Polityka Bezpieczeństwa
Ostatnia aktualizacja: 18 lipca 2024
Niniejsza Polityka Bezpieczeństwa opisuje środki techniczne i organizacyjne stosowane przez Havyjoy w celu ochrony danych użytkowników, zapewnienia integralności systemów oraz ciągłości świadczonych usług. Polityka obowiązuje wszystkich użytkowników platformy dostępnej pod adresem havyjoy.com.
1. Zakres i cel
Polityka bezpieczeństwa obejmuje wszelkie systemy informatyczne, dane osobowe oraz zasoby cyfrowe przetwarzane przez Havyjoy w ramach świadczenia usług edukacyjnych online. Celem dokumentu jest zapewnienie poufności, integralności i dostępności danych oraz systemów.
2. Ochrona danych i szyfrowanie
2.1 Transmisja danych
Wszystkie dane przesyłane pomiędzy urządzeniem użytkownika a serwerami Havyjoy są chronione przy użyciu protokołu TLS w wersji 1.2 lub wyższej. Połączenia niezaszyfrowane są automatycznie przekierowywane na bezpieczny protokół HTTPS.
2.2 Przechowywanie danych
Dane przechowywane w systemach Havyjoy są szyfrowane w spoczynku przy użyciu standardów szyfrowania symetrycznego klasy AES-256. Klucze szyfrujące są zarządzane i rotowane zgodnie z przyjętymi procedurami wewnętrznymi.
2.3 Hasła i dane uwierzytelniające
Hasła użytkowników nigdy nie są przechowywane w postaci jawnej. Do ich przechowywania stosowane są jednokierunkowe funkcje skrótu z solą kryptograficzną. Havyjoy nie ma technicznej możliwości odczytania hasła użytkownika.
3. Kontrola dostępu
3.1 Zasada minimalnych uprawnień
Dostęp do systemów i danych jest przyznawany wyłącznie osobom, które potrzebują go do wykonywania swoich obowiązków. Uprawnienia są regularnie weryfikowane i odbierane po ustaniu potrzeby dostępu.
3.2 Uwierzytelnianie
Pracownicy i administratorzy systemów są zobowiązani do stosowania silnych haseł oraz, tam gdzie to możliwe, uwierzytelniania wieloskładnikowego (MFA). Nieautoryzowane próby logowania są rejestrowane i monitorowane.
3.3 Sesje użytkowników
Sesje użytkowników są automatycznie wygaszane po określonym czasie bezczynności. Tokeny sesji są generowane losowo i unieważniane przy wylogowaniu lub zmianie hasła.
4. Bezpieczeństwo infrastruktury
4.1 Środowisko serwerowe
Serwery Havyjoy są utrzymywane w certyfikowanych centrach danych zapewniających fizyczną ochronę dostępu, redundancję zasilania oraz systemy przeciwpożarowe. Dostęp fizyczny do infrastruktury jest ograniczony wyłącznie do upoważnionego personelu.
4.2 Zapory sieciowe i monitorowanie
Infrastruktura sieciowa jest chroniona przez wielowarstwowe zapory ogniowe oraz systemy wykrywania i zapobiegania włamaniom (IDS/IPS). Ruch sieciowy jest stale monitorowany w celu wykrycia anomalii i potencjalnych zagrożeń.
4.3 Aktualizacje i zarządzanie podatnościami
Oprogramowanie systemowe, biblioteki i zależności są regularnie aktualizowane. Krytyczne poprawki bezpieczeństwa są wdrażane niezwłocznie po ich udostępnieniu przez producentów. Havyjoy przeprowadza okresowe skanowania podatności swoich systemów.
5. Kopie zapasowe i ciągłość działania
Dane użytkowników są objęte automatycznym systemem kopii zapasowych. Kopie są wykonywane regularnie i przechowywane w geograficznie oddzielnych lokalizacjach. Procedury przywracania danych są regularnie testowane w celu zapewnienia ich skuteczności. Havyjoy utrzymuje plan ciągłości działania oraz plan odtwarzania po awarii, które są weryfikowane co najmniej raz w roku.
6. Bezpieczeństwo aplikacji
6.1 Praktyki programistyczne
Kod aplikacji jest tworzony zgodnie z zasadami bezpiecznego programowania. Stosowane są mechanizmy ochrony przed typowymi zagrożeniami, takimi jak wstrzykiwanie kodu SQL, ataki XSS, CSRF oraz inne podatności ujęte w klasyfikacji OWASP Top 10.
