Защита данных

KnowStack серьёзно относится к безопасности данных. Ваши бизнес-данные конфиденциальны, и платформа построена с несколькими уровнями защиты для их сохранности.

Шифрование

• Данные при передаче шифруются с использованием TLS (HTTPS) для всех соединений
• Конфиденциальные учётные данные (пароли электронной почты, токены API, сессии Telegram) шифруются в состоянии покоя с использованием шифрования AES-256
• Подключения к базе данных используют SSL-шифрование
• Загружаемые файлы (документы, заметки встреч) хранятся в зашифрованном облачном хранилище (Amazon S3)

Изоляция данных

Все данные привязаны к рабочему пространству вашей компании. Компания A не может получить доступ к данным компании B даже на уровне базы данных. Каждый API-запрос проверяет принадлежность данных компании перед их возвратом.

Хранение и удаление данных

• Вы управляете своими данными — удаляйте отдельные элементы, целые источники данных или Базы знаний в любое время
• При удалении аккаунта все связанные данные удаляются по истечении льготного периода
• Данные потока активности хранятся в течение 120 дней
• Данные обращений в службу поддержки сохраняются со снимком информации на случай удаления пользователя

Сертификация CASA

KnowStack прошёл верификацию CASA — это означает, что продукт успешно прошёл оценку безопасности облачных приложений Google (CASA), независимую проверку, проводимую авторизованной лабораторией App Defense Alliance. CASA — это программа оценки безопасности, которую Google требует для приложений, получающих доступ к данным пользователей Google через OAuth.

Что означает сертификация CASA

• Независимая проверка — оценка была проведена компанией TAC Security, авторизованной лабораторией App Defense Alliance (ADA), а не внутренней командой KnowStack
• Стандарты OWASP ASVS — KnowStack оценивался по стандарту OWASP Application Security Verification Standard, общепризнанному эталону безопасности приложений в отрасли
• Комплексный охват — оценка охватывала аутентификацию, управление сессиями, контроль доступа, валидацию входных данных, криптографию, обработку ошибок, защиту данных, безопасность API и безопасную конфигурацию
• Устранение выявленных уязвимостей — все уязвимости, обнаруженные в ходе оценки, были полностью устранены и верифицированы, включая защиту от обхода путей, удаление зависимостей от внешних CDN, исключение идентификации сервера и усиление обработки ошибок

Что было проверено

• Безопасность исходного кода — защита от обхода путей, инъекций и раскрытия информации
• Целостность подресурсов — все ресурсы размещены на собственных серверах (без зависимостей от внешних CDN, которые могут быть скомпрометированы)
• Обработка ошибок — внутренние сведения об ошибках, фрагменты SQL-запросов и трассировки стека никогда не отображаются пользователям
• Укрепление сервера — заголовки идентификации сервера удалены, небезопасные HTTP-методы заблокированы
• Валидация входных данных — все пользовательские данные проверяются и очищаются для предотвращения XSS и инъекционных атак
• Безопасность сессий — HttpOnly-куки, защита от CSRF, безопасное управление сессиями
• Обработка учётных данных — токены OAuth и пароли зашифрованы в состоянии покоя с использованием AES-256