FAQ: Безопасность программного обеспечения

Lokad - прежде всего, специалист по цепочке поставок, и нашей основной целью является предоставление превосходных решений для цепочки поставок с помощью технологического изобретательства. Сказанное, мы ежедневно обрабатываем важные финансовые данные, поэтому безопасность нашей программной платформы является приоритетом, и мы относимся к ней с максимальной серьезностью. Вместо того, чтобы подходить к безопасности как к послесловию, которое должно быть решено через бюрократию, мы твердо верим в принципиальный подход, который подчеркивает планирование и проактивность - что подтверждается нашими конкретными выборами в области проектирования программного обеспечения, подбора персонала и обучения.

Целевая аудитория: IT-отдел
Последнее изменение: 21 сентября 2023 года

Принципы безопасности

Одна из самых опасных иллюзий в сфере корпоративного программного обеспечения - это идея о том, что безопасность может быть решена с помощью списков проверки соответствия, сертификаций и, в общем, всевозможных бюрократических занятий. К сожалению, детали вопросов безопасности всегда находятся в состоянии изменения. Проблемы возникают, когда злоумышленники пользуются программным обеспечением или людьми (или и тем, и другим). Поэтому безопасность может быть рассмотрена только через разумное применение общих принципов.

Безопасность через дизайн

Мы считаем, что дизайн является одним из самых недооцененных аспектов безопасности программного обеспечения. Здесь дизайн охватывает фундаментальные решения, которые были приняты при разработке программного обеспечения. Решения, которые компания принимает в области дизайна, имеют огромные последствия с точки зрения безопасности, особенно атакуемой поверхности. Благодаря разумному проектированию программного обеспечения, Lokad устранил целые классы проблем безопасности. Например, Lokad не использует SQL-базу данных, а простое хранилище блобов в качестве строго пассивного слоя хранения. Этот выбор один по себе предотвращает целые группы проблем безопасности, такие как атаки SQL-инъекций, поскольку просто нет SQL-базы данных для атаки. Аналогично, все наши слои постоянства являются только для добавления. Это похоже на систему контроля версий, где изменения добавляются в конец существующих данных, а не перезаписывают всю информацию. Все изменения отслеживаются и могут быть отменены. Этот шаг значительно усложняет удаление любых данных (любым лицом, включая злоумышленников), а также вмешательство в журналы Lokad.

Большинство поставщиков корпоративного программного обеспечения не признают того факта, что основные выборы в области дизайна являются основой их программных продуктов. В результате их проблемы с безопасностью не имеют конца. Например, если настраиваемость - практически всегда требование для корпоративного программного обеспечения - предоставляется с помощью языка программирования общего назначения (например, Python или JavaScript), проблемы с безопасностью неизбежно возникнут. Это происходит потому, что практически невозможно полностью обезопасить язык программирования общего назначения. В отличие от этого, Lokad сделал осознанный выбор дизайна, направляя всю настраиваемость через DSL (язык программирования, специфичный для предметной области) под названием Envision. Envision намного безопаснее, потому что он не имеет возможности напрямую взаимодействовать с ОС (операционной системой) и ее подсистемами, такими как файловая система.

Безопасность через культуру

Ни одна технология и, конечно же, ни один процесс не могут обеспечить безопасность программного обеспечения, если люди просто не заботятся. Поэтому мы стараемся сделать все возможное, чтобы Lokad - как его технологии, так и процессы - был чем-то, о чем стоит заботиться. В контексте корпоративного программного обеспечения это сложно, поскольку объект интереса является абстрактным и оторванным от индивидуальных взглядов и мотиваций людей¹.

Во-первых, Lokad настолько, насколько это человечески возможно, согласовывает свои маркетинговые сообщения с реальностью своего бизнеса. Мы делаем это, независимо от того, принесет ли нам это одобрение или критику. Это является ярким контрастом по сравнению с многими корпоративными поставщиками, которые делают неразумные (и часто фантастические) публичные заявления². Когда это происходит, острые сотрудники - те, кто способен определить разрыв между реальностью бизнеса и тем, что коммуницируется во внешний мир - перестают заботиться. Эта безразличность порождает самодовольство, и за ним следуют проблемы с безопасностью. Часто эти сотрудники уходят из компании, оставляя “доверчивых” - тех, кто не видит разрыва. Доверчивость, подобно безразличию, не является желательным качеством с точки зрения безопасности.

Во-вторых, Lokad способствует среди своих сотрудников сочетанию любопытства и здорового скептицизма по всем аспектам нашего бизнеса, как техническим, так и не техническим, включая безопасность. Это создает гибкость при пересмотре и обновлении практик, так как сотрудникам предоставляется обучение и поощрение к внесению своего вклада. Такая пластичность полезна для предвидения злонамеренных действий, поскольку известно, что они придумывают все более творческие способы атаки. К счастью для Lokad, такой подход также является весьма желательным для целей управления цепями поставок, поскольку неблагоприятные поведения, хотя и не обязательно преступные, являются обычными в цепях поставок ³.

Безопасность через обучение

Мы активно обучаем весь наш персонал лучше понимать киберугрозы и способы их смягчения. В отличие от дизайна и культуры, обучение по безопасности в основном является процессом сверху вниз. Хотя мы признаем важность принципа “снизу вверх”, этот тип обучения по своей природе слаб против большинства компьютерных угроз безопасности. Просто говоря, даже если люди обучены не делать что-то, Lokad не может предполагать, что никто никогда не сделает это ⁴. Поэтому мы принимаем более строгий подход. В рамках нашего обучения мы отговариваем от использования USB-флешек и других USB-устройств, которые могут подвергнуть опасности компьютеры. Мы обеспечиваем использование двухфакторной аутентификации всякий раз, когда это возможно. Мы обучаем наш персонал работать с минимальными привилегиями на своих рабочих местах. Мы убеждаемся, что каждый знает, как работает социальная инженерия, которая может обмануть даже самых умных людей.

В более общем смысле, обучение по безопасности направлено на повышение осведомленности о том, как программное обеспечение и процессы могут быть использованы и искажены злонамеренными действующими лицами. Учитывая объем обучения, навыки и знания, необходимые для предотвращения таких тонких атак, Lokad обычно имеет очень мало стажеров по сравнению с большинством компаний сопоставимого размера в этой области. Короче говоря, мы предпочитаем положиться на стабильную, высококвалифицированную команду на долгосрочной основе.

Часто задаваемые вопросы (FAQ)

1. Практики

1.1 У вас есть гарантия безопасности?

Да. Гарантия безопасности - это общий термин для различных практик, таких как укрепление безопасности, тестирование безопасности и управление уязвимостями. Укрепление безопасности в Lokad в первую очередь осуществляется через дизайн. С помощью определенных выборов дизайна мы устраняем целые классы уязвимостей, что в свою очередь устраняет необходимость в укреплении безопасности самого по себе. Например, Lokad не полагается на “программный” слой хранения - такой как реляционная база данных - а на простое хранилище ключ-значение. Это исключает все векторы SQL-инъекций. Кроме того, тестирование безопасности осуществляется с помощью разнообразных методов, как автоматизированных, так и ручных, таких как тесты на проникновение от сторонних лиц. Для управления уязвимостями у нас есть программа bug bounty и широко автоматизированный процесс управления выпусками, чтобы обеспечить быструю установку исправлений.

1.2 Соответствуете ли вы стандартам ISO 27001 (ISMS) и/или SOC 2?

Нет. Мы твердо уверены, что эти сертификации отвлекают внимание и делают компании-разработчики менее безопасными. Эти процессы соответствия подчеркивают бюрократическое мышление, которое противоположно тому, что требуется для обеспечения безопасности программного обеспечения. Например, для получения этих сертификаций требуется подготовка документов и создание комитетов. Откровенно говоря, идея о том, что документы и комитеты доставляют что-либо существенное для безопасности программного обеспечения, является глубоко спорной и нечто, что Lokad вообще не принимает.

В кругах разработчиков программного обеспечения безопасность обычно достигается путем сокращения, а не увеличения; путем использования усилий программистов, специализирующихся на безопасности программного обеспечения, а не создания дополнительных команд неспециалистов. В качестве анекдотического доказательства можно привести некоторые из самых серьезных кибербезопасных катастроф, таких как Heartbleed или Log4Shell. Эти катастрофы, вероятно, могли бы быть предотвращены, если бы тысячи “сертифицированных” компаний-разработчиков программного обеспечения выбрали приоритетное редактирование кода сторонних поставщиков - часто являющегося корневой причиной проблем - вместо преследования произвольных коммерческих печатей одобрения.

В целом, мы считаем, что эти сертификации являются маркетинговыми трюками, которые уводят компании в ложное чувство безопасности (как в переносном, так и в прямом смысле).

1.3 Вы следуете практикам OWASP?

Да. OWASP предоставляет, через свои руководства, обширный список проверок на уязвимости, обычно встречающихся в программном обеспечении. Это обширная и качественная компиляция, которую инженеры Lokad используют для защиты нашего программного обеспечения от любых известных проблем OWASP. Однако, благодаря своим выборам дизайна, Lokad в значительной степени устраняет целые классы распространенных уязвимостей, выделенных OWASP. Например:

Управление паролями: Передавая аутентификацию через функциональность SSO (одноэтапная аутентификация, что рекомендуется Lokad), Lokad больше не должен “управлять” паролями, что делает все, что связано с паролями, бессмысленным.

Журналирование: Принятый Lokad дизайн событийного источника регистрирует все по необходимости. Если действие не зарегистрировано, то, по мнению системы, оно никогда не произошло. Это делает большую часть списка проверок журналирования ненужной.

Безопасность базы данных: Слой хранения Lokad не включает реляционную базу данных, а только два не программные компонента; а именно источник событий и хранилище ключ-значение. Этот выбор дизайна полностью устраняет список проверок базы данных.

В целом, когда это возможно, мы предпочитаем избегать ошибочных шаблонов проектирования, которые создают необходимость в таких списках проверок в первую очередь.

1.4 Вы соответствуете требованиям GDPR?

Да. Однако оптимизация цепочки поставок, предоставляемая Lokad, не требует персональных данных. Мы считаем персональные данные обязательством, а не активом. Таким образом, мы настоятельно рекомендуем нашим клиентам не передавать нам персональные данные. Это рекомендация обычно включена в наши контрактные соглашения. Не имея персональных данных в своем распоряжении и, следовательно, не обрабатывая персональные данные, мы в значительной степени устраняем проблемы и протоколы, связанные с их защитой, такие как GDPR или аналогичные регулирования.

1.5 Соответствуют ли все сторонние сервисы/решения (которые включают доступ к личной идентифицирующей информации (PII)) в решении Lokad требованиям офицера по защите данных (DPO)?

Да. Однако, как указано в Практиках 1.4, оптимизация цепочки поставок, предоставляемая Lokad, не требует персональных данных. Поэтому мы настоятельно рекомендуем нашим клиентам не передавать нам персональные данные.

Следует отметить, что в решении Lokad очень небольшой список сторонних сервисов, которым предоставляется доступ к данным PII. На январь 2023 года этот список ограничен Microsoft Azure.

