Infrastruktura

Cała nasza infrastruktura usługowa opiera się na najnowocześniejszej technologii chmurowej. Świadomie zdecydowaliśmy się nie utrzymywać własnego sprzętu i całkowicie rezygnujemy z własnych routerów, systemów równoważenia obciążenia, serwerów DNS czy serwerów fizycznych. Zamiast tego korzystamy z usług wiodących dostawców chmury, takich jak Google Cloud, Amazon Web Services i Microsoft Azure. Aby sprostać rygorystycznym wymogom ochrony danych, szczególnie dbamy o to, aby nasze usługi były hostowane na serwerach na terenie Unii Europejskiej. Świadomie unikamy hostingu na serwerach w USA, aby zapewnić maksymalne bezpieczeństwo danych i zgodność z przepisami. Nasza elastyczność pozwala nam odpowiadać na indywidualne potrzeby naszych klientów. W razie potrzeby możemy zaoferować konkretnych dostawców lub alternatywne lokalizacje geograficzne, zawsze z uwzględnieniem obowiązujących przepisów o ochronie danych i wymogów bezpieczeństwa.

Sieć

Bezpieczeństwo naszej sieci ma najwyższy priorytet. Nasza architektura obejmuje kilka stref bezpieczeństwa, które zapewniają kompleksową ochronę przed nieuprawnionym dostępem. Korzystamy z wirtualnej chmury prywatnej (VPC) ze ścisłymi listami kontroli dostępu do sieci (ACL) i nie używamy publicznych adresów IP. Kluczowym elementem naszej strategii jest wykorzystanie nowoczesnego narzędzia VPN opartego na WireGuard, które ściśle kontroluje dostęp do naszej infrastruktury: tylko zweryfikowani administratorzy mogą uzyskać dostęp do naszych systemów przez tę bezpieczną sieć. Zaawansowana zapora sieciowa stale monitoruje i kontroluje ruch sieciowy, a ścisłe filtrowanie adresów IP dodatkowo ogranicza dostęp. Do ochrony przed atakami DDoS stosujemy najnowocześniejsze mechanizmy obronne. Te kompleksowe środki zapewniają, że nasza sieć jest chroniona przez całą dobę, a potencjalne zagrożenia są wcześnie wykrywane i odpierane.

Szyfrowanie

Ochrona danych wrażliwych jest kluczowym elementem naszej strategii bezpieczeństwa. Stosujemy dwustopniową strategię szyfrowania, aby zapewnić maksymalne bezpieczeństwo. Wszystkie dane wysyłane do naszej infrastruktury lub z niej odbierane są szyfrowane podczas przesyłania za pomocą protokołu Transport Layer Security (TLS) zgodnie z najnowszymi standardami branżowymi. Gwarantuje to, że informacje są chronione przed nieuprawnionym dostępem podczas transportu. Oprócz szyfrowania podczas przesyłania stosujemy również silne szyfrowanie danych w stanie spoczynku. Wszystkie dane użytkowników, w tym informacje wrażliwe, takie jak hasła, są zabezpieczane w naszej bazie danych przy użyciu sprawdzonych i niezawodnych algorytmów szyfrowania. Ta podwójna warstwa ochrony gwarantuje, że Twoje dane są optymalnie chronione w każdym momencie, zarówno podczas przesyłania, jak i przechowywania.

