1. Область применения
1.1. Политика описывает технические и организационные меры защиты сайта, личного кабинета, торговой платформы, данных клиентов и внутренних систем Компании.
1.2. Она распространяется на все устройства, сервисы и сотрудников Компании, а также на подрядчиков с доступом к её системам.
2. Защита каналов связи
- Все соединения клиента с серверами Компании защищены актуальной версией TLS. Устаревшие протоколы и слабые шифры отключены.
- Торговые данные между платформой и серверами идут по шифрованным каналам с проверкой подлинности сервера.
- Внутренние сервисы изолированы в закрытых сегментах сети без доступа из интернета.
3. Защита учётной записи
3.1. Пароль: не менее 10 символов, с буквами разного регистра и цифрами. Пароли хранятся только как хэш с солью, сотрудники не имеют к ним доступа.
3.2. Двухфакторная аутентификация включается в личном кабинете и настоятельно рекомендуется. Поддерживаются приложения с одноразовыми кодами и подтверждение по почте.
3.3. О входе с нового устройства или из новой страны клиент получает уведомление. Подозрительные попытки входа блокируются, после нескольких неверных паролей вход временно ограничивается.
3.4. Вывод средств подтверждается дополнительным кодом. Смена реквизитов вывода, почты и телефона подтверждается через прежний канал связи.
3.5. Активные сессии видны в личном кабинете, любую из них можно завершить.
4. Хранение данных
- Документы верификации хранятся в зашифрованном виде в отдельном хранилище с ограниченным доступом.
- Полные номера карт не хранятся. Платежи идут через токены провайдеров, сертифицированных по PCI DSS.
- Резервные копии создаются ежедневно, шифруются и хранятся в географически удалённом дата-центре. Восстановление регулярно тестируется.
5. Инфраструктура
5.1. Серверы размещены в сертифицированных дата-центрах с контролем физического доступа, резервным питанием и дублированными каналами связи.
5.2. Используются защита от DDoS-атак, межсетевые экраны уровня приложений и системы обнаружения вторжений.
5.3. Обновления безопасности ставятся в приоритетном порядке. Критические уязвимости закрываются в течение 72 часов после выхода исправления.
5.4. Торговые серверы работают в отказоустойчивой конфигурации. Плановые работы проводятся при закрытых рынках с предварительным уведомлением клиентов.
6. Мониторинг и аудит
6.1. Действия в личном кабинете, операции по счёту и обращения к внутренним системам журналируются. Журналы защищены от изменений и хранятся не менее 12 месяцев.
6.2. Автоматика выявляет нетипичную активность: вход с необычных адресов, массовый подбор пароля, аномальные паттерны торговли, попытки обойти ограничения. Подозрительные события проверяет служба безопасности.
6.3. Не реже раза в год проводится независимый тест на проникновение. Найденные недостатки устраняются по плану с контролем сроков.
7. Реагирование на инциденты
- Обнаружение и регистрация инцидента, оценка его влияния.
- Локализация: ограничение доступа, изоляция затронутых систем, при необходимости временная остановка сервисов.
- Устранение причины и восстановление работы.
- Уведомление затронутых клиентов и регулятора в установленные законом сроки, если пострадали персональные данные или средства клиентов.
- Разбор инцидента и обновление мер защиты.
8. Доступ сотрудников
8.1. Доступ к данным клиентов выдаётся по принципу минимальных прав и только тем сотрудникам, кому он нужен для работы. Права пересматриваются при смене должности и сразу отзываются при увольнении.
8.2. В административные системы можно войти только с корпоративных устройств по защищённому соединению с двухфакторной аутентификацией.
8.3. Сотрудники подписывают обязательство о неразглашении и обучаются информационной безопасности при приёме на работу и далее ежегодно.
9. Рекомендации клиенту
- включите двухфакторную аутентификацию;
- используйте уникальный пароль, не применяемый на других сайтах;
- никому не сообщайте пароль и коды подтверждения, даже тем, кто представляется сотрудником Компании. Сотрудники никогда не запрашивают пароль;
- проверяйте адрес сайта в браузере перед вводом данных;
- обновляйте операционную систему, браузер и антивирус;
- не входите в личный кабинет через публичный Wi-Fi без VPN;
- при подозрении на компрометацию сразу смените пароль и сообщите в поддержку.
10. Сообщение об уязвимостях
10.1. Нашли уязвимость в сайте или платформе? Напишите на [EMAIL ПОДДЕРЖКИ] с темой «Безопасность»: опишите шаги воспроизведения и не используйте уязвимость для доступа к чужим данным. Компания подтвердит получение в течение 2 рабочих дней.
11. Пересмотр политики
11.1. Политика пересматривается не реже раза в год и при существенных изменениях инфраструктуры или законодательства. Актуальная редакция публикуется на сайте.