1.6 Вы следуете лучшим практикам безопасности?

Да. Другими словами, мы принимаем разумные решения, поскольку нет общепринятого мнения в отрасли о том, что является “лучшими практиками безопасности программного обеспечения”. По своей природе безопасность программного обеспечения находится в состоянии постоянной эволюции, адаптируясь к среде, полной новых угроз и векторов атак. Поэтому мы не категорически опираемся на мнение сторонних компаний о том, что является лучшими практиками безопасности программного обеспечения. Вместо этого мы определяем, что является лучшим для наших клиентов. Это позволяет нам усваивать хорошие практики, если они доступны, не жестко следуя менее рекомендуемым практикам только потому, что они популярны. Все это приводит к использованию актуальных, применимых и эффективных практик безопасности программного обеспечения.

1.7 Вы регулярно проводите тесты на проникновение?

Да. У нас есть как плановые, так и неплановые тесты на проникновение. Плановые тесты обычно финансируются нашими крупными клиентами, которые могут, в соответствии с заключенным с ними контрактом, нанимать специализированные компании для проведения тестов на проникновение их ключевых поставщиков программного обеспечения, включая Lokad. Обычно существует некоторая степень координации между командой разработчиков Lokad и этими специалистами по безопасности. Неплановые тесты обычно являются частью нашей открытой публичной программы bug bounty, в рамках которой независимые специалисты по безопасности могут попытаться найти уязвимость в нашей системе, которая может быть подвержена потенциальной эксплуатации.

1.8 Вы регулярно проводите внешние аудиты?

Нет. Однако мы готовы пройти внешний аудит, если операция финансируется клиентом. Многие из наших крупных клиентов предусматривают такие аудиты в наших контрактных соглашениях. Однако на январь 2023 года тесты на проникновение, проводимые клиентами, не выявили достаточно проблем, чтобы оправдать проведение таких аудитов.

1.9 У вас есть план бизнес-продолжительности?

Да. Самая большая контингенция, с которой столкнулась Lokad, - это гипотетическое прекращение самой компании. Lokad работает как решение SaaS, однако некоторые из наших крупных клиентов предусматривают в своих контрактных соглашениях возможность запроса полных снимков нашей кодовой базы. Эти снимки помещаются в депонирование с согласованным сторонним лицом, так что в случае прекращения деятельности Lokad клиент автоматически получает доступ к кодовой базе в депонировании и разрешение на создание собственного экземпляра сервиса Lokad.

1.10 У вас есть план коммуникации в кризисных ситуациях?

Да. Для каждого клиента у нас есть определенный контактный лицо в их организации. С нашей стороны в Lokad есть как минимум два сотрудника - основной и заместитель (обычно два из наших ученых по цепочке поставок) - которые отвечают за своевременное информирование клиента о любом срочном сообщении. На практике подавляющее большинство кризисов, с которыми мы сталкиваемся, не являются проблемами безопасности программного обеспечения, а являются проблемами цепочки поставок - чрезвычайными ситуациями, которые Lokad определяет на основе данных, предоставленных клиентом. В случае события, связанного с безопасностью, этот канал используется для обеспечения своевременного информирования наших клиентов.

1.11 Как вы обеспечиваете безопасность IT-систем клиента?

Мы настоятельно рекомендуем, чтобы Lokad не имел доступа к IT-системам наших клиентов; IT-система клиента должна только передавать и получать данные от Lokad. Такой подход предназначен для снижения возможности распространения события безопасности в Lokad на IT-систему клиента. Кроме того, мы также настоятельно рекомендуем использовать процесс SSO (одноэтапная аутентификация), поскольку это исключает гипотетический сценарий, когда пароль, используемый для доступа к Lokad, перехватывается (каким-либо образом) и затем используется для компрометации одной из IT-систем клиента.

1.12 Как вы обеспечиваете безопасность вашей сети?

Наша концепция основана на архитектуре Zero Trust, что означает, что доступ к данным предоставляется только правильным людям в любой момент времени. Просто нахождение в нашей сети не дает автоматического статуса или привилегий (этот момент расширяется в Аутентификации 2.1). Таким образом, хотя мы обеспечиваем безопасность сети, мы гарантируем, что поверхность атаки, связанная с нашими сетями, минимальна.

Lokad использует две известные сети. Первая - это Microsoft Azure, которая используется для размещения нашего решения. Безопасность сети Microsoft Azure полностью делегирована Microsoft. Мы не используем “продвинутые” возможности сети, такие как те, которые предлагает Microsoft Azure, за исключением базовых балансировщиков нагрузки.

Вторая - это локальная сеть нашего офиса в Париже. Безопасность локальной сети внутренне управляется инженерной командой Lokad. Наша локальная сеть не размещает компоненты или системы, которые вносят вклад в производственную среду.

1.13 Гарантируете ли вы, что все компоненты (включая сторонние) и инструменты (включая открытые исходные коды), интегрированные в решение, являются законно допустимыми для разработки и использования в производстве?

Да. У Lokad, по сравнению с большинством поставщиков корпоративного программного обеспечения, очень мало зависимостей. Все наши основные зависимости - это надежные и широко используемые проекты с открытым исходным кодом (например, .NET от Microsoft, React от Facebook). Это делает наш процесс внутренней аудитории по этому конкретному вопросу простым делом.

1.14 Как вы управляете крупными изменениями в организации и процессах с точки зрения безопасности?

Поскольку Lokad с самого начала принял разумные выборы и практики в области безопасности, редко бывает, чтобы изменение любого масштаба (малого или большого) повлияло на безопасность (даже гипотетически). За всю историю Lokad есть только 3 события, которые можно считать действительно значительными с точки зрения безопасности: миграция на Microsoft Azure в 2010 году; введение делегированной аутентификации в 2012 году (как для клиентов, так и для сотрудников); и, внутри Lokad, миграция с аутентификации Google на Microsoft Azure AD в 2022 году.

Для каждого из этих событий миграция была подготовлена задолго до назначенного изменения командой программных инженеров Lokad. Перед запланированным изменением были разработаны соответствующие учебные материалы и проведены тренировочные сессии, чтобы обеспечить готовность всех сотрудников Lokad. Наконец, после каждого события миграции мы убеждались, что предыдущий “путь” был устранен, как это является стандартной практикой Lokad.

На январь 2023 года у нас нет запланированных крупных изменений. Если такое изменение будет внесено, мы почти наверняка будем действовать аналогичным образом.

1.15 Как вы управляете окончанием контракта?

В наших соглашениях подробно описан процесс расторжения контракта, согласованный с клиентом. Процесс расторжения заканчивается окончательным удалением данных клиента. Поскольку этот процесс расторжения сам по себе представляет угрозу безопасности, этот момент обсуждается с каждым клиентом и может немного отличаться в зависимости от случая. С точки зрения безопасности злоумышленник может попытаться выдать себя за клиента, чтобы вызвать преждевременное расторжение контракта (и нарушить операции клиента). Чтобы предотвратить это, Lokad и клиент совместно предпримут усилия для принятия процесса, который не является тривиально уязвимым для атак социальной инженерии, и который закреплен в контракте. Этот процесс обычно включает письменные подтверждения и обязательную задержку.

1.16 Какова лицензионная стратегия Lokad, связанная модель стоимости и ежегодная модель обслуживания?

Lokad обычно взимает фиксированную ежемесячную плату, связанную с операционными расходами платформы, а также фиксированную ежемесячную плату, связанную с услугами, предоставляемыми специалистами по цепочке поставок, выделенными для клиента (т.е. инженерами, предоставляемыми Lokad). Детали прописываются и договариваются в сервисном контракте между клиентом и Lokad. Эти две платы представляют собой “все включено” пакет с Lokad. Нет дополнительных плат за обслуживание, лицензирование, сторонних интеграторов, сторонних консультантов и т.д. Пакет поставляется с ограничениями, в рамках согласованного с контрактом объема и масштаба услуги.

1.17 Можете ли вы предоставить условия лицензии(й), услуги(й), поддержки, обслуживания и обучения от Lokad?

Да, по запросу клиента мы можем предоставить контрактный шаблон, который представляет собой “базовое” соглашение. Однако ситуации существенно различаются в зависимости от масштаба инициативы в сфере поставок, применимых стран и объема услуг, ожидаемых от Lokad. Поэтому, если возможно, мы предпочитаем провести начальное обсуждение с потенциальным клиентом, чтобы уточнить особенности рассматриваемой инициативы в сфере поставок. Это помогает нам разработать наиболее актуальную контрактную основу для данной ситуации.

1.18 Предоставляете ли вы обучение (на месте/онлайн)?

Да, Lokad предоставляет как обучение на месте, так и удаленное обучение. Детали этих сессий обсуждаются в рамках контрактного соглашения. Кроме того, у Lokad есть обширная публичная техническая документация и подробная серия лекций по снабжению. Эти лекции охватывают технологию Lokad и перспективы снабжения.

1.19 Соответствует ли система Lokad соответствующим юридическим/местным стандартам (например, ISO)?

Да, Lokad работает в соответствии с соответствующими стандартами. Однако Lokad осуществляет прогнозирование и оптимизацию цепей поставок, и, таким образом, не контролирует прямо операции. Наше влияние в значительной степени косвенное, обычно через оптимизацию распределения ресурсов. Таким образом, стандарты ISO не имеют отношения к этому (то есть не применимы к Lokad).

1.20 Встроена ли защита от вредоносного ПО на уровне сети, например, на брандмауэрах, прокси-устройствах и/или в сети в виде отдельных решений?

См. Практика 1.12

1.21 Включает ли процесс разработки программного обеспечения интегрированную оценку угроз?

Да. Это основная причина, почему мы предпочитаем учитывать вопросы безопасности “по дизайну”. Исключая целые классы угроз на этапе проектирования, мы делаем практику оценки угроз более управляемой. Оценка угроз также включает “атаки на цепочку поставок”. Вот еще одна причина, по которой мы уделяем такое большое внимание минимизации количества зависимостей от сторонних компонентов в нашем программном стеке, поскольку любая зависимость неизбежно увеличивает площадь атаки.

1.22 Проводится ли процесс управления инцидентами хотя бы ежегодно?

Да. Существует множество различных типов инцидентов. Один из самых частых - это взлом самой клиентской компании. В случае использования вымогательного вредоносного ПО это иногда приводит к тому, что данные Lokad случайно становятся единственным набором данных, к которому все еще есть доступ. В случае кражи личности это иногда приводит к попыткам получить доступ к учетной записи Lokad с помощью украденных учетных данных. Детали различных процессов управления инцидентами согласовываются с клиентской компанией и обычно контролируются ученым в области цепей поставок в Lokad, ответственным за учетную запись (для клиентов, выбравших управляемую учетную запись).

1.23 Проводится ли ежегодный обзор карты рисков и угроз?

Да, хотя такие обзоры обычно проводятся регулярно в течение года. Такие обзоры обычно проводятся в результате значительных событий, таких как заметные нарушения безопасности в программной индустрии.

