojení HTTPS (HTTP přes TLS). Podle klientského zařízení může připojení používat TLS 1.0, TLS 1.1.1 nebo TLS 1.2. Zakazujeme připojení používající zastaralé a zranitelné protokoly SSL 2 a SSL 3.

Pokročilé bezpečnostní hlavičky HTTP

Přijaté TLS připojení jsou šifrována pomocí SSL certifikátu používajícího nejsilnější webový standard. V rámci všech odpovědí HTTPS naše servery zahrnují řadu pokročilých bezpečnostních hlaviček. Tyto zahrnují zejména:

X-XSS-Protection nařizuje moderním prohlížečům přerušit komunikaci, když detekují odražené XSS (Cross-site Scripting) útoky.
Content-Security-Policy žádá prohlížeče, aby přijaly přísná opatření k zabránění cross-site scripting (XSS), clickjacking a jiným útokům injekcí kódu vyplývajícím z provádění škodlivého obsahu v kontextu důvěryhodné webové stránky.
Strict-Transport-Security také známý jako HSTS. Žádá prohlížeče, aby přistupovaly k ballejaune.com / openresa.com pouze pomocí HTTPS (tj. nikdy nepoužívaly HTTP). Nasadili jsme tuto hlavičku s dlouhou životností.
Expect-CT žádá klienta/webový prohlížeč, aby vynucoval požadavky na transparentnost certifikátů (tj. ověřoval, že certifikáty našeho webu se objevují ve veřejných CT logech), což pomáhá předcházet použití nesprávných certifikátů Netatoo.
Referrer-Policy nám umožňuje kontrolovat hodnotu hlavičky "referer" (sic) pro odkazy mimo naše stránky. V našem případě specifikujeme, že hlavička "referer" by neměla být nastavena, když navigace vede k downgrade z HTTPS na HTTP.

Výsledky nezávislých bezpečnostních auditů

Netatoo získává hodnocení "A" od nezávislé služby securityheaders.io, která umožňuje ověřit různé implementované prvky. Můžete spustit test na vyžádání pro ballejaune.com a openresa.com a prohlédnout si zprávu sami. Také vás povzbuzujeme, abyste porovnali test s jinými webovými stránkami, které používáte nebo máte v úmyslu používat.

Hostingové servery aplikací Netatoo také získávají hodnocení "A+" z nezávislého testu serveru Qualys SSL Labs, průmyslového standardu. Můžete spustit test na vyžádání a prohlédnout si zprávu sami. Zpráva uvádí, že nejsme zranitelní vůči některým z nejnovějších zranitelností jako BEAST, POODLE a Heartbleed. Opět vás povzbuzujeme, abyste porovnali test s jinými webovými stránkami, které používáte nebo máte v úmyslu používat.

Prevence útoků a zabezpečení cookies

Abychom pomohli předcházet útokům slovníku, náš přihlašovací mechanismus navíc používá funkci uzamčení účtu, pokud je několikrát zadáno nesprávné heslo.

Cookies zasílané serverem klientovi pro účely autentizace a ověřování požadavků jsou vždy označeny atributy "HttpOnly" a "Secure", a jejich hodnoty domény a cesty jsou vhodně nastaveny pro použití s ballejaune.com / openresa.com.

Zabezpečení online plateb

Pokud jde o online platby, Netatoo je v souladu s normou PCI. V praxi jsou všechny platby zpracovávány přímo s vámi vybranou platební bránou (PayPal, Paybox Verifone). Jako takové, žádné citlivé platební údaje nepřicházejí do kontaktu se systémy patřícími Netatoo (místo toho jsou transparentně přesměrovány na vaši bránu a poté spravovány prostřednictvím přístupu založeného na tokenech).

Zabezpečení transakčních e-mailů

Transakční e-maily zasílané našimi službami používají nejnovější bezpečnostní funkce pro validaci e-mailů. To zahrnuje platné politiky SPF, DKIM a DMARC. V případě DMARC naše publikovaná politika žádá servery příjemců, aby daly do karantény všechny zprávy, které neprojdou testem DMARC. Tyto funkce jsou pokročilé nástroje, které pomáhají předcházet spamu, spoofingu a phishingovým útokům. Samozřejmě také zahrnujeme odkazy na odhlášení ve všech e-mailech, které zasíláme, a máme zavedený systém omezení rychlosti, který pomáhá předcházet útokům bombardováním e-mailů.

Interní bezpečnostní praktiky v Netatoo

Na organizační úrovni mají zaměstnanci Netatoo omezený přístup k datům na základě bezpečnostních principů "potřeba vědět" a "nejmenší privilegium". Vývojové a testovací systémy jsou nasazeny na interní síti, která není přístupná zvenčí. Zdrojový kód aplikace je spravován v soukromém úložišti a neobsahuje žádné citlivé informace (jako jsou API klíče, hesla nebo připojovací řetězce).

Sledování dostupnosti služeb

V případě incidentů (např. výpadky aplikací, zhoršený výkon nebo jiné) můžete sledovat stav našich služeb prostřednictvím Pingdom na adrese: http://stats.pingdom.com/rn0d9ch52vnj/1678478

Aktualizace a průběžné osvědčené postupy

Nakonec věnujeme zvláštní pozornost pravidelným aktualizacím našich serverů a interních systémů, abychom přinesli nejnovější bezpečnostní opravy. Měníme naše hesla každých 60 dní a používáme dvoufaktorovou autentizaci na téměř všech aplikacích a službách třetích stran, které používáme v rámci naší práce.

Závěr

Doufáme, že tyto informace vám pomohly pochopit hlavní bezpečnostní mechanismy zavedené společností Netatoo k zabezpečení vašich dat. Neustále přezkoumáváme naše bezpečnostní postupy, takže tyto informace se mohou v budoucnu změnit, jak budeme reagovat na vývoj bezpečnostního prostředí.

Kontaktujte nás

Poštovní adresa:
Netatoo SAS - BP 43606 - 54016 NANCY CEDEX FRANCE

E-mail:
support@openresa.com

Aktualizováno dne čtvrtek 12. června 2025