Adapty — это инфраструктурный уровень подписок для тысяч мобильных приложений, который обрабатывает от имени наших клиентов подписочные транзакции на миллиарды долларов.
Такое положение налагает на нас четкую обязанность: данные, которые вы и ваши пользователи доверяете нам, должны обрабатываться бережно, проверяться людьми, которые у нас не работают, и защищаться средствами контроля, не зависящими от кого-либо лично.
На этой странице описано, как мы это делаем.
Сертификаты
SOC 2 Type II
Независимая аудиторская фирма (CPA) проверяет наши средства контроля в области безопасности, доступности и конфиденциальности и выдает заключение SOC 2 Type II, подтверждающее эффективность функционирования этих средств контроля в течение отчетного периода. Актуальный отчет доступен клиентам и потенциальным клиентам на условиях NDA. Вы можете запросить его у команды, которая ведет ваш аккаунт, или по адресу [email protected].
Нормативные требования в области конфиденциальности
Adapty обрабатывает данные конечных пользователей исключительно в качестве обработчика данных, действуя только по документально оформленным инструкциям наших клиентов в соответствии с нашим Соглашением об обработке данных. Наша практика обработки данных построена так, чтобы соответствовать требованиям:
- GDPR (ЕС и Великобритания);
- LGPD (Бразилия).
Если в вашей юрисдикции действуют особые требования, не указанные выше, свяжитесь с нами — как правило, мы можем их учесть.
Как мы защищаем данные
Шифрование
Все данные клиентов шифруются при передаче (TLS 1.2+) и при хранении с использованием стандартных для отрасли алгоритмов шифрования.
Сеть и инфраструктура
Производственные системы работают в защищенных средах, соответствующих отраслевым стандартам, с сегментацией сети между сервисами, ограничением входящего и исходящего трафика и доступом по принципу минимальных привилегий для небольшой группы инженеров, которые вообще могут получить доступ к производственной среде. Доступ к производственной среде требует многофакторной аутентификации и регистрируется в журналах.
Непрерывный мониторинг
Журналы нашей инфраструктуры и приложений централизованно агрегируются, аномалии автоматически вызывают оповещения, а дежурный инженер доступен в режиме 24/7 для реагирования на инциденты.
Безопасная разработка
Каждое изменение кода проходит рецензирование коллегами, автоматизированный статический анализ и проверки безопасности в CI, прежде чем попасть в производственную среду. Зависимости отслеживаются и обновляются по установленному графику, и мы поддерживаем прозрачный конвейер развертывания, который фиксирует, кто, что и когда выпустил.
Операционные практики
Персонал
Все сотрудники проходят обучение по вопросам информационной безопасности при приеме на работу и далее ежегодно. MFA обязательна во всех корпоративных системах, которые ее поддерживают. Доступ к данным клиентов ограничен, регистрируется в журналах и регулярно проверяется.
Поставщики
Каждое третье лицо, на которое мы полагаемся в части инфраструктуры, обработки данных или безопасности, проходит документально оформленную проверку до начала сотрудничества и периодически подвергается повторной оценке. Критически важные поставщики обязаны иметь эквивалентные сертификаты (как правило, SOC 2 Type II или ISO 27001).
Отказоустойчивость
Мы создаем зашифрованные резервные копии по установленному графику, обеспечиваем резервирование критически важных сервисов и тестируем процедуры аварийного восстановления, чтобы восстановление было процедурой, которую мы действительно отрабатывали, а не тем, что мы собираемся придумывать по ходу дела в стрессовой ситуации.
Реагирование на инциденты
Мы поддерживаем документально оформленный план реагирования на инциденты с определенными уровнями серьезности, протоколами коммуникации и разбором после инцидента.
Сообщение об уязвимости
Если вы считаете, что обнаружили проблему безопасности в Adapty, напишите нам по адресу [email protected]. Мы расследуем каждое достоверное сообщение, работаем вместе с автором сообщения над устранением проблемы и отмечаем вклад исследователей, которые следуют принципам ответственного раскрытия информации (если только они не предпочитают оставаться анонимными).
Для проверок безопасности клиентами Enterprise
Клиенты Enterprise и потенциальные клиенты могут запросить по адресу [email protected] следующие материалы:
- актуальный отчет SOC 2 Type II (на условиях NDA);
- заполненный опросник по безопасности (CAIQ, SIG или в вашем собственном формате);
- краткое изложение Политики информационной безопасности;
- краткий отчет о тестировании на проникновение.