1.24 Оценивается ли риск также для вспомогательных функций, которые могут повлиять на доступность, качество и/или безопасность решения?

Да. Однако платформа Lokad в основном является монолитом, который не зависит от каких-либо “вспомогательных функций”, кроме нескольких основных фундаментальных, таких как Blob Storage и Linux VM, предоставляемых Microsoft Azure.

1.25 Создаются ли отдельные системные учетные записи - только с необходимыми правами доступа - для запуска системных процессов?

Да, для запуска системных процессов используются отдельные системные учетные записи с соответствующими правами доступа. Lokad использует демоны в виде служб systemd, которые всегда работают от имени пользователей с минимальными привилегиями.

Хотя Lokad не использует SQL-базу данных, платформа использует систему с ролевым доступом для определения прав доступа для запланированных и триггерных процессов. Эти процессы относятся к категории “пользовательских” процессов, а не “системных”.

1.26 Существует ли утвержденный руководством формализованный план управления рисками, который определяет требования программы управления рисками предприятия?

Да, у нас есть формализованный план управления рисками, который был утвержден высшим руководством.

Этот план определяет требования и руководящие принципы нашей программы управления рисками предприятия (ERM). Он разработан для выявления, оценки, управления и контроля рисков в предприятии в структурированной и последовательной форме.

Наш план управления рисками периодически рассматривается и обновляется, чтобы гарантировать его актуальность и соответствие нашим организационным целям и изменяющейся ситуации с рисками. Кроме того, реализация и эффективность программы ERM регулярно сообщаются высшему руководству и заинтересованным сторонам для обеспечения непрерывного контроля и поддержки.

1.27 Существует ли утвержденная руководством физическая программа безопасности, которая сообщается заинтересованным сторонам, и есть ли ответственное лицо, назначенное для ее поддержания и проверки?

Да, у нас есть всеобъемлющая программа физической безопасности, которая была утверждена высшим руководством. Эта программа была тщательно сообщена всем заинтересованным сторонам для обеспечения осведомленности и соблюдения.

Кроме того, у нас есть назначенное ответственное лицо, которое отвечает за поддержание, обновление и периодический анализ программы, чтобы гарантировать ее эффективность и актуальность. Это лицо сотрудничает с различными командами и отделами для решения любых возникающих проблем с физической безопасностью и обеспечивает соответствие программы лучшим практикам и нашим организационным целям.

1.28 Проводятся ли оценки физических и экологических опасностей перед выбором местоположения или площадки объекта, где находятся системы?

Да, оценки физических и экологических опасностей являются неотъемлемой частью нашего процесса принятия решений при выборе местоположения или площадки для наших систем. Поскольку наши системы находятся в центрах обработки данных Microsoft Azure, мы получаем преимущества от строгого процесса выбора и оценки местоположения, проводимого Microsoft Azure. Microsoft Azure проводит обширные оценки потенциальных рисков, включая физические и экологические опасности, перед созданием любого из своих центров обработки данных. Их процесс выбора включает анализ таких факторов, как потенциал природных катастроф, доступность, стабильность инфраструктуры и других.

Используя центры обработки данных Azure, мы уверены, что эти оценки были проведены всесторонне, чтобы обеспечить высочайший уровень физической безопасности и экологической устойчивости наших систем.

1.29 Существует ли документированная внутренняя программа соответствия и этики?

Да, хотя мы не считаем, что “этика” может быть принудительно внедрена сверху вниз. Такой подход неизбежно приводит к нежелательным результатам, противоречащим первоначальным целям.

Известно, что у Enron был написанный кодекс этики. В этом кодексе было подчеркнуто уважение, честность, коммуникация и превосходство. Скандал, связанный с Enron, который стал известен в 2001 году, показал, что компания была замешана в массовом финансовом мошенничестве, что, очевидно, противоречило принципам, изложенным в их кодексе этики. Таким образом, между заявленной письменной этикой Enron и фактическими деловыми практиками и корпоративной культурой существовал полный разрыв.

Таким образом, Lokad делает ставку на то, чтобы сотрудники имели возможность искренне заботиться о наших клиентах. “Мы делаем правильные вещи?” - одно из наших главных правил. Соблюдение норм и этики, по нашему мнению, являются побочным продуктом адекватной корпоративной культуры, а не результатом какой-либо конкретной программы.

1.30 Существует ли внутренний аудит, управление рисками или отдел соответствия или аналогичная функция управления, ответственная за отслеживание урегулирования нерешенных вопросов в области регулирования или соответствия?

Да. Хотя Lokad не настолько крупна, чтобы иметь отдельный отдел, занимающийся внутренними аудитами, управлением рисками или соответствием, мы, конечно, придаем приоритет этим областям. У нас есть определенные лица с опытом в этих областях, которые специально ответственны за обработку и контроль этих важных задач.

Эти лица непосредственно подчиняются высшему руководству Lokad, что обеспечивает, что урегулирование любых нерешенных вопросов в области регулирования или соответствия рассматривается с максимальным приоритетом и получает необходимый контроль на самом высоком уровне нашей организации.

1.31 Существует ли политика или программа беспроводной связи, утвержденная руководством, сообщенная соответствующим заинтересованным лицам и назначен владелец для ее поддержания и проверки?

Да, у Lokad есть четко определенная политика беспроводной связи, которая была утверждена руководством и сообщена всем заинтересованным лицам для обеспечения соблюдения. Эта политика различает две независимые и изолированные беспроводные сети Wi-Fi: одну, предназначенную для сотрудников, и другую, специально для гостей. Это разграничение обеспечивает безопасность наших основных операций, даже когда мы предоставляем подключение для гостей или посетителей.

Однако важно отметить, что наш основной способ подключения - через Ethernet, который имеет превосходную производительность и улучшенную безопасность. Беспроводные сети в основном используются для проведения совещаний и предоставления гибкости в определенных ситуациях.

Кроме того, мы назначили владельца политики, который отвечает за ее поддержание и периодический просмотр, чтобы она оставалась актуальной и эффективной в решении изменяющихся потребностей и вызовов.

2. Аутентификация

2.1 Вы требуете аутентификацию для всех доступов?

Да. Для доступа к клиентским данным и/или любым значительным возможностям решения требуется предварительная аутентификация. Однако, по необходимости, некоторые точки контакта не подлежат аутентификации. Например, доступ к веб-странице входа не требует предварительной аутентификации (поскольку аутентификация является основной целью этой веб-страницы входа).

В целом, очень немногие технические конечные точки не требуют аутентификации, и они обычно являются частью инструментария платформы (например, конечная точка, используемая только для проверки работоспособности машины). Следует отметить, что неаутентифицированные конечные точки не раскрывают никаких конфиденциальных данных, не говоря уже о фактических клиентских данных.

2.2 Требуется ли вам, чтобы все удаленные доступы были защищены? Вы принуждаете использование HTTPS для веб-подключений?

Да. Обеспечение безопасности удаленных доступов означает наличие правильной аутентификации, правильной авторизации и шифрования транспортного канала самого по себе - все это мы обеспечиваем. Это положение касается как клиентских пользователей, так и сотрудников Lokad. Даже для инженерной команды Lokad нет “незащищенного локального доступа” к нашим производственным системам. Мы не используем никакого вида “локальности” сети как обхода безопасности.

2.3 Предлагаете ли вы SSO (одноэтапную аутентификацию)? Поддерживаете ли вы Active Directory (AD)?

Да. Мы предлагаем SSO (одноэтапную аутентификацию) через протокол SAML. Active Directory поддерживает SAML и может использоваться для доступа к Lokad.

2.4 Поддерживаете ли вы двухфакторную аутентификацию, такую как EZToken, Google Authenticator или Microsoft Authenticator?

Да. Двухфакторная аутентификация достигается через делегированную аутентификацию через SAML. Через SAML Lokad не управляет ни первым фактором аутентификации, ни вторым, так как этот процесс делегируется.

2.5 Поддерживаете ли вы протокол аутентификации OAuth2?

По умолчанию Lokad поддерживает протокол аутентификации SAML. Этот протокол поддерживается основными федеративными системами идентификации, такими как Microsoft Office 365 или Google Workspace. Проблема поддержки OAuth2 заключается в том, что OAuth2 на самом деле не является “протоколом аутентификации”, а набором очень обширных рекомендаций по разработке “протоколов аутентификации”, которые могут различаться десятками способов.

В результате мы наблюдаем, что различные реализации OAuth2, существующие в области корпоративного программного обеспечения, часто являются в значительной степени несовместимыми. Таким образом, если OAuth2 является абсолютным требованием в соответствии с контрактным соглашением, мы можем поддержать конкретный вариант OAuth2. Однако для этого требуются отдельные ресурсы для обеспечения совместимости с вариантом OAuth2, используемым клиентской компанией.

2.6 Поддерживаете ли вы интеграцию с LDAP?

Да, через промежуточный мост, который использует SAML поверх LDAP. Однако большинство федеративных систем идентификации, поддерживающих LDAP, также поддерживают SAML. Поэтому мы рекомендуем использовать SAML напрямую.

2.7 Вы обязываете двухфакторную аутентификацию?

Для сотрудников Lokad - да. Для сотрудников клиента мы настоятельно рекомендуем ее использовать, но в конечном итоге мы не можем ее обязать (так как аутентификация обычно делегируется через SSO). Этот вопрос находится в компетенции IT-отдела наших клиентов, а не нашей.

2.8 Можете ли вы обеспечить минимальную сложность пароля?

Да, но в ограниченной степени. Что касается безопасности программного обеспечения, требование минимальной сложности пароля теперь широко признано как плохая практика. Пользователи реагируют плохо (и предсказуемо) на слишком строгие требования к сложности пароля, что приводит к снижению общего уровня безопасности. Кроме того, мы считаем такие требования к паролю “надувательством”, которое увеличивает сложность критической для безопасности части программного обеспечения (управление паролями), тем самым подвергая его (и всю систему в целом) ненужным рискам. См. https://www.sans.org/blog/nist-has-spoken-death-to-complexity-long-live-the-passphrase/

Мы настоятельно рекомендуем использовать SSO вместо традиционных паролей/стратегий. Через SSO нет необходимости вводить какой-либо пароль, предназначенный для Lokad.

2.9 Можете ли вы обеспечить периодическую смену паролей?

Мы могли бы, но мы этого не делаем. Подобно минимальной сложности пароля (см. Аутентификация 2.8), периодическая смена паролей теперь широко признана как плохая практика в области безопасности программного обеспечения. Пользователи реагируют плохо (и предсказуемо) на периодическую смену паролей. Безопасность может даже ослабеть, так как сотрудники часто вносят только незначительные изменения в пароли (чтобы снизить когнитивную нагрузку, связанную с частой сменой). Как и в случае с минимальной сложностью пароля, мы считаем смену паролей “надувательством”, которое увеличивает сложность критической для безопасности части программного обеспечения (управление паролями), тем самым подвергая его (и всю систему в целом) ненужным рискам. См. https://www.sans.org/blog/time-for-password-expiration-to-die/

2.10 Хешируете ли вы пароли с использованием соли?

