Bezpečnosť bez kompromisov

Organizačná bezpečnosť

Požiadavky zásad informačnej bezpečnosti Crowdinu sa vzťahujú na celú organizáciu Crowdin a sú povinné pre všetkých zamestnancov a osoby zapojené do týchto obchodných procesov. ISMS je postavený na troch pilieroch: ľudia, procesy a technológie, s rozsiahlou implementáciou architektúry nulovej dôvery (Zero Trust Architecture, ZTA). Architektúra nulovej dôvery funguje na princípe "nikdy nedôveruj, vždy overuj", čo znamená, že prístup k zdrojom nie je nikdy implicitne dôveryhodný na základe polohy používateľa alebo zariadenia. Namiesto toho sa pri každom pokuse o prístup vyžaduje prísne overenie identity a nepretržitá autentifikácia, bez ohľadu na to, či pochádza zvnútra alebo zvonka sieťového perimetra. Za zabezpečenie riadnej ochrany informačných aktív a technológií je zodpovedný riaditeľ pre informačnú bezpečnosť (CISO).

Bezpečnostné školenie a povedomie

V Crowdine všetci zamestnanci počas roka absolvujú priebežné školenia o bezpečnosti a povedomí. Každý nový člen tímu absolvuje základné školenie o bezpečnosti počas prvého mesiaca od nástupu. Vykonávame pravidelné audity prístupov, aktualizácie hesiel a pracujeme na princípe najmenších oprávnení. Vyžaduje sa aj školenie o bezpečnosti špecifické pre danú rolu.

Hardvérová bezpečnosť

Všetky zariadenia zamestnancov majú šifrované pevné disky. Inštaláciu, konfiguráciu alebo úpravu hardvéru a softvéru vykonáva iba poverený správca systému. Dodanie a odstránenie zariadení do/z dátového centra je autorizované, zaznamenávané a monitorované. Na prístup k pracovným staniciam, službám a aplikáciám sa vyžadujú prístupové údaje špecifické pre používateľa (napr. dvojica ID používateľa/heslo atď.).

• BYOD (Bring Your Own Device – používanie vlastného zariadenia) je obmedzené. Citlivé údaje sa spracúvajú iba na zariadeniach spravovaných spoločnosťou.
• Zariadenia spravované spoločnosťou sú vybavené MDM, binárnou autorizáciou a monitorovacími systémami, antivírusovým softvérom a kontrolovanými aktualizáciami softvéru.
• Povinné hardvérové kľúče – prístup k firemným údajom je riadený povinnými hardvérovými 2FA kľúčmi.
• Prístup zohľadňujúci kontext – prístup k firemným údajom je povolený iba zo zariadení spravovaných spoločnosťou.
• Sú vynucované obmedzenia prístupu na základe polohy.
• Binárna autorizácia a monitorovanie – na zariadeniach zamestnancov je možné spúšťať iba binárne súbory zo zoznamu povolených.

Fyzická bezpečnosť

Kancelária Crowdinu je monitorovaná a chránená poplašným systémom a je vybavená systémami požiarnej signalizácie. Po celej kancelárii sú nainštalované kamery uzavretého okruhu (CCTV), ktoré snímajú vchody, východy a ďalšie určené oblasti. Zamestnanci Crowdinu nemajú fyzický prístup k žiadnym z našich produkčných zariadení, keďže celá naša infraštruktúra je v cloude. Zabezpečené oblasti sú chránené vstupnými kontrolami, takže prístup je povolený iba autorizovanému personálu.

Sieťová bezpečnosť

Naša interná sieť je obmedzená, segmentovaná, chránená heslom a všetky udalosti súvisiace so zabezpečením siete sú zaznamenávané.

Softvérová bezpečnosť

Crowdin zamestnáva tím serverových špecialistov 24/7/365, aby udržiaval náš softvér a jeho závislosti aktuálne a odstraňoval potenciálne bezpečnostné zraniteľnosti. Na prevenciu a elimináciu útokov na stránku používame monitorovacie riešenia.

• Zoznam povolených softvérov – na firemných zariadeniach je povolený iba schválený softvér a doplnky prehliadača.
• Kontrola aplikácií OAuth – aplikácie OAuth s prístupom k firemným údajom sú nepretržite kontrolované a monitorované.
• Prístup k cloudovým službám je cez SAML s prístupom zohľadňujúcim kontext.

Reakcia na incidenty

Crowdin implementuje protokol na spracovanie bezpečnostných udalostí, ktorý zahŕňa eskalačné postupy, rýchle zmiernenie a analýzu po incidente. Všetci zamestnanci sú informovaní o našich zásadách.

Preverovanie zamestnancov

Crowdin vykonáva previerky všetkých nových zamestnancov, dodávateľov alebo iných osôb, ktoré majú prístup k systémom, sieti alebo fyzickým zariadeniam dátového centra, v súlade s miestnymi zákonmi.

Bezpečnosť tretích strán a dodávateľov

Crowdin udržiava postupy riadenia rizík dodávateľov, aby zaistil, že tretie strany sú dôkladne preverené a udržiavajú očakávanú úroveň bezpečnostných kontrol. Zobraziť náš zoznam sub-procesorov.