Turvalisus

Nõusolekukirjed on tõendid. Kui need võivad kaduma minna, muutuda või lekkida, ei kaitse need sind auditis. Sellel lehel kirjeldame, kuidas Cookiesh hoiab teenuse ja sinu andmed turvalisena. Enterprise-kliendid saavad küsida üksikasjalikumat dokumentatsiooni ja täidetud turvaküsimustikke aadressilt security@cookiesh.eu.

Taristu

• Cookiesh platvorm töötab Amazon Web Servicesis Frankfurdis Saksamaal, mitmes käideldavustsoonis.
• Nõusolekuskripti serveeritakse Cloudflare’i ülemaailmsest servavõrgust, mis neelab ka teenusetõkestamise rünnakud.
• Tootmis-, testimis- ja arenduskeskkond on täielikult eraldatud. Kliendiandmeid ei kasutata kunagi testimiseks.
• Taristu on kirjeldatud koodina, see vaadatakse üle nagu rakenduse kood ja juurutatakse automaatselt.

Andmekaitse

• Krüpteerimine edastamisel. Kogu liiklus kasutab TLS 1.2 või uuemat versiooni ning igal Cookiesh domeenil on HSTS.
• Krüpteerimine salvestamisel. Andmebaasid, varukoopiad ja ekspordid krüpteeritakse AES-256-ga ning võtmeid hallatakse AWS Key Management Service’is.
• Andmete minimeerimine. Nõusolekukirjed sisaldavad pseudonüümset ID-d, mitte kunagi toorest IP-aadressi. Funktsioonile identify() antud kasutaja ID-d salvestatakse ainult soolatud räsidena.
• Andmete hoidmine ELis. Nõusolekukirjeid hoitakse ja töödeldakse ELis. Meie alamtöötlejate leht loetleb kõik teenusepakkujad, kes isikuandmeid töötlevad.

Võltsimiskindlad nõusolekukirjed

Nõusolekukirjed on ainult lisatavad. Iga kirje sisaldab SHA-256 räsi oma sisust ja sellele eelnevast kirjest, moodustades iga saidi kohta ahela. Mis tahes kirje muutmine või kustutamine rikub kõik järgnevad räsid, nii et võltsimine on tuvastatav.

Kontrollime iga ahelat automaatselt kord päevas. Enterprise-kliendid saavad ahela tõendid eksportida ja neid iseseisvalt kontrollida.

Rakenduse turvalisus

• Kõik koodimuudatused vaatab enne ühendamist üle teine arendaja.
• Automaatsed kontrollid skannivad iga muudatust haavatavate sõltuvuste, lekkinud saladuste ja levinud turvavigade suhtes.
• Sõltumatu ettevõte testib platvormi turvanõrkuste suhtes vähemalt kord aastas ja me parandame leiud tõsiduse järjekorras.
• Töölaud toetab ühekordset sisselogimist SAML 2.0 kaudu ja nõuab paroolipõhise sisselogimise korral mitmeastmelist autentimist.

Skripti terviklus

Nõusolekuskript töötab meie klientide veebisaitidel, seega käsitleme seda eriti hoolikalt:

• Väljalasked ehitatakse isoleeritud torustikus ja need vajavad kahe inseneri heakskiitu.
• Versioonitud skripti-URL-id toetavad Subresource Integrity (SRI) räsisid, nii et brauserid keelduvad muudetud faili laadimast.
• Skript töötab range Content Security Policy korral. See toetab nonce’e ega kasuta funktsiooni eval().
• Skript ei sea peale küpsise cookiesh_consent ühtki teist küpsist ega saada andmeid kolmandatele osapooltele.

Juurdepääsu haldus

• Töötajad saavad juurdepääsu tootmissüsteemidele ainult siis, kui nende roll seda nõuab, ja iga juurdepääs logitakse.
• Juurdepääs tootmiskeskkonnale nõuab ühekordset sisselogimist ja riistvarapõhist mitmeastmelist autentimist.
• Vaatame juurdepääsuõigused üle igas kvartalis ja eemaldame need samal päeval, kui keegi rolli vahetab või lahkub.
• Töötajad läbivad turvalisuse ja privaatsuse koolituse tööle asumisel ja seejärel igal aastal.

Käideldavus ja varukoopiad

• Andmebaasidest tehakse pidevalt varukoopiaid ning viimase 30 päeva andmed saab taastada mis tahes ajahetke seisuga.
• Testime varukoopiatest taastamist igas kvartalis.
• Kui nõusolekuteenus ei ole kättesaadav, kasutab skript külastaja salvestatud valikut või uute külastajate puhul piirkonna kõige kaitsvamat vaikeseadet. See ei jäta skripte kunagi blokeerimata.
• Enterprise-paketid sisaldavad 99,99% käideldavuse SLA-d.

Intsidentidele reageerimine

Meil on dokumenteeritud intsidentidele reageerimise plaan ja ööpäevaringselt valves olevad insenerid. Kui turvaintsident mõjutab sinu andmeid, teavitame sind põhjendamatu viivituseta ja hiljemalt 48 tunni jooksul pärast sellest teada saamist, nagu nõuab meie andmetöötlusleping. Seejärel hoiame sind kursis kuni intsidendi lahendamiseni.

Turvanõrkustest teatamine

Kui arvad, et oled leidnud Cookieshist turvanõrkuse, saada e-kiri aadressil security@cookiesh.eu koos üksikasjade ja taasesitamise sammudega. Kinnitame sinu teate kättesaamist kahe tööpäeva jooksul ja hoiame sind parandamise käigus kursis.

Me ei võta õiguslikke meetmeid heas usus tegutsevate uurijate vastu. See tähendab, et sa ei pääse ligi teiste inimeste andmetele ega muuda neid, ei halvenda teenuse toimimist ja annad meile mõistliku aja probleemi parandamiseks enne selle avalikustamist.