Политика безопасности

Настоящая Политика описывает меры защиты данных, применяемые ИП Антипин А.А. на Платформе Camirix.

• Все данные передаются по зашифрованному каналу (TLS 1.2 / TLS 1.3).
• Данные в состоянии покоя шифруются с применением AES-256.
• API-токены пользователей хранятся исключительно в зашифрованном виде; исходные токены не хранятся в открытом виде.
• Пароли хранятся в виде необратимых хэшей (bcrypt / Argon2).

• Разграничение прав сотрудников по принципу минимально необходимых привилегий.
• Двухфакторная аутентификация обязательна для сотрудников с административным доступом к продакшн-среде.
• Пользователям рекомендуется включить двухфакторную аутентификацию в Личном кабинете (раздел «Безопасность»).
• Регулярный аудит прав доступа (не реже 1 раза в квартал).

• Ведение аудит-логов всех операций с данными и административных действий.
• Мониторинг аномалий и подозрительной активности в режиме реального времени.
• Хранение логов безопасности — 12 месяцев.

• Платформа размещена в Yandex Cloud (Россия), прошедшем сертификацию по ГОСТ Р ИСО/МЭК 27001.
• Регулярное автоматическое резервное копирование данных.
• Разделение сред: продакшн, стейджинг, разработка — изолированы.

(публичная выдержка из внутренней Политики реагирования на инциденты)

Классификация инцидентов

Порядок реагирования

• Обнаружение и сдерживание (0–4 часа): изоляция затронутых систем, отзыв скомпрометированных токенов, документирование инцидента, эскалация на ответственного за безопасность.
• Оценка и расследование (4–24 часа): определение масштаба, установление причин, оценка необходимости уведомления Пользователей и Роскомнадзора.
• Уведомления (в течение 72 часов с момента обнаружения): уведомление затронутых Пользователей по email с описанием произошедшего, затронутых данных, принятых мер и рекомендаций; уведомление Роскомнадзора при наличии оснований (ст. 21.1 ФЗ № 152); для пользователей из ЕЭЗ — уведомление надзорного органа в соответствии со ст. 33 GDPR.
• Устранение и восстановление: устранение уязвимости, восстановление работоспособности, принудительная смена паролей и токенов при необходимости.
• Разбор инцидента: документирование принятых мер и разработка корректирующих мер.

Публичное раскрытие. ИП Антипин А.А. обязуется прозрачно информировать Пользователей о подтверждённых инцидентах. Информация об инциденте публикуется на сайте и направляется затронутым Пользователям по email после завершения первичного расследования.

Обнаружили уязвимость? Направьте описание на info@clientcamirix.ru. Мы не преследуем добросовестных исследователей, действующих в рамках разумного раскрытия. Срок реакции — 5 рабочих дней.