Przechowywanie danych

Nasze podejście do przechowywania i usuwania danych ma na celu spełnienie zarówno wymogów prawnych, jak i indywidualnych potrzeb naszych klientów. Domyślnie przechowujemy dane przez okres do 12 miesięcy. Rozumiemy jednak, że różne firmy i branże mogą mieć różne wymagania dotyczące przechowywania danych. Dlatego oferujemy naszym klientom dostosowane zasady przechowywania danych. Obejmują one zakres od przechowywania przez 1 miesiąc, przez krótsze okresy, takie jak tydzień czy dzień, aż po przechowywanie godzinowe. Klientom o szczególnie wysokich wymaganiach bezpieczeństwa oferujemy nawet opcję natychmiastowego usunięcia danych. Po upływie ustalonego okresu przechowywania wszystkie dane są całkowicie i nieodwracalnie usuwane z naszego dashboardu i serwera. Przywiązujemy dużą wagę do przejrzystości i kontroli: każdy użytkownik ma prawo w dowolnym momencie zażądać usunięcia swoich danych dotyczących korzystania, po prostu kontaktując się z naszym zespołem wsparcia.

Przetwarzanie danych

Biem wykorzystuje zaawansowaną sztuczną inteligencję do tworzenia najnowocześniejszych modeli. Nasze podejście do przetwarzania danych i trenowania modeli opiera się na przejrzystości i poszanowaniu prywatności naszych użytkowników. Niezależnie od tego, czy nasi klienci korzystają z pakietu Elemental, Professional czy Enterprise, dla wszystkich obowiązują te same zasady dotyczące wykorzystywania danych do trenowania AI i rozwoju modeli. Przywiązujemy dużą wagę do tego, aby wykorzystywanie danych do trenowania naszych modeli AI opierało się na świadomej i poinformowanej decyzji naszych klientów. Dlatego wykorzystywanie danych użytkowników w tym celu jest domyślnie wyłączone. Klienci muszą wyraźnie wyrazić zgodę, zanim ich dane lub dane ich instalacji zostaną wykorzystane do trenowania modeli AI.

Takie podejście zapewnia, że nasi klienci zachowują pełną kontrolę nad swoimi danymi i sami decydują, czy chcą przyczynić się do dalszego rozwoju naszych technologii AI. Dbamy o to, aby ten proces był przejrzysty i łatwo zrozumiały dla naszych klientów, tak by mogli podjąć świadomą decyzję. Ten sposób postępowania podkreśla nasze zaangażowanie w ochronę danych, a jednocześnie respektuje chęć wielu klientów do udziału w rozwoju innowacyjnych rozwiązań AI.

Ciągłość

Zapewnienie ciągłości działania i skuteczna strategia odtwarzania po awarii to centralne elementy filozofii naszej firmy. Stosujemy solidny system regularnych kopii zapasowych wszystkich krytycznych zasobów. Aby zapewnić niezawodność i szybkość naszego procesu odtwarzania, regularnie przeprowadzamy próby odtworzenia. Ta praktyka pozwala nam zagwarantować szybkie przywrócenie działania w przypadku nieprzewidzianego zdarzenia i ograniczyć potencjalne przestoje do minimum. Bezpieczeństwo Twoich danych jest przy tym zawsze na pierwszym miejscu: wszystkie nasze kopie zapasowe są szyfrowane w stanie spoczynku, aby nawet w mało prawdopodobnym przypadku nieuprawnionego dostępu do danych kopii zapasowych zapewnić ich poufność.

Bezpieczeństwo aplikacji

Bezpieczeństwo naszych aplikacji ma dla nas najwyższy priorytet. Stosujemy zaawansowane mechanizmy ochrony opracowane na poziomie korporacyjnym, aby kompleksowo chronić naszą infrastrukturę i dane naszych klientów. Nasz system bezpieczeństwa zapewnia solidną ochronę przed atakami DDoS (Distributed Denial of Service) i jednocześnie działa jako wydajna zapora aplikacji internetowych (Web Application Firewall, WAF). Ta technologia pozwala nam szybko wykrywać ataki na nasze obciążenia chmurowe i maszyny wirtualne oraz skutecznie je łagodzić. Szczególną cechą naszego podejścia do bezpieczeństwa jest wykorzystanie uczenia maszynowego. Ten adaptacyjny mechanizm ochrony pozwala nam wykrywać i blokować ataki DDoS w warstwie 7 w czasie rzeczywistym, dzięki czemu zawsze jesteśmy o krok przed zagrożeniami.

