Polityka Bezpieczeństwa Portalu myppk.pl

Bezpieczeństwo korzystania z Portalu myppk.pl jest dla nas bardzo ważne. Nowoczesne technologie, certyfikowani dostawcy, bieżące śledzenie najnowszych standardów z obszaru bezpieczeństwa oraz spełnianie wszelkich wymogów formalno-prawnych – wszystkie te elementy są gwarantem dla naszych Klientów bezpiecznego korzystania z narzędzia.

Autentykacja osób (Rejestracja i Logowanie do Portalu)
  1. Autentykacja osoby w aplikacji HR loginem i hasłem. Wymogi co do hasła: co najmniej 8 znaków, przynajmniej jedna duża, przynajmniej jedna mała litera, przynajmniej jedna cyfra lub znak specjalny.
  2. Blokowanie konta osoby z HR po 5 nieudanych próbach logowania
  3. Autentykacja osoby zatrudnionej w aplikacji użytkownika przez login i hasło. Pierwsze wejście przez unikalny bardzo trudny do wygenerowania link, który zostaje przekazany tylko na konto mailowe osoby zatrudnionej.
Zabezpieczenia warstwy aplikacji
  1. Dwie, niezależne aplikacje: dla administratora HR oraz dla osób zatrudnionych, każda z funkcjonalnością oraz przestrzenią danych ograniczonymi odpowiednio: w przypadku aplikacji HR do danych danej firmy, a w przypadku osób zatrudnionych do danych danej osoby.
  2. Dostęp do obu aplikacji po wymuszonym protokole https – całość transmisji pomiędzy przeglądarką użytkownika, a portalem myppk.pl jest szyfrowana.
  3. Aplikacje ukryte za FW w odseparowanej sieci wirtualnej, z dostępem tylko po porcie 443. Port 80 otwarty tylko po to aby przekierować na 443.
  4. Dostęp do poszczególnych funkcjonalności (metod web), dodatkowo, oprócz loginu i hasła chroniony kontrolerem dostępu i wymaganymi do wykonania danej akcji rolami aplikacyjnymi.
  5. Zabezpieczenie formularzy przeciwko atakom XSRF/CSFR
Zabezpieczenie warstwy bazy danych
  1. Usługa bazy danych ukryta za FW (dostęp tylko dla wybranych numerów IP) z dostępem tylko przez VPN
  2. Hasło przechowywane po transformacji jednostronną funkcją haszującą, zabezpieczające przed poznaniem hasła nawet dla administratora systemu.
  3. Brak bezpośredniego dostępu do tabel bazy danych; dostęp do danych przez dodatkową warstwę procedur składowanych.
  4. Brak użycia dynamicznych zapytań sql, wykluczających możliwość ataku poprzez wstrzykiwanie kodu sql (sql injection)
  5. Dostęp poszczególnych aplikacji za pomocą niezależnych kont bazodanowych z odpowiednimi uprawnieniami do procedur składowanych.
  6. Szyfrowanie bazy danych, logów transakcyjnych oraz backupów za pomocą technologii TDE używającego klucza symetrycznego, zabezpieczonego przez certyfikat wbudowany w usługę SqlServer (unikalny dla każdego serwera)
  7. Szyfrowanie komunikacji pomiędzy aplikacją oraz bazą danych za pomocą SSL/TSL
  8. Cały ruch pomiędzy bazą danych i aplikacją wykonywany jest wewnątrz wydzielonej sieci VLAN w usłudze Azure
Kopie zapasowe bazy danych
  1. Backupy PIT są skonfigurowane na 35 dni i wykonywane wg scenariusza: backupy pełne wykonywane raz w tygodniu, przyrostowe co 12 godzin, a logu transakcyjnego co 10 minut. Oznacza to, że przez 35 dni możliwe jest otworzenie bazy danych do dowolnego momentu w czasie.
  2. Backupy są zapisywane w centrach danych w dwóch regionach, tak aby niedostępność jednego z nich nie spowodowała braku dostępu do zapisanych kopii zapasowych. Backupy są przechowywane w tzw. sparowanych regionach (https://docs.microsoft.com/pl-pl/azure/best-practices-availability-paired-regions ). W przypadku Europy jest to Europa Zachodnia (Holandia) oraz Europa Północna (Irlandia)
Hosting

Aplikacje oraz baza danych hostowane w chmurze Azure.

Centra hostingowe Azure są usytułowane w krajach należących do UE, w regionie Europa Północna (Irlandia) lub Europa Zachodnia (Holandia). Szczegóły dotyczące lokalizacji centrów hostingowych chmury Azure: https://azure.microsoft.com/pl-pl/global-infrastructure/locations/

Bezpieczeństwo związane z RODO w chmurze Azure w modelu IaaS:

https://azure.microsoft.com/mediahandler/files/resourcefiles/gdpr-compliance-with-iaas-pl-pl/GDPR_Compliance-How_iaas_can_ease_your_journey.pdf

DPIA  – Ocena skutków dla ochrony danych art. 35 RODO  Azure:

https://docs.microsoft.com/en-us/microsoft-365/compliance/gdpr-dpia-azure