Безопасность

Для MarketingMonster безопасность — главный приоритет. Вы доверяете нам свои деловые данные, платежную информацию и персональные сведения, и мы относимся к этой ответственности со всей серьезностью. Мы применяем многоуровневый подход к безопасности, сочетающий лучшие отраслевые практики, надежное шифрование и непрерывный мониторинг, чтобы защитить вашу информацию от несанкционированного доступа, утечек данных и киберугроз.

В этом документе описаны меры безопасности, которые мы внедрили для защиты ваших данных и обеспечения целостности нашей платформы. Он распространяется на всех пользователей, сотрудников, подрядчиков и сторонних поставщиков услуг, которые получают доступ к данным MarketingMonster, обрабатывают или хранят их.

Цель и область применения. Настоящая политика устанавливает минимальные требования безопасности к платформе, инфраструктуре и практикам обработки данных MarketingMonster. Она распространяется на все системы, сети, приложения и персонал, задействованные в обработке пользовательских данных.

Соблюдение обязательных требований. Мы ведем нашу программу безопасности в соответствии с применимыми правовыми и нормативными требованиями, включая законодательство о защите данных и конфиденциальности в юрисдикциях, где мы работаем. Если договорные или нормативные обязательства устанавливают более строгие требования, приоритет имеют именно они.

Шифрование — основа нашей стратегии защиты данных. На нашей платформе применяются следующие меры:

• Все данные, передаваемые между вашим устройством и нашими серверами, шифруются по отраслевому стандарту TLS. Запросы по незащищенному протоколу HTTP перенаправляются, а сеансовые файлы cookie помечены как защищенные и недоступны для чтения скриптами.
• Конфиденциальные данные при хранении, включая секретные ключи и персональные сведения, шифруются по алгоритму AES-256.
• Пароли хешируются с солью с помощью специализированного алгоритма хеширования паролей, поэтому они никогда не хранятся в открытом виде и не могут быть восстановлены — даже нашей командой.
• Подключения к базе данных проходят аутентификацию и ограничены нашей собственной сетью, а каждый запрос формируется с помощью типизированных драйверов с параметризованными значениями, что исключает атаки путем внедрения кода.
• Мы обновляем протоколы шифрования по мере изменения стандартов, на которые опираемся.

Мы используем надежные механизмы аутентификации, чтобы доступ к аккаунтам имели только авторизованные пользователи. К ним относятся:

• Двухфакторная аутентификация с кодом на основе времени из приложения-аутентификатора.
• Требования к сложности паролей и ограничение частоты попыток входа, чтобы затруднить подбор.
• Управление сеансами с автоматическим завершением после периода бездействия и аннулированием на сервере при выходе из аккаунта или смене пароля.
• Запросы, которые что-либо изменяют, должны поступать со страниц самого MarketingMonster: сервер проверяет источник запроса и отклоняет межсайтовые запросы.

Доступ к конфиденциальным функциям и данным ограничивается в зависимости от ролей и разрешений пользователей. Мы следуем принципу минимальных привилегий: пользователи, сотрудники и системы имеют доступ только к тем данным и функциям, которые им необходимы.

Подтверждение личности. Двухфакторная аутентификация доступна для любого аккаунта, и мы ожидаем, что администраторы будут ее использовать. Аккаунты пользователей проверяются при регистрации через адрес электронной почты, указанный при их создании, а изменения, затрагивающие настройки безопасности, например новый пароль или изменение двухфакторной аутентификации, требуют дополнительного подтверждения.

Проверка доступа. Роли и разрешения пользователей периодически пересматриваются, чтобы доступ оставался обоснованным и соответствовал принципу минимальных привилегий.

MarketingMonster принимает оплату картой и через PayPal с помощью признанных платежных провайдеров, соответствующих стандарту PCI DSS. Платежи проводятся на страницах, размещенных этими провайдерами, поэтому номер карты, код безопасности и учетные данные PayPal вводятся там и никогда не проходят через наши серверы.

• Мы получаем и храним только то, что необходимо для обслуживания вашего аккаунта: сумму, валюту, результат, тариф и идентификатор транзакции у провайдера.
• Каждое уведомление о платеже, которое присылает нам провайдер, перед обработкой проверяется у этого провайдера, а повторяющиеся уведомления отсеиваются, поэтому повторное сообщение никогда не приведет к двойному зачислению платежа.
• Баланс вашего аккаунта ведется по журналу операций, в котором каждое движение средств записывается ровно один раз, поэтому баланс невозможно потратить дважды и он не может оказаться ниже того, что было внесено.
• Данные транзакций шифруются и надежно хранятся, а для аудита и предотвращения мошенничества мы ведем подробные журналы транзакций.

Контроль сторонних провайдеров. Платежные провайдеры, с которыми работает MarketingMonster, перед интеграцией проходят оценку уровня защищенности и соответствия отраслевым стандартам, а затем — периодическую проверку.

Каждый открываемый вами инструмент работает в сеансе, созданном только для вашего аккаунта, на выбранном вами сервере, с использованием подписанного ключа, привязанного к устройству. Сеансы никогда не используются совместно разными пользователями и завершаются, когда вы отключаетесь или истекает время ожидания сеанса; после этого мы храним лишь сам факт существования сеанса и никогда — то, что вы в нем делали.