Да. Мы используем scrypt в качестве функции хеширования паролей. В целом мы настоятельно рекомендуем использовать SSO вместо традиционных паролей/стратегий. Через SSO нет необходимости вводить какой-либо пароль, предназначенный для Lokad.

2.11 Позволяет ли решение Lokad использовать CAPTCHA после определенного количества неудачных попыток аутентификации?

Да, через делегирование аутентификации (через SSO). В то время как CAPTCHA являются ценным подходом для смягчения нескольких векторов атаки, они относятся к категории программных компонентов, которые лучше оставить полностью за пределами области оптимизации цепочки поставок, такой как решение Lokad. Кроме того, добавленная ценность CAPTCHA в контексте корпоративного программного обеспечения менее очевидна, чем в случае программного обеспечения для потребителей, особенно бесплатного программного обеспечения.

2.12 У вас есть общая политика безопасности для паролей? У вас есть процесс для ее соблюдения?

Да. Наша общая политика безопасности для паролей - “нет паролей”. Мы настоятельно рекомендуем использовать SSO, что устраняет необходимость вводить пароли, предназначенные для Lokad.

2.13 Вы централизуете управление пользователями?

Да. У Lokad есть собственная централизованная система управления пользователями для решения, которое мы эксплуатируем. Эта подсистема была реализована Lokad и также охватывает доступы сотрудников Lokad, включая наши инженерные команды.

2.14 Разрешаете ли вы использование общих учетных записей?

Нет. Lokad обеспечивает соответствие 1 к 1 между сотрудниками и пользователями (как видно платформой Lokad). Мы настоятельно не рекомендуем использование общих учетных записей. Фактически, одной из причин, по которой мы не взимаем плату за пользователя, является избежание стимула для наших клиентов делиться учетными записями среди своих сотрудников. Однако есть несколько случаев, когда допустимо иметь учетную запись пользователя, не имеющую соответствующего сотрудника. Это обычно происходит для клиентской “загрузки робота” на стороне клиента, отвечающей за передачу данных в Lokad. В рамках нашей системы управления доступом на основе ролей (RBAC) у нас есть отдельная роль (называемая “uploader”), которая предоставляет минимальные права для этого единственного случая использования.

2.15 Предоставляете ли вы безопасные VPN-соединения?

Нет. Подключения конечных пользователей осуществляются через зашифрованные каналы (обычно TLS).

2.16 Разрешаете ли вы пользователям входить с нескольких устройств?

Да, с ограничениями. В общем случае, верхний предел составляет 6 устройств на пользователя (мы не взимаем плату за разрешение использования нескольких устройств). Каждая сессия ограничена одним IP-адресом. Однако Lokad оставляет за собой право изменить это ограничение для противодействия некоторым потенциальным угрозам и/или злоупотреблениям.

2.17 Имеет ли решение возможность принудительно блокировать и/или выходить из системы пользователя (если он считается злонамеренным)?

Да. Для использования этой функции требуются права доступа “Владелец” в учетной записи Lokad.

2.18 Автоматически ли система выходит из системы неактивного пользователя после определенного времени бездействия?

Да, хотя “бездействие” не является существенным фактором. Lokad автоматически выходит из системы пользователей после определенного времени. Пользователи не могут отложить выход из системы, будучи “активными”; после достижения указанного времени пользователи должны повторно аутентифицироваться.

2.19 Запрещено ли использование общих учетных записей и/или учетных данных доступа, и контролируется ли соблюдение этих политик?

Да. См. Аутентификация 2.14.

2.20 Распространяются ли идентификаторы пользователей и пароли через разные средства связи (например, электронную почту и телефон)?

Да, мы придерживаемся безопасности учетных данных пользователей и обеспечиваем их передачу в соответствии с лучшими практиками. Внутренне наши системы используют Azure Active Directory для аутентификации пользователей. При распространении идентификаторов пользователей и начальных паролей Azure Active Directory следует своим стандартным шаблонам, разработанным с учетом безопасности. Более того, мы обеспечиваем двухфакторную аутентификацию для нашего Azure AD, добавляя дополнительный уровень безопасности к процессу аутентификации.

Внешне, для сотрудников клиента, подключающихся к нашим системам, мы настоятельно рекомендуем использовать Single Sign-On (SSO) и федеративные системы идентификации. Эти системы, по своей природе, поддерживают передовые методы управления учетными данными, обеспечивая передачу учетных данных в безопасных способах, часто включающих отдельные каналы или методы для идентификаторов пользователей и механизмов аутентификации.

Следует отметить, что мы не рекомендуем однофакторную аутентификацию, будь то для внутренних или внешних пользователей, если целью является поддержание высокого уровня безопасности.

2.21 Отключаются ли и удаляются неактивные пользовательские идентификаторы после определенного периода бездействия?

Да, мы активно управляем и контролируем пользовательские идентификаторы для обеспечения безопасности. Для сотрудников Lokad наша политика предписывает отзывать все права доступа в их последний рабочий день, чтобы исключить возможность доступа после увольнения.

Для наших клиентов мы рекомендуем использовать единую систему входа (SSO) и федеративные системы идентификации. Этот подход упрощает управление доступом. Например, когда клиент удаляет сотрудника из своей системы идентификации, доступ к Lokad автоматически прекращается. Этот метод не только повышает безопасность, но и обеспечивает эффективность управления пользователями.

Примечание: конкретные условия прекращения доступа пользователей подробно описаны в наших контрактных соглашениях с каждым клиентом. Lokad твердо признает потенциальное операционное влияние преждевременного отключения учетной записи и предпринимает активные меры для предотвращения таких ситуаций. Чтобы избежать непреднамеренных нарушений, условия прекращения доступа пользователей явно оговорены в контракте или в согласованной процедуре, чтобы обеспечить соответствие мер безопасности Lokad операционным потребностям наших клиентов.

3. Авторизация

3.1 Предоставляет ли решение точные права доступа?

Да. Решение Lokad включает подсистему RBAC (Role-Based Access Control) с гранулярным управлением доступом. Это позволяет клиенту контролировать доступ к “Проектам” и “Файлам” в учетной записи Lokad. RBAC имеет собственный веб-интерфейс (панель управления), доступный всем пользователям с назначением “Владелец” в учетной записи Lokad. Дополнительную информацию см. в нашей документации по ролям и разрешениям пользователей.

3.2 Позволяет ли решение клиенту настраивать доступ в соответствии с принципом наименьших привилегий (PoLP)?

Да. Решение Lokad включает подсистему RBAC (Role-Based Access Control) с гранулярным управлением доступом, которая может использоваться для реализации принципа PoLP. Однако, благодаря Envision (DSL решения), Lokad идет намного дальше, чем большинство корпоративного программного обеспечения, в отношении этого принципа.

С помощью Envision Lokad устраняет целые группы системных привилегий, которые просто не имеют значения для оптимизации цепочки поставок. Оставшееся упрощено, но все еще имеет широкие возможности настройки. Аналогично, специальная файловая система, предлагаемая Lokad, также устраняет целые группы ненужных системных привилегий.

3.3 Принудительно ли применяются права доступа наименьших привилегий?

Да, хотя “наименьшая допустимая” привилегия в конечном итоге определяется нашими клиентами. Lokad не может односторонне определить, кому будет предоставлено назначение “Владелец” в штате клиента. Однако, мы можем предоставить рекомендации в этом вопросе. На практике, для наших “управляемых” клиентов - тех, кто получает поддержку от команды Supply Chain Scientists Lokad - мы уточняем (письменно) желаемую организацию и соответствующие права доступа.

3.4 Может ли решение скрыть определенную сущность в системе от назначенных пользователей?

Да. Это форма реализации принципа PoLP и описана в ответах 3.1, 3.2 и 3.3.

3.5 Имеется ли классификация данных (уровни конфиденциальности) и настройка контроля в соответствии с этой классификацией?

Да. Встроенный элемент Lokad по умолчанию ограничивает доступ ко всем административным данным (например, списку пользователей с учетной записью) только для “Владельцев” учетной записи. Это наивысшая и наиболее привилегированная роль в RBAC (Role-Based Access Control). Все остальные данные в учетной записи Lokad могут быть сегментированы в соответствии с пользовательской классификацией конфиденциальности. Эта классификация может быть применена как к исходным данным (загруженным клиентом), так и к преобразованным данным (результату преобразований данных, выполняемых в платформе Lokad).

Дополнительную информацию о контроле доступа и назначениях см. в ответах 3.1, 3.2 и 3.3.

3.6 Может ли решение авторизовывать или блокировать пользователей/роли/транзакции в режиме реального времени?

Да, хотя “в режиме реального времени” требует уточнения в контексте распределенной компьютерной системы (например, решения Lokad). Обновления RBAC (Role-Based Access Control) происходят синхронно, что означает, что обновления становятся активными в течение нескольких секунд (обычно меньше). Нет заметных задержек (например, ожидание в течение одного часа или одного дня).

Что касается прерывания транзакций, это не имеет отношения, так как у Lokad нет транзакционной базы данных. Однако Lokad может прерывать длительные асинхронные операции (называемые в Lokad “запусками проекта”). Когда происходит прерывание, оно немедленно (синхронно) гарантирует, что обработка не повлияет на систему, например, перезапись файлов. Однако остановка обработки является асинхронной и обычно вступает в силу в течение 20 секунд.

3.7 Ограничивает ли решение доступ к персональной идентифицирующей информации (PII) только пользователям с правильным уровнем разрешений?

Да, хотя решение не предназначено для хранения каких-либо данных PII (за исключением идентификаторов аутентификации сотрудников, имеющих доступ к решению). Это относится как к Lokad, так и к клиенту. Внутри решения только сотрудники с назначением “Владелец” имеют доступ к списку пользователей. В целях оптимизации цепочки поставок Lokad не нуждается (и не получает выгоды) от данных PII, и у нас есть контрактные условия на это (объяснено в Практиках 1.4 и Практиках 1.5).

Дополнительную информацию о контроле доступа и назначениях см. в ответах 3.1, 3.2 и 3.3.

3.8 Позволяет ли решение использовать фильтры поиска данных персональной идентифицирующей информации (PII), запрещающие поиск с использованием подстановочных символов?

Да. Однако пользователь с назначением “Владелец” в учетной записи Lokad может получить доступ ко всем пользователям (включая сотрудников клиента), которым разрешен доступ к учетной записи. Lokad не может ограничить эту возможность, так как наши клиенты должны иметь возможность полностью проверить список пользователей, имеющих доступ к их собственной учетной записи.

3.9 Оборудована ли система технологией WAF (Web Application Firewall)?

Нет. WAF является несомненно опасным дизайном, так как он нарушает принцип безопасности “наименьших привилегий”: компоненту предоставляются огромные привилегии для работы в режиме “человек посередине”. Это делает сам WAF основной целью для атакующих и значительно расширяет поверхность атаки платформы. Однако Lokad тщательно контролирует свой веб-трафик и аномальное поведение пользователей на нашей собственной платформе. Однако эти возможности являются частью самой платформы и, следовательно, не делегируются привилегированным изолированным сторонним программным компонентам.

