Polityka Bezpieczeństwa

Ostatnia aktualizacja: 5 września 2024

Niniejsza Polityka Bezpieczeństwa opisuje środki techniczne i organizacyjne stosowane przez Wumytee w celu ochrony danych, systemów i infrastruktury. Dokument ten ma zastosowanie do wszystkich usług świadczonych za pośrednictwem platformy wumytee.com.

1. Zakres i cel

Polityka obejmuje wszystkie systemy informatyczne, zbiory danych oraz procesy operacyjne Wumytee. Jej celem jest zapewnienie poufności, integralności i dostępności informacji przetwarzanych w ramach świadczonych usług.

Zasady zawarte w niniejszym dokumencie obowiązują pracowników, współpracowników, podwykonawców oraz wszelkie podmioty trzecie, które uzyskują dostęp do zasobów Wumytee.

2. Bezpieczeństwo infrastruktury

2.1. Środowisko hostingowe

Usługi Wumytee działają na infrastrukturze serwerowej spełniającej uznane standardy branżowe w zakresie bezpieczeństwa fizycznego i logicznego. Centra danych posiadają systemy kontroli dostępu fizycznego, redundantne zasilanie oraz zabezpieczenia przeciwpożarowe.

2.2. Segmentacja sieci

Infrastruktura sieciowa jest podzielona na strefy o różnym poziomie zaufania. Ruch między strefami podlega kontroli za pomocą reguł zapory sieciowej oraz list kontroli dostępu. Środowiska produkcyjne są oddzielone od środowisk testowych i deweloperskich.

2.3. Monitorowanie i wykrywanie zagrożeń

Systemy Wumytee są objęte ciągłym monitorowaniem pod kątem anomalii, nieautoryzowanych prób dostępu i potencjalnych incydentów bezpieczeństwa. Logi systemowe są zbierane, przechowywane i analizowane przez określony czas umożliwiający prowadzenie dochodzeń.

3. Szyfrowanie danych

3.1. Dane w transmisji

Wszelka komunikacja między użytkownikami a platformą odbywa się z wykorzystaniem protokołu TLS w aktualnie zalecanej wersji. Połączenia nieszyfrowane są blokowane lub przekierowywane do bezpiecznego kanału.

3.2. Dane w spoczynku

Dane przechowywane na serwerach Wumytee są szyfrowane przy użyciu algorytmów symetrycznych uznanych za bezpieczne zgodnie z aktualnymi standardami kryptograficznymi. Klucze szyfrowania są zarządzane w sposób zapewniający ich ochronę przed nieautoryzowanym dostępem.

4. Kontrola dostępu

4.1. Zasada najmniejszych uprawnień

Dostęp do systemów i danych jest przyznawany wyłącznie w zakresie niezbędnym do realizacji określonych zadań służbowych. Uprawnienia są regularnie przeglądane i aktualizowane w miarę zmian ról i obowiązków.

4.2. Uwierzytelnianie

Dostęp do systemów wewnętrznych wymaga silnego uwierzytelniania. Tam gdzie jest to technicznie możliwe, stosowane jest uwierzytelnianie wieloskładnikowe. Hasła muszą spełniać minimalne wymagania dotyczące złożoności i są przechowywane wyłącznie w postaci zaszyfrowanej.

4.3. Zarządzanie sesjami

Sesje użytkowników są ograniczone czasowo i kończone po okresie bezczynności. Mechanizmy ochrony sesji zapobiegają atakom polegającym na przejęciu lub utrwaleniu identyfikatora sesji.

5. Bezpieczeństwo aplikacji

5.1. Cykl wytwarzania oprogramowania

Bezpieczeństwo jest uwzględniane na każdym etapie tworzenia oprogramowania. Kod podlega przeglądom pod kątem podatności przed wdrożeniem na środowisko produkcyjne. Zależności zewnętrzne są regularnie aktualizowane w celu eliminacji znanych luk.

5.2. Testowanie bezpieczeństwa

Aplikacje są poddawane okresowym testom bezpieczeństwa, obejmującym analizę statyczną kodu oraz testy penetracyjne. Wyniki testów są dokumentowane, a zidentyfikowane podatności usuwane zgodnie z priorytetem ryzyka.

5.3. Ochrona przed typowymi atakami

Platforma stosuje mechanizmy ochrony przed powszechnie występującymi zagrożeniami, w tym przed atakami typu SQL injection, cross-site scripting, cross-site request forgery oraz atakami siłowymi na mechanizmy uwierzytelniania.

6. Zarządzanie incydentami

6.1. Wykrywanie i reagowanie

Wumytee posiada zdefiniowane procedury reagowania na incydenty bezpieczeństwa. Obejmują one wykrywanie, klasyfikację, ograniczanie skutków, eliminację przyczyn oraz przywracanie normalnego funkcjonowania systemu.

6.2. Powiadamianie

W przypadku naruszenia bezpieczeństwa danych, które może mieć wpływ na użytkowników, Wumytee podejmuje działania informacyjne w zakresie i terminie wymaganym przez obowiązujące przepisy. Powiadomienia są kierowane do właściwych organów oraz poszkodowanych podmiotów.

6.3. Dokumentacja incydentów

Każdy incydent bezpieczeństwa jest dokumentowany wraz z opisem przebiegu zdarzenia, podjętych działań i wyciągniętych wniosków. Dokumentacja służy doskonaleniu procedur i zapobieganiu podobnym zdarzeniom w przyszłości.

7. Kopie zapasowe i ciągłość działania

Dane użytkowników są objęte regularnym procesem tworzenia kopii zapasowych. Kopie są przechowywane w sposób zapewniający ich dostępność w przypadku awarii systemu podstawowego. Procedury odtwarzania danych są testowane w celu weryfikacji ich skuteczności.

Wumytee utrzymuje plany ciągłości działania określające sposób postępowania w przypadku poważnych awarii infrastruktury lub innych zdarzeń zakłócających świadczenie usług.

8. Bezpieczeństwo podmiotów trzecich

Podwykonawcy i dostawcy usług przetwarzający dane w imieniu Wumytee są zobowiązani do stosowania środków bezpieczeństwa adekwatnych do przetwarzanych danych. Przed nawiązaniem współpracy przeprowadzana jest ocena ich praktyk w zakresie bezpieczeństwa.

Umowy z podmiotami trzecimi zawierają postanowienia dotyczące ochrony danych i bezpieczeństwa informacji. Wumytee monitoruje przestrzeganie tych postanowień przez okres trwania współpracy.

9. Szkolenia i świadomość bezpieczeństwa

Osoby mające dostęp do systemów i danych Wumytee są zapoznawane z zasadami bezpieczeństwa informacji. Szkolenia obejmują rozpoznawanie zagrożeń, bezpieczne korzystanie z systemów oraz postępowanie w przypadku podejrzenia incydentu.

10. Przegląd i aktualizacja polityki

Niniejsza polityka jest przeglądana co najmniej raz w roku lub w przypadku istotnych zmian w środowisku technicznym, organizacyjnym lub regulacyjnym. Aktualna wersja dokumentu jest dostępna na stronie internetowej Wumytee.

Zmiany wchodzą w życie z dniem opublikowania zaktualizowanej wersji, chyba że wskazano inaczej.

11. Kontakt w sprawach bezpieczeństwa

Wszelkie pytania dotyczące niniejszej Polityki Bezpieczeństwa, a także zgłoszenia potencjalnych podatności lub incydentów, należy kierować na adres: [email protected]

Wumytee
Górna Wilda 61A, 61-619 Poznań, Polska
+48 505 904 825