Безопасность
Для корпоративной платформы подготовки и контроля технической документации безопасность является базовым требованием. Настоящий документ описывает подход проекта А1 Интегриум к защите информации, организации доступа, сопровождению инфраструктуры и снижению рисков.
1Общий подход
Мы исходим из принципов достаточности, минимизации доступа и защищённости по умолчанию. Доступ к данным получают только те пользователи, которым он необходим для выполнения рабочих задач.
2Организационные меры
- разграничение ролей и полномочий в системе
- внутренние регламенты работы с данными и документами
- обязательства конфиденциальности для сотрудников и подрядчиков
- контроль доступа к административным функциям
- учёт изменений конфигурации и доступов
- процедуры реагирования на инциденты
3Управление доступом
В системе предусматривается ролевая модель доступа. Права могут задаваться на уровне организации, проекта, набора документов, маршрута согласования и отдельных действий.
4Журналирование и аудит
Система учитывает значимые события: входы пользователей, изменение прав, создание и редактирование документов, запуск проверок, согласование, выпуск и выгрузку комплектов.
5Защита данных при передаче и хранении
Передача данных между компонентами и пользователями осуществляется с применением защищённых каналов связи. Для хранимых данных используются средства разграничения доступа, резервного копирования, контроля целостности и защиты хранилищ.
6Резервное копирование и восстановление
Для устойчивой работы предусматриваются регламенты резервного копирования, контроль успешности резервных операций, хранение нескольких копий, а также процедуры восстановления и тесты восстановления.
7Безопасность разработки и изменений
Обновления, настройки шаблонов и интеграций проходят проверку в тестовой или контрольной среде, если это предусмотрено контуром заказчика.
8Работа с файлами
Поскольку платформа принимает документы, таблицы, схемы, архивы и сканы, важную роль играют ограничения типов, проверки структуры, антивирусный контроль, карантин для подозрительных материалов, журналирование загрузок и контроль версий.
9Локальный и закрытый контур
Для организаций с повышенными требованиями к безопасности может использоваться локальное развёртывание или полностью изолированный контур.
10Реагирование на инциденты
При выявлении инцидента применяются процедуры локализации, фиксации события, оценки последствий, восстановления работоспособности и подготовки мер предотвращения повторения.
11Заключительные положения
Настоящий документ описывает общий подход к безопасности. Конкретный набор мер зависит от варианта поставки и условий проекта.