См. также Сотрудники 6.6.

3.10 Оборудована ли сеть технологией IPS (Intrusion Prevention System)?

Нет. IPS является несомненно опасным дизайном, так как он нарушает принцип безопасности “наименьших привилегий”: компоненту предоставляются огромные привилегии для работы в режиме “человек посередине”. Это делает сам IPS основной целью для атакующих и значительно расширяет поверхность атаки платформы. Для укрепления платформы Lokad против вторжений наш дизайн начинается с минимизации площади поверхности атаки. Мы считаем, что намного безопаснее устранить пути для вторжения на этапе проектирования, а не пытаться “предотвратить” их как послеумышленное действие.

См. также Сотрудники 6.6.

3.11 Использует ли сервис технологию защиты от DoS (Denial-of-Service)?

Да. Lokad использует ReCaptcha, ограничения скорости nginx и собственные специфические компоненты (например, раннюю ошибку при недействительной аутентификации).

3.12 Вся административная работа в производственной среде выполняется через промежуточные хосты или бастионные серверы?

Да. У нас есть система, которая по сути аналогична ‘Teleport’. Она не только обеспечивает полную прослеживаемость всех доступов, но также облегчает безопасное отзыв прав доступа у сотрудников.

3.13 Существует ли четкий процесс авторизации для предоставления административного доступа (и процесс, который обеспечивает надежный журнал аудита)?

Да. См. Журналирование и мониторинг 5.1 и 5.11.

3.14 Существует ли систематический и регулярный процесс проверки прав доступа (выполняемый уполномоченным лицом), при котором права административного доступа проверяются по всем измененным ролям и обязанностям?

Да. Существуют два уровня прав административного доступа.

Первый уровень: административные права для поддержки инфраструктуры Lokad. Эти права предоставляются и контролируются IT-отделом Lokad.

Второй уровень: административные права доступа в каждом аккаунте Lokad. Эти права предоставляются и контролируются ученым по цепочке поставок, ответственным за аккаунт - для наших управляемых аккаунтов. В противном случае, эти права предоставляются и контролируются самой клиентской компанией, если аккаунт не управляется напрямую Lokad/ученым по цепочке поставок.

3.15 Следует ли ваша политика ограничения доступа принципу “наименьших привилегий”, когда разрешен только необходимый и утвержденный трафик?

Да. Мы применяем принцип наименьших привилегий (PoLP) ко всем уровням доступа к нашей инфраструктуре, включая сетевой трафик. Строгость ограничений доступа варьируется в зависимости от случая использования. Например, для некоторых доступов разрешен только определенный аутентифицированный пользователь с определенного IP-адреса. В других сценариях доступ разрешен для любого пользователя из любой точки мира, как это происходит с содержимым нашей CDN (Content Delivery Network).

См. также Авторизация 3.3.

3.16 Ограничены ли исходящие соединения из производственной среды?

Нет, исходящие соединения из производственной среды не ограничены универсально. Хотя некоторые специализированные серверы, такие как балансировщики нагрузки, имеют ограничения на исходящие соединения, большинство наших серверов этим не обладают.

Наши производственные виртуальные машины требуют доступа к нескольким внешним API. Большая часть этих API размещается в Microsoft Azure, за исключением некоторых, например letsencrypt.org. Мы пришли к выводу, что поддержание строгого белого списка IP-адресов может привести к сложностям, которые могут перекрыть преимущества. Ограничение исходящих соединений может предложить ограниченные преимущества с точки зрения безопасности, но также может привести к осложнениям, которые потенциально подрывают безопасность нашей производственной среды.

3.17 Есть ли доступная клиентам/клиентам форма связи (например, электронная почта, веб-форма, телефон и т. д.) 24/7/365 для сообщения о происшествиях в области безопасности?

Да, мы реализовали стандарт security.txt, чтобы облегчить сообщение о происшествиях в области безопасности.

Подход security.txt является широко признанным шаблоном в области веб-безопасности, при котором на веб-сайте размещается специальный текстовый файл. В этом текстовом файле указаны сведения о том, как сообщать о найденных уязвимостях в безопасности.

Наш файл security.txt можно найти по адресу https://www.lokad.com/.well-known/security.txt, и в нем описан актуальный процесс сообщения о происшествиях в области безопасности. Это гарантирует, что любой, будь то клиент, клиент или исследователь в области безопасности, сможет легко найти соответствующие контактные данные и руководство по сообщению о проблемах безопасности нам.

Пожалуйста, обратите внимание, что хотя процесс, описанный в ‘security.txt’, может быть пересмотрен, самая актуальная и точная информация всегда будет доступна по этому адресу. Мы гарантируем, что каналы связи, упомянутые в файле, будь то электронная почта, веб-форма или другое средство, обслуживаются и доступны 24/7/365 для оперативного реагирования на сообщения о безопасности.

4. Управление данными

4.1 Где вы размещаете и обрабатываете данные?

Наша платформа SaaS (Software as a Service) на 100% размещена на Microsoft Azure; более точно, она размещена в центре обработки данных Microsoft Azure в Европе Северной (расположенном в Дублине). Наши резервные копии хранятся в центре обработки данных Microsoft Azure в Европе Западной (расположенном в Амстердаме). В случае крупного сбоя в центре обработки данных у нас есть планы аварийного переезда платформы в Дублин. С момента нашей миграции на Microsoft Azure в 2010 году мы никогда не сталкивались с такой ситуацией. Все данные наших клиентов находятся в Европе, где они останутся даже в случае крупного сбоя в центре обработки данных.

4.2 Кто владеет данными?

Наши клиенты остаются единственными владельцами всех данных, которые они загружают в Lokad. Наши клиенты также остаются единственными владельцами всех данных, которые они генерируют через свою учетную запись Lokad на платформе Lokad. Lokad не использует внутренне данные клиентов ни для каких других целей, кроме тех, которые непосредственно способствуют задачам, которые наши клиенты поручили нам выполнить. Lokad не продает доступ к данным клиентов третьим лицам. Lokad не предоставляет доступ к данным клиентов, за исключением нескольких хостинг-провайдеров, которые непосредственно способствуют выполнению поставленной задачи (например, аренда виртуальных машин с платформы облачных вычислений для выполнения вычислений по запросу наших клиентов).

4.3 Обрабатывается ли управление базой данных внутренне или внешне?

Управление слоем данных Lokad выполняется инженерными командами Lokad. Как уже упоминалось ранее, основная платформа Lokad не включает транзакционную базу данных (см. Авторизация 3.6), так как Lokad использует хранилище событий. Это хранилище событий реализовано и полностью управляется Lokad.

4.4 Имеет ли решение возможность переключения между базой данных RDBMS (PostgreSQL, Oracle, MySQL) и базой данных NoSQL (Cosmos)?

Теоретически - да, но это не имеет значения, так как решение Lokad не использует RDMBS. Слой сохранения данных решения Lokad использует хранилище событий и хранилище ключ-значение. Этот подход существенно отличается от распространенного в корпоративном программном обеспечении подхода CRUD (Create-Read-Update-Delete). Поскольку Lokad является решением SaaS, мы полностью отвечаем за сохранение данных и обеспечение обратной совместимости (чтобы гарантировать доступность старых данных).

4.5 Вовлечены ли третьи стороны в работу решения?

Да, в основном это подлежащая облачная платформа вычислений, которую использует Lokad - Microsoft Azure. Список третьих сторон, участвующих в работе решения, очень короткий и ограничен нижестоящей инфраструктурой хостинга. Lokad не использует третьих сторон для разработки, администрирования или эксплуатации собственного решения. В частности, наши инженерные команды и команды технической поддержки являются внутренними.

4.6 Разделяете ли вы слои (сеть, серверы и приложения)?

Да, однако управление сетями и серверами на низком уровне делегируется подлежащей облачной платформе вычислений, которую использует Lokad - Microsoft Azure. Таким образом, разделение сетевого и серверного уровней в основном находится за пределами периметра, управляемого Lokad. В рамках решения Lokad мы строго ограничиваем привилегии, предоставляемые прикладным слоям, чтобы они не могли администрировать свою собственную инфраструктуру (например, прикладные слои не имеют доступа на запись к управлению DNS).

4.7 Есть ли у вас процесс обеспечения постоянного удаления данных?

Да, хотя выполнение всех этапов может занять несколько недель. Процесс включает в себя официальный письменный запрос, который должен быть выдан уполномоченной стороной в организации клиента, с целью окончательного удаления соответствующих данных. На практике, конкретные положения для таких запросов включены в контрактное соглашение между Lokad и его клиентами. Сначала данные будут удалены из нашей основной производственной системы, а затем из нашей системы резервного копирования. Последний этап является причиной относительной “медлительности” операции. Это выбор дизайна, так как после удаления данных из нашей основной системы, они больше не могут быть доступны (за исключением чрезвычайных процессов восстановления после катастрофы).

По умолчанию решение Lokad гарантирует, что все стандартные операции удаления являются мягкими удалениями (т.е. не являются окончательными удалениями). Этот дизайн необходим для предотвращения целых классов проблем безопасности, таких как случайное удаление данных сотрудником клиента или злонамеренное удаление злоумышленником. Кроме того, для смягчения атак социальной инженерии, таких как сценарий, в котором злоумышленник выдает себя за сотрудника клиента, требуется намеренно медленный процесс окончательного удаления.

4.8 Обладает ли решение возможностью мягкого удаления данных?

Да. Решение Lokad использует дизайн событийного источника. Таким образом, все операции удаления являются мягкими удалениями, и их можно отслеживать и отменять по желанию.

4.9 Предоставляете ли вы прямой доступ к базе данных?

Да, в том смысле, что файловая система - часть решения Lokad - может быть доступна через протоколы, такие как FTPS и SFTP. Этот доступ является обширным, поскольку все данные, используемые в качестве входных или производимые в качестве выходных, хранятся в этой файловой системе.

Однако, поскольку у Lokad нет транзакционной базы данных, нет базы данных, к которой можно было бы получить “доступ”. Ближайший эквивалент в архитектуре Lokad - это наш журнал событий, и мы не предлагаем прямого доступа к потоку событий. Однако, если клиент запросит некоторые конкретные извлечения из этого потока событий (при наличии действительного случая использования), могут быть предусмотрены соответствующие положения в контрактном соглашении.

4.10. Как решение интегрирует внешние данные?

Решение может использовать несколько протоколов для интеграции внешних данных, наиболее известные из которых - FTPS и SFTP. Также доступен веб-интерфейс пользователя для ручной загрузки файлов. Решение Lokad может интегрировать любые разумные табличные данные. Дополнительную информацию о возможностях внешней интеграции данных Lokad см. в Разделе IT-перспективы Lokad 2.15.

4.11 Обладает ли система возможностью обработки изменений данных (CDC) из потоков реального времени?

Да, при условии заключения специального контрактного соглашения с клиентом. Захват изменений данных - это шаблон проектирования программного обеспечения, а не конкретный стандарт данных или протокол передачи данных, и ожидания “реального времени” могут варьироваться от задержек в субмиллисекундах до задержек в субминутах. Возможности в этой области должны быть оценены с точки зрения цепочки поставок. По нашему опыту, потоки данных в режиме реального времени редко являются актуальными для решения проблем цепочки поставок.