• Учетные данные, дающие сеансу доступ к стороннему инструменту, хранятся на сервере и никогда не передаются в ваш браузер или на ваше устройство.
• Лимиты сеансов и устройств каждого тарифа контролируются на сервере, а необычные закономерности, например множество устройств или автоматизированный доступ, выявляются и блокируются.
• Приложение для ПК взаимодействует с тем же API с аутентификацией, что и веб-панель управления, обновляется из подписанных выпусков, не читает ваши файлы и не отслеживает вашу работу в интернете за пределами приложения.

Наша инфраструктура размещена на защищенных серверах корпоративного уровня с резервированием систем и регулярным резервным копированием. Мы используем:

• Межсетевые экраны и системы обнаружения вторжений, которые отслеживают и блокируют попытки несанкционированного доступа; ни один элемент уровня данных недоступен из публичного интернета.
• Ограничение частоты запросов на каждой публичной конечной точке, включая вход, регистрацию, сброс пароля и оплату, чтобы вредоносный трафик не мог исчерпать ресурсы сервиса для остальных пользователей.
• Регулярные аудиты безопасности и тестирование на проникновение для выявления и устранения уязвимостей; каждая найденная проблема отслеживается до полного устранения.
• Автоматизированные системы мониторинга и оповещения, выявляющие подозрительную активность в режиме реального времени.
• Планы аварийного восстановления, обеспечивающие непрерывность бизнеса в случае непредвиденных событий и регулярно проходящие плановые проверки.

Мы регулярно обновляем программное обеспечение, системы и зависимости, чтобы устранять известные уязвимости и защищаться от новых угроз. Наша команда разработчиков следует практикам безопасной разработки, проверяет каждое изменение перед выпуском и запускает набор автоматизированных тестов, проверяющих критичные для безопасности сценарии работы платформы.

Исправления безопасности устанавливаются оперативно, а чтобы быть в курсе потенциальных угроз, мы отслеживаем бюллетени безопасности поставщиков и профильных организаций в области информационной безопасности.

Раскрытие информации об уязвимостях. Мы придерживаемся политики ответственного раскрытия информации. Исследователи безопасности и любые другие лица могут сообщать о предполагаемых уязвимостях на [email protected]. Мы подтверждаем получение сообщений и расследуем их в соответствии с нашим процессом ответственного раскрытия и не преследуем исследователей, которые действуют добросовестно и дают нам разумное время на устранение обнаруженных проблем.

Мы регулярно выполняем автоматическое резервное копирование всех данных аккаунтов для обеспечения их целостности и доступности. Резервные копии шифруются и хранятся в защищенных, географически распределенных местах.

• Наши системы резервного копирования регулярно тестируются, чтобы убедиться в их корректной работе.
• Мы храним несколько резервных копий с разными сроками хранения для защиты от потери данных, а по истечении срока хранения резервные копии уничтожаются, чтобы удаленные данные не сохранялись.
• На случай потери или повреждения данных у нас есть процедуры, позволяющие как можно быстрее восстановить ваши данные.

Хотя мы применяем надежные меры безопасности, вы также играете ключевую роль в защите своего аккаунта:

• Используйте надежный уникальный пароль и включите двухфакторную аутентификацию. Храните ключ для ручной настройки в надежном месте.
• Никогда не сообщайте свои учетные данные другим людям. Один аккаунт предназначен для одного человека.
• Своевременно обновляйте устройства, браузер и приложение для ПК, устанавливая последние исправления безопасности.
• Остерегайтесь фишинга и подозрительных писем. Мы никогда не запрашиваем пароль по электронной почте, а оплата всегда проходит только на страницах наших платежных провайдеров.
• Прежде чем передавать какую-либо конфиденциальную информацию, всегда убеждайтесь, что сообщение действительно от MarketingMonster, и выходите из аккаунта на общих устройствах.
• Если вы заметили подозрительную активность, немедленно свяжитесь с нами по адресу [email protected].

Пересмотр и обновление. Настоящая политика периодически пересматривается и при необходимости обновляется с учетом изменений в технологиях, нормативных требованиях и лучших отраслевых практиках. Актуальная версия опубликована на нашей платформе.

Обеспечение соблюдения. Соблюдение настоящей политики обязательно для всех сотрудников, подрядчиков и третьих лиц, имеющих доступ к системам или данным MarketingMonster. Нарушения могут повлечь дисциплинарные меры, вплоть до прекращения доступа или увольнения, а в случаях, предусмотренных законом, сведения о них могут быть переданы в соответствующие органы.

Утверждение. Настоящая политика утверждена назначенным органом MarketingMonster, ответственным за безопасность и управление. Любые исключения из настоящей политики должны быть официально запрошены, задокументированы и утверждены в письменной форме уполномоченным лицом.

Исключения. Запросы на исключения из настоящей политики подаются в письменной форме назначенному органу по вопросам безопасности и должны содержать обоснование, оценку рисков и предлагаемые компенсирующие меры контроля. Одобренные исключения действуют ограниченный срок и подлежат периодическому пересмотру.

Вопросы по настоящей политике можно направлять на [email protected].