Saugumas

Duomenų bazė, nuotraukos ir atsarginės kopijos laikomos Europos Sąjungoje, Amazon Web Services duomenų centre Frankfurte (Vokietija). DLRDesk veikia atskirame serveryje, nesusijusiame su kitomis Marisonus sistemomis.

• Visas ryšys tik per HTTPS (TLS); naršyklėms nurodoma niekada nesijungti nešifruotai (HSTS).
• Serverio diskai ir atsarginės kopijos šifruojami.
• Slaptažodžiai saugomi tik kaip neatkuriama maiša (hash); jų nemato ir Marisonus.

• Slaptažodis bent 10 simbolių su didžiąja ir mažąja raide, skaičiumi ir simboliu; dažni slaptažodžiai atmetami.
• Po kelių nesėkmingų bandymų prisijungimas laikinai blokuojamas.
• Dviejų veiksnių apsauga (kodas iš Google ar Microsoft Authenticator): pasirinktinai kiekvienam vartotojui, privaloma Marisonus administratoriams.
• Sesija baigiasi po 12 val.; pakeitus slaptažodį, kiti įrenginiai atjungiami.
• Rolės: savininkas valdo įmonės nustatymus, planą ir duomenų eksportą; darbuotojas dirba su automobiliais ir apžiūromis.

• Kiekvienas įrašas priklauso vienam klientui, ir kiekviena užklausa ribojama to kliento duomenimis.
• Automatiniai testai prieš kiekvieną atnaujinimą tikrina, kad vieno kliento vartotojas negali pasiekti kito kliento įrašų ar failų.
• Nuotraukos ir kiti failai laikomi atskirai kiekvienam klientui ir atiduodami tik prisijungusiems to kliento vartotojams. Viešame apžiūrų puslapyje rodoma tik pagrindinės nuotraukos miniatiūra.
• Viešos apžiūrų nuorodos naudoja atsitiktinius, neatspėjamus kodus.

Griežta turinio saugumo politika (CSP) neleidžia vykdyti svetimų skriptų, puslapio negalima įterpti į kitas svetaines, formos apsaugotos nuo suklastotų užklausų. Platformoje nėra analitikos ir reklamos skriptų.

• Duomenų bazės ir failų kopija daroma kas naktį ir prieš kiekvieną atnaujinimą; kopijos laikomos kitoje saugykloje nei serveris.
• Kopijos saugomos 90 dienų.
• Kopijų atkūrimas išbandomas kas ketvirtį.

• Svarbūs veiksmai (prieigos, plano, slaptažodžio, 2FA pakeitimai, duomenų eksportas) registruojami veiksmų žurnale.
• Apie serverio klaidas ir neįprastus įvykius Marisonus gauna pranešimą iš karto.
• Serverio žurnalų kopija kas valandą siunčiama už serverio ribų ir saugoma 90 dienų, kad incidentą būtų galima ištirti.

• Operacinės sistemos saugumo atnaujinimai diegiami automatiškai.
• Prieš kiekvieną atnaujinimą paleidžiami visi automatiniai testai, įskaitant saugumo testus; nepraėjus - atnaujinimas nediegiamas. Prieš atnaujinimą daroma duomenų kopija.
• Siekiame atitikti OWASP ASVS 2 lygio reikalavimus.

Apie asmens duomenų saugumo pažeidimą, kuris paliečia jūsų duomenis, pranešame el. paštu per 24 valandas, kad galėtumėte laiku informuoti Valstybinę duomenų apsaugos inspekciją. Plačiau: Naudojimo sąlygos, 7 skyrius.

Jei radote galimą saugumo spragą, parašykite info@marisonus.com. Atsakysime per 1 darbo dieną. Prašome nebandyti pasiekti kitų klientų duomenų ir neatskleisti spragos viešai, kol jos nepašalinome.