Захист даних

KnowStack серйозно ставиться до безпеки даних. Ваші бізнес-дані є конфіденційними, тому платформа побудована з кількома рівнями захисту для їх збереження.

Шифрування

• Дані в процесі передачі шифруються за допомогою TLS (HTTPS) для всіх з'єднань
• Конфіденційні облікові дані (паролі електронної пошти, API-токени, сесії Telegram) шифруються у стані спокою за допомогою шифрування AES-256
• Підключення до бази даних використовують SSL-шифрування
• Завантажені файли (документи, нотатки нарад) зберігаються у зашифрованому хмарному сховищі (Amazon S3)

Ізоляція даних

Усі дані прив'язані до робочого простору вашої компанії. Компанія A не може отримати доступ до даних компанії B навіть на рівні бази даних. Кожен API-запит перевіряє належність даних компанії перед поверненням результатів.

Зберігання та видалення даних

• Ви керуєте своїми даними — видаляйте окремі елементи, цілі джерела даних або Бази знань у будь-який час
• Видалення облікового запису призводить до видалення всіх пов'язаних даних після пільгового періоду
• Дані потоку активності зберігаються протягом 120 днів
• Дані звернень до служби підтримки зберігаються разом зі знімком інформації на випадок видалення користувача

Сертифікація CASA

KnowStack має сертифікацію CASA — це означає, що продукт пройшов оцінку безпеки хмарних застосунків Google (CASA), незалежну перевірку, проведену авторизованою лабораторією App Defense Alliance. CASA — це програма оцінки безпеки, яку Google вимагає для застосунків, що отримують доступ до даних користувачів Google через OAuth.

Що означає сертифікація CASA

• Незалежна перевірка — оцінку проводила TAC Security, авторизована лабораторія App Defense Alliance (ADA), а не внутрішня команда KnowStack
• Стандарти OWASP ASVS — KnowStack оцінювався відповідно до стандарту OWASP Application Security Verification Standard, загальновизнаного еталону безпеки застосунків
• Всебічний охват — оцінка охоплювала автентифікацію, управління сесіями, контроль доступу, валідацію вхідних даних, криптографію, обробку помилок, захист даних, безпеку API та безпечне налаштування
• Усунення виявлених проблем — усі знахідки, виявлені під час оцінки, були повністю усунені та підтверджені, включно із захистом від обходу шляхів, видаленням залежностей від зовнішніх CDN, усуненням відбитків сервера та посиленням обробки помилок

Що перевірялося

• Безпека вихідного коду — захист від обходу шляхів, ін'єкцій та розкриття інформації
• Цілісність підресурсів — усі ресурси розміщені на власних серверах (без залежностей від зовнішніх CDN, які можуть бути скомпрометовані)
• Обробка помилок — внутрішні деталі помилок, фрагменти SQL або трасування стека ніколи не відображаються користувачам
• Посилення сервера — заголовки відбитків сервера видалені, небезпечні HTTP-методи заблоковані
• Валідація вхідних даних — усі дані, введені користувачем, перевіряються та очищуються для запобігання XSS та ін'єкційним атакам
• Безпека сесій — HttpOnly cookies, захист від CSRF, безпечне управління сесіями
• Обробка облікових даних — токени OAuth та паролі зашифровані у стані спокою за допомогою AES-256