Infrastructure security
Основата: къде работи ProdSys и как тази среда е защитена.
EU-only data centers
Цялата производствена инфраструктура се намира в центрове за данни на Европейския съюз. Клиентските данни никога не напускат ЕС. Основните сайтове и тези за възстановяване след бедствие са географски разделени в ЕС.
Certified providers
Разчитаме на утвърдени европейски облачни доставчици, чиято инфраструктура отговаря на индустриалните стандарти за сигурност. Физическа сигурност, биометричен контрол на достъпа и пълни одитни следи са стандарт.
Network isolation
Клиентските среди са логически изолирани. Вътрешните услуги работят в частни мрежови сегменти без директен интернет достъп. Целият външен трафик минава през укрепени шлюзове.
DDoS protection
Многослойна DDoS защита на мрежово, транспортно и приложно ниво — включена по подразбиране за всеки клиент.
Application security
Как самата ProdSys платформа е проектирана и изградена да устоява на атаки.
🔐
Authentication
Силни изисквания за парола, опционално MFA за всички потребители. SAML 2.0 single sign-on наличен при заявка.
👥
Authorization
Гранулиран ролево-базиран контрол на достъпа. Разрешенията могат да бъдат обхванати към модули, типове документи, складове, отдели или конкретни записи.
📋
Audit logging
Всяко значимо действие се записва с потребител, време и IP адрес. Логовете са защитени от подправяне и се пазят за периода на договора.
🔍
Secure development
Код-преглед на всяка промяна, автоматизирано сканиране за сигурност в CI/CD, проверки на уязвимости на зависимости, редовни тестове за проникване.
🛠
API security
OAuth 2.0 удостоверяване, обхванати токени, лимитиране на заявки, подписване на заявки. API ключовете са хеширани в покой и могат да бъдат отменени незабавно.
⚡
Patching
Сигурност patches deployed within defined SLAs based on severity. Critical CVEs handled within 24 hours of disclosure.
ProdSys се обновява непрекъснато. Клиентите не трябва да управляват кръпки, ъпгрейди или поправки на уязвимости — ние се грижим за всичко без прекъсване на услугата.
Data security
Как данните ви са защитени на всеки етап — съхранение, предаване и жизнен цикъл.
Криптиране при предаване
TLS 1.2 или по-висока за всички връзки — между потребители и ProdSys, между услугите на ProdSys и към всички интеграции. Certificate pinning, където е подходящо. HSTS приложено.
Encryption at rest
AES-256 криптиране за всички клиентски данни в бази данни и обектно съхранение. Криптиращите ключове се управляват чрез специални услуги за управление на ключове в ЕС, с редовна ротация.
Backups
Автоматизирани ежедневни резервни копия, криптирани с отделни ключове, съхранявани в географски отделни локации в ЕС. Целостта на резервните копия се тества редовно. Процедурите за възстановяване се репетират на тримесечие.
Data portability
Можете да експортирате данните си по всяко време в стандартни формати (CSV, JSON, Excel). В края на договора се предоставя пълен експорт на данни преди изтриване.
Secure deletion
Когато данните се изтрият, те се премахват от активните системи незабавно и се криптографски изтриват от резервните копия в рамките на 90 дни.
Работещ security
Как екипът на ProdSys работи, за да пази данните ви безопасни.
Least-privilege access
Достъпът на служители до клиентски данни е строго ограничен и се предоставя само когато е необходимо за поддръжка, отстраняване на проблеми или договорни задължения. Целият достъп се записва и преглежда.
Background checks & training
Всички служители с достъп до производствени системи преминават проверка на миналото и подписват споразумения за поверителност. Обучението за осведоменост по сигурност е задължително и се опреснява годишно.
Device security
Всички устройства на служителите се управляват, са криптирани, защитени с парола и могат да се изтриват дистанционно. Достъпът до производство е ограничен само до управлявани устройства.
Continuous monitoring
Автоматизиран мониторинг на сигурността на инфраструктурата и приложенията. Откриване на аномалии, откриване на проникване и известяване с on-call покритие за критични инциденти.
Incident response
Какво се случва, когато нещо се обърка.
1
Detect
Системите за мониторинг и инструментите за сигурност идентифицират потенциални инциденти. Проблеми, докладвани от клиенти, се триажират незабавно.
2
Contain
Екипът изолира засегнатите системи, за да предотврати по-нататъшно въздействие. Идентифицират се засегнатите клиенти.
3
Неtify
За инциденти, включващи лични данни, уведомяваме засегнатите клиенти в рамките на 72 часа според член 33 от GDPR — с детайли какво се е случило, какви данни са засегнати и какво е направено.
4
Remediate
Възстановяваме услугата, поправяме основната причина и проверяваме, че всички засегнати системи са чисти.
5
Learn
След разрешаване преглеждаме какво се е случило и актуализираме контролите, инструментите или процедурите, където е необходимо. Съществените научени уроци, засягащи клиентите, се комуникират открито.
Докладвайте проблем със сигурността: post@prodsys.com
Availability & business continuity
Вашият ERP трябва да работи. Ето как го поддържаме работещ.
99.9%
Uptime target
Цел за ниво на услугата за платформата ProdSys.
Automated
Monitoring
Непрекъснат автоматизиран мониторинг с on-call покритие за критични известия.
< 4h
Recovery target
Цел за време на възстановяване при големи инциденти.
Статус на услугата в реално време е достъпен на status.prodsys.com. Планираната поддръжка се съобщава предварително и се извършва в извън пиковите часове.
Compliance & certifications
Стандарти, на които отговаряме, и сертификати, които притежаваме.
GDPR
Пълно съответствие с регламента на ЕС за защита на личните данни. Прочетете нашата
GDPR page.
ISO 27001 alignment
Нашите практики са в съответствие с контролите на ISO 27001, дори там, където не сме формално сертифицирани.
ALIGNED
Cloud provider certs
Нашите основни инфраструктурни доставчици поддържат индустриални сертификации (SOC 2, ISO 27001).
INHERITED
Облачните инфраструктурни доставчици, на които разчитаме, поддържат SOC 2 Type II и ISO 27001 сертификации. Сертификатите на доставчиците могат да бъдат споделени при заявка.
Shared responsibility
Сигурността е партньорство. Ето как се разпределя отговорността.
PRODSYS HANDLES
- ✓ Infrastructure security & patching
- ✓ Application security & code quality
- ✓ Криптиране при предаване и в покой
- ✓ Backups & disaster recovery
- ✓ Monitoring & incident response
- ✓ Физическа сигурност на центровете за данни
ВИЕ СЕ ГРИЖИТЕ ЗА
- ✓ Strong passwords & MFA enrollment
- ✓ User access & role management
- ✓ Deactivating users who leave
- ✓ Сигурност на вашите собствени устройства
- ✓ Защита на API ключовете, които генерирате
- ✓ Отчети suspicious activity
Responsible disclosure
Ако смятате, че сте намерили уязвимост в сигурността на ProdSys, искаме да чуем за нея. Ангажираме се да:
- ✓ Потвърждение на доклада ви в рамките на 2 работни дни
- ✓ Предоставяне на първоначална оценка в рамките на 5 работни дни
- ✓ Поддържаме ви информирани по време на процеса на разрешаване
- ✓ Публично признание (с ваше разрешение), когато проблемът е поправен
Изпращайте разкрития на post@prodsys.com. За чувствителни доклади използвайте нашия PGP ключ (наличен при заявка).
Свържете се
Въпроси за позицията ни за сигурност? Имате нужда от попълване на въпросник за сигурност? Искате копие на нашата документация за съответствие?