6.2 Przeglądy kodu i testy
Zmiany w kodzie produkcyjnym podlegają obowiązkowemu przeglądowi przez co najmniej jednego innego programistę. Przed wdrożeniem przeprowadzane są testy bezpieczeństwa. Krytyczne komponenty są poddawane dodatkowym testom penetracyjnym.
6.3 Zarządzanie zależnościami
Zewnętrzne biblioteki i komponenty są monitorowane pod kątem znanych podatności. Wykorzystywane są zautomatyzowane narzędzia do wykrywania podatności w zależnościach projektu.
7. Zarządzanie incydentami bezpieczeństwa
7.1 Wykrywanie i reagowanie
Havyjoy posiada wdrożone procedury wykrywania, zgłaszania i reagowania na incydenty bezpieczeństwa. Zdarzenia bezpieczeństwa są rejestrowane, analizowane i eskalowane zgodnie z ich wagą. Czas reakcji na krytyczne incydenty wynosi maksymalnie 24 godziny.
7.2 Powiadamianie użytkowników
W przypadku naruszenia bezpieczeństwa danych, które może mieć wpływ na użytkowników, Havyjoy zobowiązuje się do poinformowania poszkodowanych osób w możliwie najkrótszym czasie, nie później niż jest to wymagane przez obowiązujące przepisy prawa. Powiadomienie będzie zawierać opis zdarzenia, zakres naruszenia oraz zalecane działania ochronne.
7.3 Zgłaszanie podatności
Użytkownicy i badacze bezpieczeństwa, którzy odkryją potencjalne podatności w systemach Havyjoy, są proszeni o zgłoszenie ich na adres: [email protected]. Havyjoy zobowiązuje się do weryfikacji zgłoszeń i podjęcia odpowiednich działań naprawczych.
8. Bezpieczeństwo pracowników i podwykonawców
Wszyscy pracownicy Havyjoy mający dostęp do danych użytkowników są zobowiązani do zapoznania się z niniejszą polityką oraz przejścia szkolenia z zakresu bezpieczeństwa informacji. Podwykonawcy i partnerzy zewnętrzni mający dostęp do systemów lub danych są zobowiązani do przestrzegania standardów bezpieczeństwa co najmniej równoważnych ze standardami Havyjoy. Dostęp podwykonawców jest ograniczony do minimum niezbędnego do realizacji powierzonych zadań.
9. Rejestrowanie i audyt
Systemy Havyjoy prowadzą szczegółowe dzienniki zdarzeń obejmujące dostęp do danych, operacje administracyjne oraz zdarzenia bezpieczeństwa. Logi są przechowywane przez okres niezbędny do celów bezpieczeństwa i zgodności. Dostęp do logów jest ograniczony i kontrolowany. Havyjoy przeprowadza wewnętrzne audyty bezpieczeństwa w regularnych odstępach czasu.
10. Pliki cookie i śledzenie
Havyjoy stosuje pliki cookie niezbędne do prawidłowego funkcjonowania platformy, w tym do zarządzania sesjami użytkowników. Szczegółowe informacje dotyczące stosowanych plików cookie oraz możliwości zarządzania nimi zostały opisane w odrębnej Polityce Prywatności dostępnej na stronie havyjoy.com.
11. Przechowywanie i usuwanie danych
Dane użytkowników są przechowywane przez okres niezbędny do świadczenia usług lub wymagany przez obowiązujące przepisy prawa. Po zakończeniu okresu przechowywania dane są trwale usuwane lub anonimizowane w sposób uniemożliwiający ich odtworzenie. Użytkownik może wnioskować o usunięcie swoich danych zgodnie z zasadami opisanymi w Polityce Prywatności.
12. Zmiany w polityce bezpieczeństwa
Havyjoy zastrzega sobie prawo do aktualizacji niniejszej Polityki Bezpieczeństwa w miarę rozwoju technologii, zmiany zagrożeń oraz ewolucji świadczonych usług. O istotnych zmianach użytkownicy będą informowani poprzez powiadomienie na platformie lub drogą elektroniczną. Data ostatniej aktualizacji jest zawsze widoczna na początku dokumentu. Dalsze korzystanie z usług Havyjoy po wprowadzeniu zmian oznacza akceptację zaktualizowanej polityki.
13. Kontakt
W sprawach dotyczących bezpieczeństwa danych i systemów Havyjoy prosimy o kontakt:
| Forma kontaktu | Dane |
|---|---|
| Adres e-mail | [email protected] |
| Telefon | +48 32 263 78 42 |
| Adres korespondencyjny | Technologiczna 46, 35-213 Rzeszów, Polska |
Dążymy do odpowiedzi na zgłoszenia dotyczące bezpieczeństwa w ciągu 48 godzin roboczych.