Политика информационной безопасности

1. Общие положения

1.1. Настоящая Политика информационной безопасности (далее — «Политика») описывает технические и организационные меры, которые Индивидуальный предприниматель Нарваткин Роман Валерьевич (далее — «Оператор») применяет для защиты Сервиса LunoCRM, инфраструктуры, на которой он размещён, и Данных Клиента.

1.2. Политика применяется в дополнение к Политике обработки персональных данных и является технической детализацией мер, описанных в её разделе 12.

1.3. Оператор придерживается принципа разумной достаточности: применяемые меры соответствуют характеру и объёму обрабатываемых данных, актуальным угрозам и общепринятой практике защиты SaaS-сервисов. Оператор не заявляет о соответствии Сервиса каким-либо формальным сертификациям, если такое соответствие не подтверждено отдельно.

2. Защищённая передача данных (HTTPS)

2.1. Весь обмен данными между браузером Пользователя и серверами Сервиса, а также между Сайтом и посетителем, осуществляется по защищённому протоколу HTTPS с использованием TLS-шифрования.

2.2. Соединение по незащищённому протоколу HTTP автоматически перенаправляется на защищённую версию. Использование актуальных версий протокола TLS и корректных сертификатов контролируется Оператором на регулярной основе.

2.3. Передача учётных данных (логин, пароль), платёжной информации и Данных Клиента вне защищённого соединения не допускается.

3. Защита паролей и аутентификация

3.1. Пароли Пользователей не хранятся в открытом виде: в базе данных Сервиса сохраняется только их необратимый криптографический хеш с применением соли (salt), что исключает возможность восстановления исходного пароля даже при получении несанкционированного доступа к базе данных.

3.2. Сервис применяет технические требования к сложности пароля при регистрации и смене пароля Пользователем.

3.3. Восстановление доступа при утере пароля осуществляется через подтверждение владения адресом электронной почты, указанным при регистрации, по одноразовой ссылке ограниченного срока действия.

3.4. Пользователь обязан самостоятельно обеспечивать конфиденциальность своих учётных данных и не передавать их третьим лицам в соответствии с условиями Лицензионного договора.

4. Разграничение прав доступа

4.1. Доступ к Данным Клиента внутри Сервиса организован по принципу мультитенантности: каждый Аккаунт логически изолирован, и Пользователи одного Клиента не имеют технической возможности получить доступ к данным другого Клиента.

4.2. Внутри Аккаунта Клиент вправе настраивать ролевую модель доступа для своих Пользователей (например, ограничивать доступ педагогов к финансовым разделам или доступ отдельных сотрудников к данным конкретных групп учеников) в пределах функциональности, предусмотренной Тарифом.

4.3. Доступ сотрудников и подрядчиков Оператора к производственной инфраструктуре и базам данных предоставляется по принципу минимально необходимых полномочий, требует индивидуальной аутентификации и предоставляется только для выполнения должностных задач (техническая поддержка, администрирование, устранение инцидентов).

4.4. Доступ к Данным Клиента сотрудниками Оператора в рамках оказания технической поддержки осуществляется только по обращению Клиента или в связи с устранением технических неполадок, с соблюдением требований конфиденциальности.

5. Резервное копирование

5.1. Оператор осуществляет регулярное автоматическое резервное копирование баз данных и файлового хранилища Сервиса.

5.2. Резервные копии хранятся в зашифрованном виде, физически отделены от основной производственной среды и доступны ограниченному кругу уполномоченных сотрудников Оператора.

5.3. Целостность и работоспособность резервных копий периодически проверяются Оператором путём тестового восстановления.

5.4. Конкретные параметры периодичности резервного копирования и целевого времени восстановления (RPO/RTO) приведены в разделе SLA.

6. Аудит действий пользователей

6.1. Сервис ведёт журнал (лог) ключевых действий Пользователей внутри Аккаунта: создание, изменение и удаление записей об учениках, сотрудниках, финансовых операциях, договорах и иных значимых объектах, с фиксацией даты, времени и учётной записи, совершившей действие.

6.2. История действий доступна уполномоченным Пользователям Клиента (например, руководителю Аккаунта) в пределах соответствующего Аккаунта для контроля активности собственных сотрудников.

6.3. Оператор ведёт технические журналы доступа к инфраструктуре Сервиса (авторизации, административные операции, изменения конфигурации) в целях расследования инцидентов безопасности и предотвращения несанкционированного доступа.

7. Защита инфраструктуры

7.1. Серверная инфраструктура Сервиса размещается в дата-центрах, обеспечивающих физическую защиту оборудования (контроль доступа, видеонаблюдение, резервное электропитание), на территории Российской Федерации.

7.2. Для защиты инфраструктуры от внешних угроз применяются: сетевые экраны (firewall); ограничение доступа к административным интерфейсам и базам данных по защищённым каналам; мониторинг аномальной сетевой активности; меры по снижению рисков автоматизированных атак на формы авторизации и регистрации.

7.3. Оператор ограничивает круг лиц, имеющих доступ к производственной инфраструктуре, и применяет принцип разделения сред разработки, тестирования и эксплуатации Сервиса.

8. Обновления системы

8.1. Оператор осуществляет регулярное обновление программного обеспечения инфраструктуры Сервиса (операционных систем, серверного ПО, библиотек и зависимостей) с целью устранения известных уязвимостей.

8.2. Обновления функциональности самого Сервиса устанавливаются Оператором автоматически, без необходимости каких-либо действий со стороны Клиента.

8.3. Обновления, требующие временной приостановки доступа к Сервису, проводятся в порядке плановых технических работ, описанном в SLA, преимущественно в периоды минимальной нагрузки.

9. Реагирование на инциденты

9.1. При выявлении инцидента информационной безопасности, повлёкшего утечку или угрозу утечки Данных Клиента, Оператор принимает меры по локализации инцидента, устранению его причин и восстановлению безопасного функционирования Сервиса.

9.2. Оператор уведомляет затронутого Клиента о существенном инциденте, связанном с его Данными Клиента, в разумный срок после установления факта инцидента и его влияния, а также информирует о предпринятых мерах.

9.3. О технических инцидентах, влияющих на доступность Сервиса, Клиенты информируются в порядке, установленном SLA.

10. Обязанности Клиента по обеспечению безопасности

10.1. Безопасность Данных Клиента является совместной ответственностью Оператора и Клиента. Клиент обязан: использовать уникальные и достаточно сложные пароли для учётных записей своих Пользователей; своевременно отключать доступ уволенных сотрудников; не передавать реквизиты доступа третьим лицам; своевременно сообщать Оператору о подозрении на компрометацию учётных данных.

11. Изменение Политики

11.1. Оператор вправе вносить изменения в настоящую Политику по мере развития Сервиса и практики обеспечения информационной безопасности. Актуальная редакция доступна на Сайте по адресу https://lunocrm.ru/security.

12. Контакты

Об обнаруженных уязвимостях или инцидентах безопасности просим сообщать: support@lunocrm.ru.