نظرة عامة على أمن المعلومات

التطبيق وقاعدة البيانات تبعه بيشتغلوا عند Railway بالولايات المتحدة (منطقة US West). الملفات المرفوعة بتنحفظ بـGoogle Firebase Storage. المزوّدين التنين بيشفّروا البيانات أثناء التخزين على أقراص السحابة تبعهم وعندهم شهادات أمان معترف فيها. كل اتصال مع الخدمة بيستخدم TLS.

الحسابات بتسجّل دخول برمز لمرة وحدة بينبعت لتلفون أو إيميل متحقّق منه. الوصول داخل المصلحة حسب الدور (صاحب، مدير، عضو فريق) ومحصور بهاي المصلحة بس. فريق التشغيل تبعنا بيوصل لبيانات الزبائن بس للدعم والتشغيل، وكل إجراء إداري بينكتب بسجل تدقيق. الشريك المعتمد بيشوف بيانات زبون بس بعد ما الزبون يعطيه صلاحية، والزبون بيقدر يلغيها بأي وقت.

رموز المزوّدين ورموز البطاقة المحفوظة بتنشفّر بـAES-256-GCM قبل ما تنحفظ. أرقام بطاقات الدفع بتندخل بصفحة PayPlus المستضافة وما بتوصل أبدًا لسيرفراتنا، وهاد بيخلّينا ضمن ملف PCI DSS SAQ A.

ترويسات أمان على كل ردّ، تحديد معدّل الطلبات، التحقق من المدخلات بكل نقطة نهاية، التحقق من التوقيع على الـwebhooks الواردة من Meta وPayPlus، حماية من البوتات بالنماذج العامة، وفحوصات أوتوماتيكية بتمنع ترحيلات قاعدة بيانات غير آمنة ودورات استيراد قبل النشر.

الإجراءات الإدارية، فشل تسجيل الدخول وأحداث الأمان بتنسجّل وبتنحفظ 24 شهر على الأقل. أخطاء التطبيق بتنراقب بـSentry بدون معلومات شخصية. المهام بالخلفية ظاهرة بلوحة تشغيل مع تاريخ تشغيلها.

قاعدة البيانات خدمة سحابية مُدارة مع تكرار ونسخ احتياطي على مستوى المزوّد. إجراء الأمان تبعنا بيحدّد جدول النسخ الاحتياطي واختبار الاستعادة، وبيئة staging بتخلّينا نجرّب التغييرات قبل ما توصل للإنتاج.

دليل مكتوب بيغطّي الكشف، الاحتواء، التقييم، إبلاغ الزبائن المتأثرين خلال 72 ساعة من التأكيد، إبلاغ سلطة حماية الخصوصية عن الحوادث الخطيرة، ومراجعة بعد الحادث.

بنشتغل حسب قانون حماية الخصوصية الإسرائيلي وأنظمة أمن المعلومات بمستوى الأمان المتوسط: وثيقة تعريف قاعدة البيانات، إجراء أمان، سجل صلاحيات، سجل مزوّدين مع تعهّدات معالجة بيانات من كل مزوّد فرعي، تدريب الفريق قبل إعطاء الصلاحية، وتدقيق أمني مرة كل 24 شهر على الأقل. المساعدين الرقميين تبعنا بيصرّحوا إنهم أوتوماتيكيين، بيحوّلوا لموظف عند الطلب، وأبدًا ما بيعطوا نصيحة طبية أو قانونية أو مالية.

إذا بتعتقد إنك لقيت مشكلة أمنية، اكتبلنا على [email protected]. بنأكّد استلام البلاغات خلال يومَي عمل وما بنتّخذ إجراءات ضد البحث بحسن نية.