Przywiązujemy szczególną wagę do ograniczania 10 największych zagrożeń wskazanych przez OWASP (Open Web Application Security Project). Nasz system bezpieczeństwa chroni nasze obciążenia zarówno lokalnie, jak i w chmurze przed tymi najczęstszymi i najbardziej krytycznymi zagrożeniami bezpieczeństwa. Dodatkowo wdrożyliśmy zaawansowane zarządzanie botami. Wykorzystuje ono nowoczesne technologie wykrywania botów, aby zapobiegać oszustwom na urządzeniach brzegowych i zapewniać integralność naszych usług. Dzięki tym kompleksowym środkom bezpieczeństwa zapewniamy możliwie najlepszą ochronę naszych aplikacji i danych naszych klientów. Pozostajemy zawsze czujni i stale dostosowujemy nasze strategie bezpieczeństwa, aby być o krok przed stale ewoluującymi zagrożeniami w świecie cyfrowym.

Rozwój

Nasze procesy rozwoju oprogramowania są zgodne z rygorystycznymi wytycznymi bezpieczeństwa i sprawdzonymi praktykami, opartymi na wiodących ramach bezpieczeństwa, takich jak OWASP Top 10 i SANS Top 25. Takie ukierunkowanie pozwala nam wcześnie wykrywać i usuwać potencjalne podatności, dzięki czemu zapewniamy najwyższy poziom bezpieczeństwa naszych produktów. Nasz zespół programistów regularnie przechodzi szkolenia, aby zawsze być na bieżąco z najnowszymi zagrożeniami bezpieczeństwa i mechanizmami obrony. To ciągłe doskonalenie pozwala nam wbudowywać bezpieczeństwo w nasze produkty od podstaw i proaktywnie reagować na nowe wyzwania. W naszym procesie rozwoju stosujemy wielowarstwowe kontrole bezpieczeństwa, w tym przeglądy kodu, podczas których doświadczeni programiści sprawdzają kod pod kątem luk bezpieczeństwa.

Dodatkowo korzystamy z automatycznych narzędzi do statycznego i dynamicznego testowania bezpieczeństwa aplikacji (SAST i DAST), aby identyfikować potencjalne podatności w kodzie i w działającej aplikacji. Nasze zależności są regularnie aktualizowane i sprawdzane pod kątem znanych luk bezpieczeństwa, aby mieć pewność, że nie używamy w naszym oprogramowaniu podatnych komponentów. Ponadto przeprowadzamy automatyczne testy penetracyjne i co roku angażujemy zewnętrznych ekspertów ds. bezpieczeństwa do kompleksowych ręcznych testów penetracyjnych naszych aplikacji. To całościowe podejście do bezpiecznego rozwoju oprogramowania pozwala nam stale poprawiać bezpieczeństwo naszych produktów i wzmacniać zaufanie klientów do naszych rozwiązań.

Bezpieczeństwo użytkowników

Bezpieczeństwo i wygoda naszych użytkowników są w centrum naszej strategii uwierzytelniania. Oferujemy zaawansowane rozwiązania Single Sign-On (SSO), które umożliwiają użytkownikom bezpieczny i wygodny dostęp do naszych usług. Naszym klientom Enterprise udostępniamy opcje SSO, które można płynnie zintegrować z ich istniejącymi systemami zarządzania tożsamością. Zwiększa to nie tylko bezpieczeństwo dzięki wykorzystaniu scentralizowanych mechanizmów uwierzytelniania, ale także poprawia doświadczenie użytkownika, eliminując konieczność posiadania wielu haseł. Nasz system uwierzytelniania został zaprojektowany tak, aby spełniał nowoczesne standardy bezpieczeństwa, a jednocześnie był na tyle elastyczny, by dostosować się do specyficznych potrzeb i preferencji naszych różnych grup użytkowników. Wdrażając zaawansowane metody uwierzytelniania, nie tylko wzmacniamy bezpieczeństwo naszej platformy, ale także poprawiamy ogólną wydajność i łatwość obsługi naszego systemu.

