Chaindoc logoChaindoc

Turvalisuse parimad tavad

Chaindoc krüpteerib dokumendid puhkeolekus (AES-256) ja ülekandel (TLS 1.3), kontrollib terviklikkust blockchainil ja logib iga toimingu. Siin lehel on kirjas, mis töötab automaatselt ja mida peaksid eluks käivitamiseks seadistama.

Suurem osa turvalisusest töötab ilma sekkumiseta. Aga on seadeid, mis tuleks sisse lülitada (MFA, IP piirangud) ja harjumusi, mida meeskond peaks järgima (võtmete vahetus, juurdepääsu ülevaatused). See juhend käsitleb mõlemaid.

Autentimine

Mitmefaktoriline autentimine

Lülita MFA sisse kõigile, mitte ainult adminnidele. Asi on selles – see on üks tõhusamaid asju, mida teha saad. Chaindoc toetab:

  • Autentimisrakendusi (TOTP) — Google Authenticator, Authy, 1Password
  • SMS koode — töötab, aga on nõrgem. Kasuta võimalusel autentimisrakendusi.
  • Riistvara turvavõtmeid (FIDO2/WebAuthn) — kõige tugevam variant
  • Biomeetrilist autentimist mobiilseadmetes

Paroolipoliitikad

Kui SSO-d ei kasuta, kehtesta tugevad paroolid. Chaindoc võimaldab seadistada minimaalset pikkust (soovituslikult 12+ märki), keerukusnõudeid, aegumisintervalle ja lukustust ebaõnnestunud katsete järel. Saad ka blokeerida viimase 10 parooli taaskasutamise.

Rollipõhine juurdepääs

Anna inimestele ainult see juurdepääs, mida nad vajavad. Chaindocil on sisseehitatud rollid (Omanik, Admin, Haldur, Liige, Külaline, Audiitor) ja toetatakse kohandatud rolle tegevuspõhiste õigustega. Vaata ülesandeid kvartalis ja eemalda see, mida enam ei vajata. Kuidas seda seadistada, vaata meeskonnahalduse dokumentatsioonist.

Krüpteerimine

Puhkeolekus

Kõik dokumendid on salvestatuna krüpteeritud AES-256-ga. Varukoopiad on krüpteeritud eraldi võtmetega. Krüpteerimisvõtmeid hallatakse spetsiaalse KMS-i (võtmehaldusteenuse) kaudu ja need vahetatakse kvartalis.

Ülekandel

Iga ühendus kasutab TLS 1.3. Nõrgad šifrikomplektid on keelatud. HSTS päised on seatud nii, et brauserid ei langeks kunagi HTTP peale tagasi. See kehtib veebirakenduse, API ja blockchaini tehingute kohta.

API võtmete turvalisus

API võtmed on kõige levinum turvaprobleemide allikas. Lekkinud salavõti annab täieliku juurdepääsu su Chaindoci kontole.

Avalikud võtmed (`pk_`) on loodud kasutamiseks frontendis ja neil on ainult lugemisõigus, seega on need kliendipakkides turvalised. Võtmeliikide kohta lähemalt vaata API integratsiooni juhendist.

Blockchaini kinnitus

Iga avaldatud dokument saab räsi kirjutatud blockchaini. See on see osa, mida ei saa muuta. Isegi kui keegi otse andmebaasi pääseks, ei saaks ta dokumenti muuta ilma blockchaini räsi kehtetuks muutmata.

  • Dokumendi räsid salvestatakse avaldamisel ja igal olekumuutusel (allkirjad, tühistamine jne)
  • Tehingu kviitungid hoitakse dokumendiga koos lihtsaks kontrollimiseks
  • Igaüks saab iseseisvalt dokumendi blockchaini kirje vastu kontrollida
  • Kanne on püsiv — see püsib ka siis, kui Chaindoc ära kaob

Praktikas tasub kõrgväärtuslike dokumentide puhul pärast allkirjastamist blockchaini kirjet kontrollida, et kõik klappiks.

Webhookide turvalisus

Kui kasutad webhooke, kontrolli HMAC allkirja igal sissetuleval päringul. Ilma selleta saaks keegi su otspunktile võltsitud sündmusi saata. Webhookide juhendis on kontrollkood olemas.

Kooskõlastus

Chaindoci infrastruktuur on SOC 2 Type II sertifitseeritud. Sõltuvalt sinu valdkonnast võid vajada täiendavaid seadeid:

  • GDPR — andmete asukoha valikud (EL, USA, Aasia), kustutamisõigus, andmete teisaldatavus. Dokumentide säilitamispoliitikad käsitlevad automaatset kustutamist.
  • HIPAA — auditi logimine ja juurdepääsukontrollid tervishoiudokumentidele. BAA saamiseks võta ühendust toega.
  • SOC 2 — turvakontrollid on dokumenteeritud. Igal aastal teostatakse kolmanda osapoole auditeid.
  • eIDAS / ESIGN Act / UETA — allkirjade kooskõlastus on sisse ehitatud kõigile kolmele allkirjatüübile.
  • ISO 27001 — infoturbe juhtimistavad on joondatud ISO 27001-ga.

Auditi logimine

Chaindoc logib iga toimingu: sisselogimised, dokumendijuurdepääsud, muudatused, allkirjasündmused, õiguste muutused ja API kutseid. Logid hoitakse muutmatu süsteemis ja säilitatakse vähemalt üks aasta (pikemalt, kui sinu säilitamispoliitika nõuab).

Saad auditi logid eksportida välisteks kooskõlastusülevaadeteks. Ebaõnnestunud sisselogimiskatsed ja kahtlane tegevus käivitavad hoiatused, kui oled seiranud seadistanud.

Seire ja intsidentidele reageerimine

Seadista hoiatused ebaõnnestunud sisselogimiskatsete, ebatavalise API tegevuse ja õiguste tõstmise kohta. Chaindoc integreerub SIEM süsteemidega, kui sinu turvameeskond neid kasutab.

Ole valmis ka intsidentidele reageerimise plaan. Tea, kellega ühendust võtta, mida välja lülitada ja kuidas rikkumisest teatada. Testi plaani vähemalt kord aastas. Chaindociga seotud turvaintsidentide korral kirjuta security@chaindoc.com.

Ene elukäivituse kontrollnimekiri

Mine selle läbi enne eluks minekut:

  1. MFA lubatud kõikidele kontodele
  2. Paroolipoliitikad seadistatud (12+ märki, lukustus pärast 5 ebaõnnestumist)
  3. Rollid määratud vähimate õigustega
  4. AES-256 krüpteerimine kinnitatud (vaikimisi lubatud)
  5. TLS 1.3 jõustatud kõikidel otspunktidel
  6. API võtmed hoitud keskkonnamuutujates või secrets manageris
  7. Testvõtmed vahetatud elukvõtmete vastu
  8. API otspunktidele kiirusepiirangud seadistatud
  9. Webhookide HMAC kinnitus implementeeritud
  10. Auditi logimine lubatud ja säilitamisperiood seatud
  11. Turvaseire ja hoiatused seadistatud
  12. Intsidentidele reageerimise plaan dokumenteeritud
  13. Varukoopiad testitud (proovi taastamist)
  14. Kooskõlastusnõuded dokumenteeritud ja täidetud

Mida edasi teha