4.12 Можно ли экспортировать все данные внутри решения?

Да, все данные, доступные через файловую систему в учетной записи Lokad, могут быть экспортированы через протоколы, такие как FTPS или SFTP.

4.13 Предлагает ли решение инструменты для экспорта данных?

Да, решение Lokad предлагает DSL (язык, специфичный для предметной области) под названием Envision, разработанный для аналитики цепочки поставок. Envision предлагает обширные возможности для изменения формата данных в учетной записи Lokad.

4.14 Каков будет формат экспортированных данных?

Платформа Lokad поддерживает все распространенные табличные форматы, включая CSV и XLS (Microsoft Excel). Платформа поддерживает множество параметров, касающихся формата чисел, дат, разделителей, кодировки текста, заголовков и т. д.

4.15 Обладает ли решение прозрачным шифрованием данных с личной идентификационной информацией (PII) в мобильном и бэк-энд хранилище?

Прозрачное шифрование данных используется как в бэк-энд хранилище Lokad (через шифрование данных в покое Azure Storage), так и на устройствах, выданных Lokad (через BitLocker). Lokad не хранит PII на устройствах без включенного TDE.

4.16 Все ли пароли и секреты, используемые в приложении, зашифрованы и недоступны в виде обычного текста в исходном коде, конфигурационных файлах, параметрах сборки и т. д.?

Да. Все секреты на уровне платформы хранятся в Key Vault, сервисе, предлагаемом Microsoft Azure. Пароли пользователей внутренне солятся и хешируются с использованием Scrypt в соответствии со стандартными практиками.

4.17 Обладает ли решение возможностью ограничивать загрузку файлов на основе типа и размера файлов, а также сканировать их на наличие вредоносного содержимого?

Да, в ограниченной степени. Что касается размера файла, оптимизация цепочки поставок часто требует обработки больших файлов. Размеры этих файлов отражают извлечение исторических бизнес-данных, которые мы в конечном итоге обрабатываем (например, исторические заказы на продажу). Учитывая эту реальность, платформа Lokad поддерживает файлы размером до 100 ГБ.

Что касается типа файла, у нас есть белый список известных расширений и ожидаемых форматов. В случае допустимого использования этот параметр может быть настроен. Это изменение будет отражено в нашем контракте.

Что касается возможности сканирования на наличие вредоносного содержимого, у Lokad нет такой функции. Наше решение акцентирует внимание на обмене созданным платформой контентом. Более того, сама концепция, которую мы приняли, гарантирует безопасность файлов, созданных в Lokad, даже если входные файлы этим не обладают. Напротив, благодаря своей концепции, решение Lokad снижает акцент на обмене контентом, загруженным пользователями, через Lokad.

4.18 Какой рекомендуется срок хранения данных?

Lokad является SaaS, поэтому мы несем ответственность за выбор соответствующего срока хранения данных, и этот срок может варьироваться в зависимости от типа данных. Транзакционные исторические данные, передаваемые клиентом в Lokad через конвейер извлечения данных, обычно сохраняются на протяжении работы Lokad. Действительно, исторические данные обычно стоит сохранять в течение произвольно длительного периода (вне границ работы Lokad). С другой стороны, есть данные инструментирования, отражающие детализированную производительность нашей платформы. Эти данные полезны только для устранения непредвиденных замедлений в работе платформы. Эти данные обычно имеют крайне мелкую структуру и обычно не сохраняются более нескольких недель.

4.19 Предоставляете ли вы документацию по структуре данных?

Да, в рамках “Совместной процедурной инструкции”. Следует отметить, что Lokad не использует реляционную базу данных, в отличие от большинства корпоративного программного обеспечения. Вместо этого мы используем парадигму событийного источника. Однако структуры данных, интересующие клиентскую компанию, не находятся в источнике событий, а в плоских файлах, создаваемых с помощью скриптов Envision в платформе Lokad. Эти плоские файлы разработаны таким образом, чтобы соответствовать конкретным требованиям клиентской компании. Документация по этим файлам включена в “Совместную процедурную инструкцию” - один из результатов типичной инициативы Lokad.

4.20 Является ли сегментация данных от других клиентов частью системного проектирования?

Да, хотя Lokad является многопользовательским приложением, данные разделяются на уровне проектирования между арендаторами, то есть клиентскими учетными записями. Это разделение является важной составляющей нашего проектирования на бэк-энде. Такое проектирование предотвращает программные ошибки, которые могут раскрыть данные одного арендатора другому арендатору при разработке обычных функций в платформе. Основное хранилище, используемое Lokad - Blob Storage от Microsoft Azure, облегчает такое строгое разделение на уровне проектирования.

4.21 Принимаются ли эффективные меры для обеспечения того, чтобы данные клиентов не использовались в средах разработки и тестирования?

Да, по умолчанию команда разработчиков программного обеспечения не имеет прямого доступа к данным клиентов. Мы разработали обширные среды с “моковыми” данными и “моковыми” наборами данных, чтобы команда разработчиков программного обеспечения могла работать без проблем без доступа к данным клиентов. Lokad также внутренне использует свою собственную платформу для обработки данных (например, анализа детализированного потребления ресурсов облачных вычислений, полученных от Microsoft Azure). Эта практика “dogfooding” гарантирует, что у Lokad также есть достаточное количество несущественных данных для использования в целях разработки и тестирования.

Однако мы разработали специальный ограниченный конвейер для доступа к минимальным (только для чтения) фрагментам данных клиентов в диагностических целях. Этот конвейер автоматически обеспечивает строгое и полностью автоматизированное минимизирование извлекаемых данных. Этот конвейер также автоматически обеспечивает удаление данных в конце диагностической операции. См. 4.22 для получения более подробной информации об этом ограниченном конвейере.

4.22 Если для разработки или тестирования требуется ограниченное использование данных клиентов, существует ли определенный процесс для обеспечения безопасного и полного удаления данных в средах разработки и тестирования?

Да, мы разработали специальный (только для чтения) конвейер данных, предназначенный для исключительного использования данных клиентов в диагностических целях - обычно для тестирования производительности. Этот конвейер данных доступен только для ограниченной части команды разработчиков программного обеспечения.

Этот конвейер данных разработан для автоматического минимизирования фрагмента данных клиентов, извлекаемого для интересующей диагностики. Эта возможность позволяет нам работать с тем, что обычно составляет очень малую долю исходных данных (как в клиентском аккаунте). Кроме того, это устраняет необходимость вручную выбирать данные для извлечения командой разработчиков.

Наконец, этот конвейер данных автоматически удаляет извлеченные данные в конце диагностической операции.

4.23 Известны и задокументированы все физические местоположения данных клиентов, включая резервные и системы повышенной доступности?

Да. Все данные клиентов хранятся в физически защищенных центрах обработки данных Microsoft Azure, включая резервные копии. Мы не храним данные клиентов локально (т.е. на территории Lokad), и данные клиентов не хранятся на устройствах сотрудников.

4.24 Доступ к физическим местоположениям серверов ограничен сотрудниками, которым это необходимо для выполнения их работы?

Да, хотя данные клиентов Lokad хранятся в безопасных центрах обработки данных Microsoft Azure - местоположение, к которому Lokad не имеет физического доступа. Физическое местоположение центров обработки данных Microsoft является общедоступной информацией, и выбор центров обработки данных Lokad задокументирован публично.

4.25 Хранится ли первичный номер счета (PAN), только если это абсолютно необходимо для законных деловых целей?

Lokad не получает, не хранит и не управляет никакими PAN клиентов.

PAN (Primary Account Number) обычно относится к основному номеру на кредитной карте или дебетовой карте. Это последовательность чисел, выпуклых или напечатанных на лицевой стороне карты и используемых для уникальной идентификации банковского счета, привязанного к карте.

Для обработки платежей мы полностью полагаемся на сторонних поставщиков, которые управляют PAN для нас. Однако следует отметить, что большинство транзакций, получаемых Lokad, осуществляются через банковский перевод, что полностью исключает проблему управления PAN.

У нас есть несколько PAN - для собственных карт Lokad - которые мы безопасно управляем, следуя рекомендациям самих банков.

4.26 Никогда ли неотшифрованные первичные номера счетов (PAN) не отправляются с помощью технологий обмена сообщениями конечных пользователей (например, по электронной почте, мгновенным сообщениям и чату)?

Да, неотшифрованные PAN (Primary Account Numbers) никогда не отправляются через незащищенные каналы, такие как электронная почта. Lokad предоставляет встроенный защищенный канал связи на своей платформе, который является более надежной альтернативой для передачи конфиденциальных материалов. Мы рекомендуем использовать этот канал, когда использование незащищенного канала представляет значительный бизнес-риск.

Примечание: По конструкции Lokad не получает, не хранит и не управляет никакими PAN клиентов. Следовательно, нет передачи неотшифрованных PAN.

См. также хранение PAN

4.27 У вас есть договор с поставщиком(ами) облачных вычислений, и содержит ли этот договор положения, касающиеся организации информационной безопасности поставщика(ов) облачных вычислений?

Да, у Lokad есть договор о предоставлении услуг предприятия (EA) с Microsoft для облачных вычислений Azure. Договор о предоставлении услуг предприятия обычно включает различные условия, касающиеся использования услуг, включая обязательства по безопасности облачной среды.

Microsoft Azure, как один из ведущих поставщиков облачных услуг, уделяет большое внимание безопасности. Azure имеет комплексный набор функций и практик безопасности для защиты данных в облаке, и они часто отражены в их контрактных соглашениях с корпоративными клиентами.

Хотя мы не можем разглашать конкретные детали нашего контрактного соглашения публично, после более чем десятилетнего сотрудничества с Microsoft мы удовлетворены тем, что это соглашение соответствует нашим требованиям и стандартам безопасности.

4.28 Включены ли в обработку данных клиента субподрядчики?

Нет, Lokad не передает обработку данных клиента субподрядчикам. Что касается платформы Lokad, мы покупаем вычислительные ресурсы - в основном виртуальные машины и блоб-хранилище - у Microsoft Azure, но помимо этого никакие третьи стороны не участвуют в обработке данных клиента.

Что касается предоставления профессиональных услуг Lokad, доступ к данным клиента получают только сотрудники Lokad на полный рабочий день (в данном случае ученые по цепочке поставок). Lokad иногда принимает нескольких стажеров (хотя их гораздо меньше, чем у большинства сопоставимых компаний) на долгосрочные стажировки, но они работают под прямым и строгим руководством старшего ученого по цепочке поставок.

Примечание: Стажеры подчиняются тем же соглашениям о конфиденциальности, что и ученые по цепочке поставок на полный рабочий день.

5. Журналирование и мониторинг

5.1 Предоставляете ли вы журналы доступа (пользователь, дата, дата последнего подключения и т. д.)?

