Політика зберігання паролів

і т.д.

AyMINE приділяє велику увагу захисту паролів, щоб система відповідала вимогам стандартів криптобезпеки за ISO 27002

[placeContent]

Для всіх паролів діють загальні правила.

Глобальні правила

Паролі:

• Ніколи не зберігаються незашифрованими.
• Якщо не потрібно використовувати, використовуються алгоритми, які не дозволяють пароль дізнатися, тільки перевірити
• Якщо потрібно використовувати незашифровані паролі (як правило, для аутентифікації системи в інші служби, наприклад, шлюзи зв'язку), паролі доступу надійно зберігаються за межами зашифрованих паролів, щоб не отримати обидва атаки однієї системи.
• Паролі не передаються незашифрованими каналами
• Внутрішні паролі шифрування ніколи не є глобальними, але вони завжди пов'язані з конкретним користувачем і метою.
• Мінімальні механізми AES-256 використовуються для шифрування.
• Паролі зберігаються таким чином, щоб їх не можна було отримати або реконструювати з резервних копій, вихідних кодів або експорту (наприклад, dump бази даних, злом системи)
• Всі операції, в яких використовується пароль, реєструються. Лог ведеться так, аби можна було з'ясувати, якби хтось ним маніпулював.

Правила для паролів користувача

Паролі користувача розшифровувати не потрібно. Таким чином, зберігаються лише контрольні хеш-коди, що унеможливлюють отримання пароля. Крім того, система вимагає використання безпечного пароля.

Правила безпечного пароля

• Не менше 8 символів з двох груп:
• Верхній регістр
• Малі літери
• Цифри
• Спеціальні символи

Правила спілкування паролів

• Система ніколи не надсилає паролі. Надсилає лише посилання на сторінки, які дозволяють змінити пароль.
• Система ніколи не дозволяє змінювати паролі без двофакторної перевірки користувача.
• Система завжди інформує користувача, якщо адміністратор розпоряджається своїм обліковим записом. Неможливо змінити налаштування безпеки користувача і не повідомляти користувача другим шляхом (електронною поштою). Зокрема, адміністратор має можливість задати користувачеві новий пароль, але користувач завжди про це повідомляє по електронній пошті; адміністратор не має можливості впливати на надсилання інформаційного листа.

Правила безпеки адміністрації

Управління системою розроблено відповідно до вимог стандарту ISO 27002.

Фізичне забезпечення

• Вся фізична інфраструктура розташована в приміщенні центру обробки даних, що відповідає вимогам ISO 27002.
• ні адміністратори дата-центру, ні будь-хто інший з правом фізичного доступу до технічного обладнання не мають кодів доступу, які дозволяють отримати доступ до збережених паролів клієнтів.
• Якщо фізичні пристрої, на яких працює система, або які зберігають резервні копії системи, використовуються сторонніми особами, вони не можуть отримати збережені паролі.

Правила доступу до системи

• Всі активи, на яких управляються паролі, знаходяться під безпосередньою опікою системного адміністратора.
• Усі підходи до інфраструктури, яка обробляє паролі, контролюються – документуються підходи та реєструється, хто і коли здійснює доступ до інфраструктури.
• Система створює незалежний протокол використання паролів. Огляд доступний клієнту за запитом (з використання паролів можна відслідковувати дані працівників, отже, звіт недоступний у вільному доступі).

Управління кодом

• Код, який працює в периметрі, в якому керуються дані, перевіряється і не може залишати технічні засоби адміністратора.
• Всі зміни коду перевіряються
• Система забезпечується технічними засобами для ідентифікації змін у коді.

Управління паролями

• Паролі ніколи не передаються будь-якими фізичними носіями
• Адміністратор ніколи не приймає, не передає і не обробляє паролі клієнтів – Паролі завжди вводяться клієнтами безпосередньо самостійно і шифруються відразу після їх введення. Тому системні адміністратори ніколи не бачать паролі клієнтів і не можуть перебувати в їх електронному або іншому спілкуванні. Всі паролі доступу вводяться виключно в середовищі, куди має доступ працівник, який знає паролі.
• Паролі система не може відображати неавторизованій особі.
• Захист паролів реалізується дворівнево – завдяки цьому отримання пароля першого рівня не дозволяє шифрувати збережену інформацію, яка зашифрована другим рівнем паролів.

Захист несанкціонованого доступу

• Система підтримує аудит доступу та авторизації
• Якщо клієнти мають будь-які паролі в системі, система вимагає двофакторного входу від усіх користувачів.
• Система реєструє як доступ користувачів, так і невдалі спроби доступу. У разі повторного несанкціонованого доступу система блокує подальші спроби.

Дотримані стандарти

Система відповідає вимогам, щоб її могли використовувати компанії, що відповідають стандартам:

• TISAX
• ISO 20000
  *ISO 27000, а саме ISO 27002 (замінив раніше старі стандарти ISO/IEC17799)
• GDPR

Вас може зацікавити

Системні дозволи AyMINE framework
Системні дозволи модуля керування завданнями
Системні дозволи модуля керування замовленнями
Системні дозволи модуля persoalistika