УВЕДОМЛЕНИЕ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Безопасность по умолчанию
Контроли информационной безопасности TapuGezgini в продакшене. Эта страница описывает реальное поведение работающей системы — не маркетинг. Обновляется в тот же день при добавлении новых контролей.
Чтобы сообщить об уязвимости: политика ответственного раскрытия
Идентификация + доступ
Кто что может, и как это проверяется
Многофакторная аутентификация (MFA)
TOTP MFA обязательно для всех аккаунтов с системной ролью. WebAuthn поддерживается; SMS-резерв — по решению оператора. Резервные коды хранятся в bcrypt.
Политика паролей
Минимум 12 символов; проверка утечек через HIBP k-anonymity API; нельзя повторно использовать последние 5 паролей; опциональная ротация.
Доступ на основе разрешений (RBAC)
~52 разрешения, 10 системных ролей + кастомные роли организации. Разрешения с областью ресурсов (own / organization / global). Набор разрешений кэшируется в сессии; инвалидируется мгновенно при смене роли.
Управление сессиями
32-байтный opaque-токен (cookie tg_sid). 30-дневный rolling TTL, 90-дневный hard cap. Пользователь может мгновенно отозвать все сессии.
Блокировка от перебора
Sliding-window rate limit по IP + email (Redis). 5 ошибок = блок 1 мин; 10 = 15 мин; 20 = 24 часа + email-уведомление.
Защита данных
Шифрование на протяжении жизненного цикла
Шифрование чувствительных полей (envelope, v2)
TC ID, токены доступа поставщиков и секреты MFA шифруются AES-256-GCM. Wire format: v2:keyId:iv:tag:ct — ротация ключей непрерывная; строки со старыми keyId мигрируют на текущий ключ через фоновую задачу.
Шифрование хранения
AWS RDS зашифрован (KMS); объекты S3 шифруются на стороне сервера (SSE-S3); приватный bucket + доступ по signed URL для конфиденциальных файлов.
Шифрование передачи
Весь HTTP-трафик через TLS 1.2+ обязателен. HSTS включён. Внутренний service-to-service трафик в приватной сети + IAM-аутентификация.
Управление секретами
Все production-секреты в AWS Secrets Manager. In-memory кэш с TTL 5 мин; runbook ротации задокументирован.
Аудит + целостность
Что произошло, и как это можно доказать
Tamper-evident цепочка аудита (EG-34)
Все записи AuditEvent связаны через SHA-256 хеши (eventHash + previousEventHash). Записи сериализуются через pg_advisory_xact_lock. Ежедневная автоматизация проверяет целостность и пишет критическую тревогу при разрыве.
Широкое покрытие
47 admin + 16 account endpoint'ов пишут AuditEvent. Цепочка хешей автоматически защищает 94+ точки вызова. Эскалация: info → notice → warning → alert.
Политика хранения данных
Политики хранения определены для каждого типа ресурса (договоры 7 лет, сессии 30 дней и т.д.). Просроченные записи авто-удаляются или scrub'ятся. Само удаление аудируется.
Безопасность приложения
Сокращение поверхности атаки
Rate limit + CSRF + Idempotency
Все write-endpoint'ы rate-limited (per-IP + per-user). State-меняющие cross-origin endpoint'ы проверяют CSRF-токен. Платёжные + кредитные endpoint'ы retry-storm-safe через Idempotency-Key.
Принудительная полиморфная FK
Полиморфные таблицы (Notification, Order, CreditEntry и т.д.) принуждены check-constraint'ом принадлежать ровно одному родителю — нельзя создать сиротские записи.
Политика scrub PII
При запросе на удаление пользователя выполняется scrub по классам: юридические записи (договоры, аудит) сохраняются; контактные данные, тексты сообщений, вложения scrub'ятся в конце retention.
Безопасность зависимостей
Production-зависимости сканируются на CVE. Критические уязвимости патчатся в течение 24 часов.
Независимые аудиты, сертификации
По текущим аудитам и планируемым сертификациям, свяжитесь с командой безопасности. Корпоративным клиентам предоставляем pentest-сводки и compliance-документы по запросу.