Да. Lokad предоставляет журналы доступа в формате CSV. В настоящее время эти журналы могут быть запрошены у службы поддержки Lokad. Извлечение журнала будет размещено в учетной записи Lokad в месте, доступном только для пользователей с назначением “Владелец”. Мы планируем внедрить более прямой способ доступа - через специальный веб-интерфейс - к полному журналу аудита, который уже существует в основной части платформы Lokad.

5.2 Централизуете ли вы журналы всех компонентов решения?

Да. Конструкция событийного источника Lokad централизует не только журналы, но и все изменения состояния, которые происходят в решении. Журналы вместе с другими изменениями состояния централизованы с помощью небольшой коллекции потоков событий, управляемых тем же хранилищем событий. Внутренне журналы, которые не влияют на состояние решения, отделены от тех, которые влияют.

С чисто технической точки зрения есть некоторые журналы, связанные с производительностью, которые специально не централизованы внутри хранилища событий. Эти журналы включают детализированные измерения производительности, такие как те, которые создаются внутренними инструментами профилирования производительности Lokad (например, сколько миллисекунд тратится на каждый вызов функции во время выполнения скрипта Envision). Эти журналы производительности не содержат ничего, что можно считать “относящимся к безопасности”.

5.3 Регистрируете ли вы изменения и операции, выполняемые в приложении? Отслеживаете ли вы все транзакции?

Да. Благодаря конструкции событийного источника Lokad все записывается по необходимости. Фактически, само решение является совокупностью событий, записанных внутри решения. Таким образом, регистрация является фундаментальным аспектом архитектуры решения. Эта конструкция событийного источника предотвращает случайное пропускание журнала, отражающего изменение состояния. В такой конструкции событийного источника нет транзакций, по крайней мере, не в обычном смысле транзакционной базы данных (например, MySQL, Oracle и т. д.). Эти транзакции заменяются событиями, содержащими всю информацию, связанную с изменением состояния.

5.4 Нормализуете ли вы форматы журналов различных компонентов для целей судебной экспертизы?

Да. “Журналы” с точки зрения аудита и/или безопасности - это преобразования базовых событий. События технически являются сериализованными объектами. Чтобы получить журналы, решение Lokad преобразует и компилирует эти события в файлы CSV. Мы нормализуем форматы дат, чисел и идентификаторов пользователей, используемых в извлечении CSV.

5.5 Предлагаете ли вы экспорт журналов третьей стороне через какой-либо протокол запросов?

Да, при условии заключения контракта с клиентом.

5.6 Отслеживаете ли вы все исключения, возникающие в вашем решении?

Да. Проектирование событийного источника Lokad позволяет нам отслеживать все исключения, возникающие в нашем решении, и воспроизводить условия, приведшие к возникновению проблемы. После идентификации команда инженеров Lokad устраняет все обнаруженные исключения. У нас разработаны специальные инструменты для этой конкретной цели, и мы поддерживаем очень ограниченную очередь нерешенных исключений.

5.7 Обладает ли решение возможностью мониторинга состояния различных компонентов/сервисов в режиме реального времени?

Да. Наши подсистемы разработаны с мониторинговыми конечными точками, предназначенными для проверки состояния. У нас есть инструменты мониторинга, доступные только - начиная с января 2023 года - для команд инженеров Lokad, которые непрерывно объединяют информацию, предоставляемую этими мониторинговыми конечными точками.

Как уже упоминалось, термин “в режиме реального времени” довольно неопределенный, когда речь идет о распределенных системах. Для целей мониторинга состояния системы ожидаемая задержка составляет от нескольких секунд до минуты (приблизительно).

5.8 Обладает ли решение возможностью интеграции сторонних инструментов мониторинга? Поддерживает ли решение SNMP или JMX или возможность отправки событий SNMP и JMX сторонним системам мониторинга?

Да, при условии заключения специального контракта.

5.9 Обладает ли решение возможностью мониторинга пакетных заданий, которые не были запущены по расписанию, и отслеживания их завершения?

Да. Решение Lokad имеет собственный внутренний планировщик заданий (называемый “Runflow”), который оркестрирует длительные задачи в рамках платформы Lokad - обычно выполнение скриптов Envision. Этот планировщик может быть настроен через веб-интерфейс для указания расписания и временного интервала выполнения любой последовательности заданий.

5.10 Обладает ли решение возможностью генерации превентивных оповещений? Обладает ли оно способностью коррелировать и анализировать ошибки, а затем принимать превентивные меры?

Да. Планировщик заданий решения Runflow может оповещать клиента/Lokad о том, что текущая последовательность выполнения запаздывает. Оповещение может быть отправлено до завершения последовательности. Решение Lokad предлагает обширные возможности через Envision (его DSL) для анализа и самодиагностики ситуаций с целью принятия превентивных мер. Хотя платформа Lokad предоставляет эту возможность, для ее реализации все равно требуется инженер, который через Envision реализует фактическую логику, так как ситуации в цепи поставок, которые квалифицируются как “ошибки”, могут различаться.

5.11 Обладает ли решение возможностью сохранения данных аудита? Архивируются ли данные и удаляются в MIS-базу данных для аудита действий пользователей?

Да. Благодаря своему проектированию на основе событий, решение Lokad сохраняет обширный аудиторский журнал, гораздо больший, чем то, что получается с помощью более распространенных проектов, которые обычно используют транзакционные базы данных вместо хранилища событий. Решение Lokad не выделяет систему управления информацией (MIS) в качестве отдельной подсистемы. Фактически, поток событий является аудиторским журналом. В более общем смысле, Lokad сохраняет производственные данные на протяжении срока обслуживания клиента. После окончания обслуживания, что зависит от согласованных контрактных условий, данные клиента удаляются, хотя окончательное удаление в системе резервного копирования может произойти через несколько месяцев после окончания контракта.

5.12 Включает ли ваша система механизм самомониторинга (технического и функционального)?

Да, платформа Lokad интегрирует несколько механизмов самомониторинга на разных уровнях.

Облачная платформа мониторится командами программных инженеров Lokad. Поскольку платформа Lokad является многопользовательской, этот мониторинг в основном выполняется с учетом “системного” подхода, обеспечивая соответствие возможностей платформы (включая ее производительность) стандартам. Мы разработали собственный слой инструментации для этой цели. “Функциональный” мониторинг обычно является специфичным для клиента, так как он зависит от особенностей конкретной цепочки поставок. Этот мониторинг обычно предоставляется командами ученых по цепочке поставок (инженерами, предоставляемыми Lokad) в соответствии с контрактным соглашением.

Ученые по цепочке поставок Lokad обычно специализируются на определенном классе клиентских аккаунтов (например, авиационной отрасли). Они создают индивидуальные инструменты мониторинга, используя аккаунт Lokad. Этот мониторинг включает в себя проверку правильности предоставляемых Lokad чисел, не только с технической точки зрения, но и с точки зрения бизнеса клиента.

5.13 Происходит ли регулярный и систематический анализ журналов для обнаружения аномалий и признаков нарушений?

Да. Анализ текущей активности платформы Lokad является частью нашей ежедневной работы. Дизайн нашей платформы облегчает этот процесс.

См. также Журналирование и мониторинг 5.2.

5.14 Администрируются ли системы управления журналами людьми, не связанными с администрированием других систем (т.е. разделение обязанностей)?

Да. Наблюдение за журналами и общей активностью платформы осуществляется учеными по цепочке поставок, а общее администрирование нашей инфраструктуры выполняется определенными сотрудниками нашего IT-отдела.

5.15 Периодически и систематически выполняются ли сканирования уязвимостей на уровне приложения?

Да, хотя такие сканирования являются очень небольшой частью наших процессов безопасности. См. Сотрудники 6.6.

5.16 Существует ли определенный процесс периодического обзора эффективных правил брандмауэра?

Да, наша производственная машина имеет очень строгие правила, такие как открытие ограниченного числа портов (настраивается через Microsoft Azure). Конфигурация нашей инфраструктуры является сценаризированной, и ее развитие следует нашему обычному процессу проверки кода. Эта практика не только облегчает периодические обзоры, но и устраняет необходимость вручную проверять правила в первую очередь.

5.17 Оборудована ли сеть технологией IDS (система обнаружения вторжений)?

Нет. IDS - это по своей сути опасный дизайн, так как он нарушает принцип безопасности “наименьших привилегий”: компоненту предоставляются огромные привилегии для работы в режиме “человек посередине”. Это делает саму IDS основной целью для атакующих и значительно расширяет поверхность атаки платформы. Однако Lokad тщательно отслеживает свой веб-трафик и аномальное поведение пользователей на нашей собственной платформе. Эти возможности, однако, являются частью самой платформы и, следовательно, не делегируются привилегированным изолированным сторонним программным компонентам.

См. также Сотрудники 6.6.

6. Сотрудники

6.1 Имеют ли сотрудники NDA (соглашения о неразглашении)?

Да, все сотрудники Lokad подпадают под положения NDA в своих трудовых контрактах.

6.2 Проходят ли сотрудники обучение осведомленности о безопасности и безопасности?

Да, сотрудникам Lokad, которые имеют контакт с конфиденциальными данными и/или инженерными системами, имеющими контакт с конфиденциальными данными, предоставляются обучение осведомленности о безопасности и безопасности. Дополнительную информацию по этому вопросу можно найти в лекции Кибербезопасность для цепочки поставок, посвященной ученым по цепочке поставок - людям, обрабатывающим конфиденциальные клиентские данные.

6.3 Кто имеет доступ к клиентским данным в Lokad?

Клиент явно определяет список пользователей, которые имеют доступ к его аккаунту Lokad. Эти пользователи, в зависимости от их прав доступа, настроенных в рамках аккаунта Lokad, могут иметь доступ к различным классам данных клиента. В рамках решения Lokad существует веб-приложение, посвященное управлению разрешениями (называемое “Hub”).

На стороне Lokad для каждого клиентского аккаунта имеется краткий список сотрудников, которые имеют доступ. Прежде всего, в этот список включены ученые по цепочке поставок (инженеры, предоставленные Lokad), которые реализуют и поддерживают решение по оптимизации цепочки поставок. Ожидается, что эти ученые будут ежедневно получать доступ к данным клиента. Внутренне Lokad ограничивает доступ к клиентским аккаунтам только ученым по цепочке поставок, назначенным на эти аккаунты. То есть, ученый по цепочке поставок A не может получить доступ к клиентскому аккаунту B, если A не был явно назначен для управления этим аккаунтом (как договорено с клиентом).

Во-вторых, в этот список входит команда инженеров, ответственных за администрирование нашей платформы. Как правило, прямой доступ к клиентским данным является редким и ограниченным и используется только для расследования ситуаций, сообщенных либо самими клиентами, либо их поддерживающими учеными по цепочке поставок. Lokad не предоставляет доступ к клиентским данным третьим лицам, за исключением платформы облачных вычислений.

6.4 Как вы обеспечиваете безопасность рабочих станций сотрудников?

За исключением команды по программной инженерии, сотрудники Lokad работают без административных привилегий на предоставленных компанией устройствах. Все рабочие станции настроены с полным шифрованием диска для защиты от кражи данных, которая может быть вызвана потерей, кражей или передачей устройств третьим лицам (например, для ремонта).