Zgodność

Jako szwajcarski dostawca przywiązujemy najwyższą wagę do przestrzegania krajowych i międzynarodowych przepisów o ochronie danych. Nasze ramy zgodności opierają się przede wszystkim na szwajcarskiej federalnej ustawie o ochronie danych (DSG). Jednocześnie spełniamy wymogi europejskiego ogólnego rozporządzenia o ochronie danych (RODO/GDPR). Starannie dostosowaliśmy nasze procesy, zasady i środki techniczne do wymogów zarówno DSG, jak i RODO. Zapewnia to kompleksową ochronę danych osobowych i poszanowanie rozszerzonych praw osób, których dane dotyczą, zgodnie z obydwoma aktami prawnymi.

Nasze środki obejmują zwiększoną przejrzystość przetwarzania danych, rygorystyczne wymogi dotyczące zgody oraz rozszerzone prawa dostępu do danych, ich usunięcia i przenoszenia. Oprócz tych obowiązków prawnych pracujemy nad uzyskaniem kolejnych ważnych certyfikacji. Jesteśmy w trakcie osiągania zgodności z SOC 2 Type II oraz uzyskiwania certyfikacji ISO 27001. Te uznawane na całym świecie standardy podkreślają nasze zaangażowanie w bezpieczeństwo informacji, dostępność, integralność przetwarzania i poufność.

Nasze wielowarstwowe podejście do zgodności, obejmujące standardy krajowe, unijne i międzynarodowe, świadczy o naszym niesłabnącym zaangażowaniu w ochronę danych naszych klientów. Dążymy nie tylko do spełnienia minimalnych wymogów prawnych, lecz także do wdrażania najlepszych praktyk w dziedzinie ochrony danych i bezpieczeństwa informacji. Dzięki temu kompleksowemu podejściu wzmacniamy zaufanie naszych klientów do naszej zdolności do ochrony ich wrażliwych informacji z najwyższą starannością i zgodnie z najsurowszymi standardami prawnymi i etycznymi.

Bezpieczeństwo płatności

Bezpieczne postępowanie z informacjami o płatnościach naszych klientów ma dla nas najwyższy priorytet. Aby zapewnić najwyższy poziom bezpieczeństwa, zdecydowaliśmy się powierzyć przetwarzanie wszystkich instrumentów płatniczych firmie Stripe, wiodącemu dostawcy infrastruktury płatniczej, certyfikowanemu jako PCI Level 1 Service Provider. Ta certyfikacja oznacza najwyższy standard bezpieczeństwa w branży kart płatniczych. Dzięki temu outsourcingowi zapewniamy, że wrażliwe dane finansowe naszych klientów są traktowane z najwyższą starannością i z zachowaniem najsurowszych protokołów bezpieczeństwa. Istotną zaletą tego podejścia jest to, że sami nie gromadzimy ani nie przechowujemy żadnych informacji o płatnościach.

Znacznie ogranicza to ryzyko wycieku danych i zwalnia nas ze złożonych obowiązków PCI DSS, które wiązałyby się z bezpośrednim przetwarzaniem danych kart kredytowych. Solidna infrastruktura bezpieczeństwa firmy Stripe obejmuje zaawansowane technologie szyfrowania, regularne audyty bezpieczeństwa i stały monitoring, aby zapobiegać oszustwom i nieuprawnionemu dostępowi. Dzięki korzystaniu z tych wysoko wyspecjalizowanych usług możemy skupić się na naszych kluczowych kompetencjach, a jednocześnie zagwarantować naszym klientom najwyższy poziom bezpieczeństwa ich transakcji finansowych. Zalecamy naszym klientom zapoznanie się ze szczegółowymi praktykami bezpieczeństwa Stripe, aby w pełni zrozumieć środki ochrony, które zabezpieczają ich dane płatnicze.

