सुरक्षा
सुरक्षा श्वेतपत्र
हम अपने स्वयं के सिस्टम, अपनी विकास पद्धति और अपने ग्राहकों की तैनातियों को कैसे सुरक्षित रखते हैं।
दृष्टिकोण
RODMENA एक UK सॉफ़्टवेयर कंपनी है जो टिकाऊ, दोष-सहिष्णु प्रणालियों में विशेषज्ञता रखती है। हम अपनी सुरक्षा पर भी वही अनुशासन लागू करते हैं: सभी सेवाओं के लिए ट्रांज़िट में एन्क्रिप्शन, प्रणालियों तक न्यूनतम-विशेषाधिकार पहुँच, सुदृढ़ स्व-प्रबंधित अधोसंरचना, और विफलताओं को सीमित करने तथा उनसे पुनर्प्राप्ति के लिए डिज़ाइन की गई विकास पद्धति। हम न्यूनतम व्यक्तिगत डेटा रखते हैं, जो व्यावसायिक पत्राचार तक सीमित है, और यह वेबसाइट किसी एनालिटिक्स, ट्रैकर या विज्ञापन कुकी का उपयोग नहीं करती।
एक छोटी इंजीनियरिंग कंपनी के रूप में हमारा हमले का दायरा सीमित है, और जो लोग हमारे सिस्टम चलाते हैं वही उन्हें बनाने वाले लोग हैं, इसलिए जवाबदेही सीधी है। जहाँ नीचे दिया गया कोई नियंत्रण किसी विशिष्ट कार्य के लिए विशिष्ट है, वहाँ उसका सटीक स्वरूप अनुबंध दस्तावेज़ में तय किया जाता है।
पहचान और एक्सेस नियंत्रण
- बहु-कारक प्रमाणीकरण
- मुख्य खाते, जिनमें कोड होस्टिंग, अवसंरचना और ईमेल शामिल हैं, MFA तथा पासवर्ड प्रबंधक में मजबूत, अद्वितीय क्रेडेंशियल द्वारा सुरक्षित हैं।
- न्यूनतम विशेषाधिकार
- प्रोडक्शन पहुँच उन्हीं तक सीमित है जिन्हें इसकी आवश्यकता है और यह SSH कुंजी द्वारा होती है, पासवर्ड लॉगिन के बिना। रूट पहुँच का दैनिक उपयोग नहीं किया जाता।
- ग्राहक सिस्टम (RBAC)
- हमारा सॉफ़्टवेयर भूमिका-आधारित एक्सेस नियंत्रण और मल्टी-टेनेंट आइसोलेशन का समर्थन करता है, तथा टेनेंट डेटा रखने वाले उत्पादों में PostgreSQL पंक्ति-स्तरीय सुरक्षा उपलब्ध है।
- SSO
- ग्राहक परिनियोजनों के लिए, आपके आइडेंटिटी प्रोवाइडर के साथ एकीकरण प्रत्येक एंगेजमेंट के अनुसार निर्धारित किया जाता है।
एन्क्रिप्शन
- पारगमन में
- सभी सार्वजनिक सेवाएँ TLS का उपयोग करती हैं, और HTTP ट्रैफ़िक को HTTPS पर पुनर्निर्देशित किया जाता है।
- विश्रामावस्था में
- प्रबंधित डेटाबेस फ्लीट एन्क्रिप्टेड डिस्क पर चलती है, और डेटाबेस बैकअप अपने होस्ट से निकलने से पहले एन्क्रिप्ट किए जाते हैं। कुछ एप्लिकेशन होस्ट अभी अपनी डिस्क एन्क्रिप्ट नहीं करते। ग्राहक तैनातियों के लिए हम मानक रूप में एन्क्रिप्टेड स्टोरेज और एन्क्रिप्टेड PostgreSQL बैकअप की सिफ़ारिश करते हैं और उन्हें कॉन्फ़िगर करते हैं।
सुरक्षित विकास
- वर्शन नियंत्रण
- सारा कोड Git में समीक्षायोग्य इतिहास के साथ रखा जाता है। सीक्रेट्स को कभी भी रिपॉज़िटरी में कमिट नहीं किया जाता।
- निर्भरताएँ
- हम निर्भरताओं को न्यूनतम रखते हैं (Highway को केवल PostgreSQL की आवश्यकता होती है, कोई Kafka, Redis या बाहरी कतारें नहीं) और सुरक्षा सलाह प्रकाशित होने पर उन्हें शीघ्र अद्यतन करते हैं।
- परीक्षण
- परिवर्तनों को जारी करने से पहले सत्यापित किया जाता है, और एक स्वचालित सत्यापन सूट प्रत्येक परिवर्तन पर इस वेबसाइट की जाँच करता है।
लॉगिंग, बैकअप और लचीलापन
- लॉगिंग
- सर्वर एक्सेस और एरर लॉग सुरक्षा निगरानी के लिए रखे जाते हैं और नियमित रूप से रोटेट किए जाते हैं। लॉग में केवल परिचालन मेटाडेटा दर्ज होता है, व्यक्तिगत-डेटा पेलोड नहीं।
- बैकअप
- अनुबंधित कार्य (एंगेजमेंट) के सिस्टमों में तय किए गए रिकवरी लक्ष्यों के अनुसार निर्धारित, एन्क्रिप्टेड और परीक्षित बैकअप होते हैं। चूँकि Highway PostgreSQL-नेटिव है, मानक PostgreSQL बैकअप टूलिंग लागू होती है।
- लचीलापन
- Highway टिकाऊ निष्पादन का उपयोग करता है। यह एप्लिकेशन डेटा और वर्कफ़्लो स्थिति को एक ही ट्रांज़ैक्शन में कमिट करता है, इसलिए क्रैश होने पर आंशिक स्थिति नहीं रह सकती।
भेद्यता प्रबंधन
ऑपरेटिंग सिस्टम और निर्भरताओं को गंभीरता के क्रम में शीघ्र पैच किया जाता है। हम एक जिम्मेदार-प्रकटीकरण नीति और एक मशीन-पठनीय security.txt प्रकाशित करते हैं।
पेनिट्रेशन टेस्टिंग: नियोजित पहले पेनिट्रेशन टेस्ट के बाद दायरे और निष्कर्षों का सारांश Trust Centre पर प्रकाशित किया जाएगा।
घटना प्रतिक्रिया और सूचना
संदिग्ध घटनाओं की तुरंत उन इंजीनियरों द्वारा ट्राइएज की जाती है जो प्रभावित सिस्टम का संचालन करते हैं। जहाँ कोई घटना किसी ग्राहक को प्रभावित करती है, वहाँ हम उस ग्राहक को बिना अनुचित विलंब के सूचित करते हैं, यह बताते हुए कि हमें क्या ज्ञात है, हम क्या कर रहे हैं और हम क्या सुझाव देते हैं। व्यक्तिगत-डेटा उल्लंघनों को UK GDPR के अनुरूप संभाला जाता है, जिसमें आवश्यक होने पर 72 घंटे के भीतर ICO को सूचना देना शामिल है। सुरक्षा संपर्क: security@rodmena.co.uk।
प्रमाणपत्र
RODMENA LIMITED पूरे संगठन के लिए यूके सरकार समर्थित Cyber Essentials योजना के अंतर्गत प्रमाणित है: प्रमाणपत्र 00d24b59-7739-4d97-bb66-341ac50ef018, 30 सितंबर 2027 तक वैध। Cyber Essentials Plus, ICO पंजीकरण और ISO/IEC 27001 की वर्तमान स्थिति Trust Centre पर अद्यतन रखी जाती है।