Рабочие станции, используемые нашими сотрудниками, не содержат данные наших клиентов. В зависимости от выполняемой задачи, сотрудник может загрузить несколько таблиц Excel на свою машину - например, для создания презентации, но наша политика строго заключается в том, чтобы все клиентские данные хранились в безопасности в облаке.

6.5 Как вы обеспечиваете безопасность сотрудничающих с вами смартфонов?

Сотрудники Lokad не имеют служебных смартфонов. Некритические данные, такие как напоминания в календаре, могут передаваться через личные (не служебные) устройства, но смартфоны, как и рабочие станции, не содержат данные наших клиентов.

6.6 Используете ли вы антивирус?

Да, наши рабочие станции имеют Microsoft Defender, в соответствии с настройками Microsoft Windows 10+. У нас нет другого антивируса, кроме Microsoft Defender, но наше отношение заключается в том, что эта категория инструментов часто причиняет больше вреда, чем пользы (с точки зрения компьютерной безопасности). В качестве анекдотического доказательства, хакерская атака SolarWinds 2020 года считается одной из самых больших компьютерных катастроф в истории, и она была вызвана программным обеспечением, которое должно было улучшить безопасность. Более обще, почти все программные продукты, предназначенные для обеспечения безопасности, требуют достаточно высоких привилегий системы. В результате эти программные продукты становятся собственными векторами атаки. Наша точка зрения на компьютерную безопасность заключается в том, что меньше - значит больше, и добавление очень сложных технологий в нашу прикладную среду практически неизбежно делает ее менее безопасной, а не безопаснее.

6.7 Периодически ли разработчиков программного обеспечения обучают методам оценки угроз, стандартам безопасного кодирования, известным спискам проверки безопасности и фреймворкам?

Да. Однако большинство известных списков проверки в основном отражают архитектуры, которые “не безопасны по своему дизайну”. По возможности мы предпочитаем устранять источник проблем безопасности на этапе проектирования. См. также Сотрудники 6.2.

6.8 Все ли контракты с подрядчиками/внешними сотрудниками Lokad включают Соглашение о неразглашении (NDA)? Охватывает ли это NDA информацию о клиентах?

Да, оба, хотя Lokad - на момент написания - не полагается на подрядчиков/внешний персонал. Команды по программной инженерии и ученым по цепочке поставок Lokad полностью состоят из людей, находящихся под прямым, постоянным трудоустройством и наблюдением Lokad.

Однако, если Lokad решит, что необходимо взаимодействовать с подрядчиком, они будут подвержены тем же условиям интеллектуальной собственности (IP) и NDA, что и наши постоянные сотрудники. Эти соглашения включают условия относительно информации о клиентах Lokad.

6.9 Всем внешним сотрудникам Lokad было предоставлено внутреннее информационное и индукционное обучение по безопасности (и соответствующее текущее обучение)?

Lokad - на момент написания - не полагается на подрядчиков/внешний персонал. Команды по программной инженерии и научным исследованиям в сфере цепей поставок Lokad полностью состоят из людей, находящихся под прямым, постоянным трудоустройством и наблюдением Lokad.

Однако, если Lokad решит, что необходимо взаимодействовать с внешним персоналом, это будет требованием. Все подрядчики/внешние работники будут подвержены тем же процессам безопасности и требованиям к обучению, что и наши постоянные сотрудники.

Как уже упоминалось ранее, Lokad в настоящее время не полагается на внешний персонал, поэтому такое обучение не проводится.

См. также Сотрудники 6.8

6.10 Требуется ли, чтобы все контракты с компаниями, предоставляющими внешний персонал Lokad (любые/все подрядчики, консультанты и т. д., участвующие в оказании услуг Lokad), требовали проверки внешних работников с использованием проверки на предмет наличия судимости? Соответствуют ли эти проверки наличию соответствующего уровня доступа к информации и критичности роли сотрудника?

Lokad - на момент написания - не полагается на подрядчиков/внешний персонал. Команды по программной инженерии и научным исследованиям в сфере цепей поставок Lokad полностью состоят из людей, находящихся под прямым, постоянным трудоустройством и наблюдением Lokad.

Однако, если Lokad решит, что необходимо взаимодействовать с внешним персоналом, это будет требованием. Все подрядчики/внешние работники будут подвержены тем же процессам безопасности, проверкам на предмет наличия судимости и требованиям к обучению, что и наши постоянные сотрудники.

Примечание: Исторически говоря, многие из самых крупных - и худших - инцидентов, таких как кибершпионаж, совершаются людьми с безупречной репутацией. Вот почему Lokad неохотно полагается на внешний персонал и настойчиво предпочитает прямые контракты без ограничений.

6.11 Автоматически отключаются или удаляются ли административные учетные записи по окончании трудового договора?

Да. Все сотрудники Lokad получают свои права доступа через федеративного поставщика идентичности (Microsoft Azure Active Directory). По окончании их трудового договора, при необходимости, этот доступ отзывается, что автоматически отключает все связанные административные права.

Примечание: Большинству сотрудников Lokad никогда не предоставляются административные права, так как они не требуются для выполнения их обязанностей.

6.12 Вы проводите проверку наличия судимости для всего персонала, имеющего доступ к конфиденциальным данным, финансовым данным, банковским данным, данным платежных карт и т. д.?

Да, проверки наличия судимости проводятся строго в соответствии с требованиями выполняемой работы.

Следует отметить, что Lokad не управляет внутренне данными платежных карт - это осуществляют третьи стороны. Таким образом, сотрудники Lokad не имеют доступа к данным платежных карт наших клиентов.

6.13 Какие меры предпринимает Lokad, чтобы неполномочные лица не могли получить доступ к помещениям, где выполняется работа?

На уровне здания Lokad работает в офисном здании, которое обеспечивает круглосуточное наблюдение со стороны третьих лиц, с постоянным присутствием охраны на месте.

На уровне офиса помещения Lokad имеют собственные безопасные точки доступа, независимые от точек доступа самого здания. Этот последний уровень предотвращает доступ сотрудников других компаний, находящихся в здании, к офисам Lokad.

Примечание: все исключительные посетители (такие как клиенты, потенциальные кандидаты и т. д.) должны быть физически приветствованы и разрешены на вход сотрудниками Lokad.

6.14 Разрешены ли посетители в учреждении?

Если “учреждение” означает “место, где хранятся и обрабатываются данные клиентов”, то нет. Данные клиентов хранятся в центрах обработки данных Microsoft Azure. Эти центры данных не открыты для публики - Lokad сам не имеет к ним доступа.

Однако Lokad иногда приветствует посетителей в своем корпоративном штаб-квартире. Наши офисы не открыты для публики, но иногда возникают исключительные обстоятельства, такие как посещение клиентов, ожидание соискателей на собеседование и т. д. Такие посещения планируются заранее, и такие посетители сопровождаются сотрудниками Lokad на протяжении всего времени пребывания в наших офисах.

6.15 Хранятся ли бумажные данные (и съемные электронные носители, содержащие данные) в защищенных огнестойких шкафах на ночь?

Lokad не работает с бумажными данными, и не использует съемные электронные носители. Поскольку у нас нет физических записей для хранения, Lokad не нуждается в огнестойких шкафах.

Хотя мы иногда печатаем документ (Lokad печатает очень мало документов, если вообще), у нас также есть шредер рядом с принтером. Политика Lokad по умолчанию - не печатать никакие конфиденциальные документы, но если это теоретически необходимо, наша политика по умолчанию также заключается в том, чтобы немедленно уничтожить напечатанный документ после использования.

6.16 Существует ли политика чистого рабочего места? Если да, то в какой степени?

Да, Lokad работает в соответствии с политикой чистого рабочего места. Эта политика соблюдается “по дизайну” через наше цифровое окружение.

За исключением нескольких документов, которые нам приходится печатать по закону, или случайных документов, которые печатаются по необходимости (например, плакат для выставки, хотя даже это обычно делается на заказ), рабочая среда Lokad полностью цифровая.

Таким образом, в конце рабочего дня у сотрудников Lokad нет ничего, что нужно убрать. После блокировки сеанса работы сотрудника на компьютере - политика, которую мы строго соблюдаем - рабочее место фактически очищается.

6.17 Куда поступают факсы и кто может иметь к ним доступ?

Lokad никогда не имел факс-машину - будь то физическую или виртуальную. Мы не знаем о каких-либо убедительных причинах, чтобы изменить наше отношение к этой технологии.

6.18 Существует ли процесс проверки возврата составных активов (компьютеры, мобильные телефоны, пропуска, токены, смарт-карты, ключи и т. д.) при увольнении?

Да, у нас не только есть процесс, но и программное обеспечение для управления активами IT, которое поддерживает эту работу и минимизирует количество административных ошибок.

Однако мы специально разработали безопасность Lokad таким образом, чтобы она не зависела от своевременного возврата составных активов. Lokad предполагает, что любые составные активы могут быть потеряны или украдены, независимо от дисциплины и подготовки наших сотрудников. На практике это очень редко случается, но с инженерной точки зрения мы делаем противоположное предположение. По этой причине составные активы могут быть отключены удаленно. Кроме того, мы применяем полное шифрование диска, когда это применимо.

В более общем смысле, наша рабочая среда разработана таким образом, чтобы не требовать постоянного хранения клиентских данных на рабочих станциях, ноутбуках или мобильных телефонах. Это значительно снижает критичность составных активов в случае сбоя наших других мер предосторожности.

6.19 Были ли политики и/или процедуры управления персоналом (HR) утверждены руководством и сообщены заинтересованным лицам, и есть ли ответственное лицо, назначенное для их поддержания и проверки?

Да, наши политики и процедуры управления персоналом были официально утверждены высшим руководством. Мы уделяем большое внимание ясной коммуникации, и поэтому эти политики и процедуры были тщательно распространены среди всех заинтересованных лиц для обеспечения полного понимания и соблюдения.

Кроме того, мы назначили ответственное лицо, которое отвечает за постоянное обновление, обслуживание и регулярный просмотр политик и процедур. Это гарантирует, что наши практики остаются актуальными, соответствуют стандартам отрасли и нашим организационным целям.

6.20 Используются ли физические лица, связанные с вашей организацией, личные (BYOD) мобильные устройства, а не принадлежащие компании, с доступом к клиентским данным?

Нет, Lokad не разрешает доступ к клиентским данным на личных (BYOD) мобильных устройствах. Мы предоставляем нашим сотрудникам высококачественное оборудование, принадлежащее компании, что исключает необходимость в использовании личных устройств. Это положение решает обычную ситуацию, когда сотрудники прибегают к использованию собственных устройств из-за неудовлетворенности некачественным оборудованием компании.

Кроме того, наши операционные протоколы разработаны таким образом, что даже на наших устройствах, принадлежащих компании, клиентские данные не хранятся постоянно. Вся обработка данных происходит в нашей облачной платформе. На устройствах сотрудников клиентские данные (если они когда-либо получены) обрабатываются временно и только в минимальных сегментах, обеспечивая максимальную безопасность.

Примечания