Dostęp pracowników

Odpowiedzialne postępowanie z danymi klientów zaczyna się od naszych własnych pracowników. Wdrożyliśmy rygorystyczne procedury wewnętrzne, które znacznie ograniczają dostęp pracowników lub administratorów do danych użytkowników. Środki te służą ochronie prywatności naszych klientów i minimalizacji ryzyka nieuprawnionego dostępu do danych. Nasze zarządzanie dostępem opiera się na zasadzie najmniejszych uprawnień, co oznacza, że pracownicy mają dostęp wyłącznie do tych danych i systemów, które są bezwzględnie niezbędne dla ich konkretnej roli. W wyjątkowych przypadkach, na przykład na potrzeby wsparcia klienta, może zostać przyznany ograniczony dostęp, ale wyłącznie po rygorystycznej procedurze zatwierdzenia i przy dokładnym rejestrowaniu wszystkich działań.

W celu dodatkowego zabezpieczenia stosujemy zaawansowane metody uwierzytelniania, takie jak uwierzytelnianie dwuskładnikowe, dla wszystkich kont dostępu pracowników. Każdy pracownik, który otrzymuje dostęp do wrażliwych systemów lub danych, musi wcześniej ukończyć kompleksowe szkolenie z zakresu ochrony danych i bezpieczeństwa informacji. Ponadto wszyscy nasi pracownicy przy rozpoczęciu pracy w firmie podpisują rygorystyczną umowę o zachowaniu poufności i tajemnicy. Umowa ta zobowiązuje ich prawnie do ochrony wrażliwych informacji naszych klientów i traktowania ich jako poufne. Regularne audyty i przeglądy zapewniają przestrzeganie tych zasad oraz to, że prawa dostępu są zawsze aktualne i adekwatne. Dzięki tym wielowarstwowym środkom bezpieczeństwa tworzymy kulturę organizacyjną, w której ochrona danych klientów jest nie tylko przepisem, lecz głęboko zakorzenioną odpowiedzialnością każdego pracownika.

Zaangażowanie

Środki i praktyki bezpieczeństwa przedstawione w tym dokumencie stanowią fundament naszego niesłabnącego zaangażowania w ochronę Twoich danych i integralność naszych usług. Od solidnego bezpieczeństwa infrastruktury po rygorystyczne standardy rozwoju oprogramowania realizujemy całościowe podejście do cyberbezpieczeństwa. Rozumiemy, że bezpieczeństwo w świecie cyfrowym nie jest jednorazowym zadaniem, lecz ciągłym procesem. Dlatego zobowiązujemy się stale przeglądać, aktualizować i ulepszać nasze praktyki bezpieczeństwa, aby dotrzymywać kroku rozwijającym się zagrożeniom.

Nasze zaangażowanie wykracza poza samo przestrzeganie przepisów; dążymy do tego, by być liderem branży w zakresie ochrony danych i bezpieczeństwa informacji. Zachęcamy naszych klientów do zadawania pytań, zgłaszania wątpliwości i aktywnej wymiany z nami na temat bezpieczeństwa. Przejrzystość i zaufanie są filarami naszych relacji i zawsze staramy się je wzmacniać.

Stosując najnowocześniejsze technologie, przestrzegając rygorystycznych zasad i wspierając kulturę bezpieczeństwa w całej firmie, niestrudzenie pracujemy nad tym, aby zapewnić Ci najwyższy poziom ochrony i niezawodności. Twoje zaufanie jest naszym najcenniejszym dobrem i robimy wszystko, aby każdego dnia na nie zasługiwać. Razem budujemy bezpieczniejszą cyfrową przyszłość.

Kontakt

Jeśli masz pytania dotyczące bezpieczeństwa, skontaktuj się z nami.