Jak chronione są środki i dane

Brak salda wielokrotnego użytku

Twoje konto nie posiada salda. Depozyt jest powiązany z zamówieniem, przeliczany, a następnie wypłacany. Nie ma funkcji przechowywania, wypłat do osób trzecich ani przelewów między kontami.

Minimalny czas przechowywania

Czas, przez który środki znajdują się pod naszą kontrolą, jest ograniczony do potwierdzenia sieci, kontroli zgodności i realizacji wypłaty. Skrócenie tego okna jest najskuteczniejszym środkiem bezpieczeństwa, wyprzedzającym wszelkie urządzenia techniczne.

Dedykowany adres depozytowy

Każde zamówienie otrzymuje własny adres. Depozyt jest zatem jednoznacznie przypisywalny, a adres nie może być ponownie użyty do wprowadzenia klienta w błąd co do miejsca docelowego.

Separacja gorąca i zimna

Tylko operacyjna część niezbędna do rozliczenia bieżących zamówień pozostaje na podłączonych podpisujących. Reszta jest przechowywana offline, z podzielonymi kluczami i progiem wielopodpisowym.

Wydzielone środki klientów

Środki w trakcie przeliczania są księgowane oddzielnie od środków własnych. Nie finansują żadnej działalności firmy i nie są pożyczane ani zastawiane.

Podwójna akceptacja wypłat

Powyżej progu, polecenie wypłaty wymaga dwóch oddzielnych akceptacji. Pojedynczy skompromitowany dostęp wewnętrzny nie wystarczy zatem do wyprowadzenia środków.

Szyfrowanie w transmisji

Cały ruch odbywa się przez TLS, bez wyjątków i bez powrotu do zwykłego tekstu. Ścisły transport jest wymuszany przez nagłówek, co zapobiega początkowemu niezaszyfrowanemu żądaniu.

Szyfrowanie w spoczynku

Bazy danych, kopie zapasowe i przechowywanie dokumentów są szyfrowane. Obrazy dokumentów tożsamości i nagrania żywotności znajdują się w magazynie oddzielonym od danych konta.

Tajemnice i klucze

Żadnych tajemnic w kodzie ani w logach. Klucze szyfrujące są przechowywane przez dedykowaną usługę, z zaplanowaną rotacją i oddzieleniem między posiadaczem klucza a osobą uzyskującą dostęp do danych.

Oczyszczone logi

Identyfikatory bankowe, klucze wypłat i treść dokumentów są usuwane z logów aplikacji w momencie zapisu. Incydent dotyczący logów nie ujawnia zatem żadnych użytecznych danych płatniczych.

Hasła

Przechowywane jako skrót z wolną funkcją wyprowadzania klucza i unikalną solą. Nie możemy ich odczytać, więc nie możemy Ci ich przypomnieć — możemy jedynie pozwolić Ci je zresetować.

Zasada najmniejszych uprawnień

Dostęp jest przyznawany według roli i do zadania. Wsparcie nie widzi dokumentów tożsamości; zgodność nie może zmienić kwoty; inżynieria nie dociera do plików klientów w produkcji.

Obowiązkowy drugi czynnik

Brak dostępu wewnętrznego bez sprzętowego drugiego czynnika. Kody SMS nie są akceptowane do dostępu wewnętrznego: są podatne na przejęcie numeru.

Rejestrowanie dostępu

Każde otwarcie pliku weryfikacyjnego jest rejestrowane z agentem i znacznikiem czasu. Logi są przechowywane i okresowo przeglądane.

Brak danych produkcyjnych w innych miejscach

Środowiska programistyczne i testowe działają na danych syntetycznych. Kopiowanie produkcyjnej bazy danych na stację roboczą jest zabronione i technicznie uniemożliwione.

Proces odejścia i przegląd dostępu

Dostęp jest odbierany, gdy ktoś odchodzi, i okresowo przeglądany. Nieużywany dostęp jest usuwany, a nie utrzymywany „na wszelki wypadek”.

1. 01

   Włącz drugi czynnik

   Aplikacja uwierzytelniająca lub klucz sprzętowy. Staje się obowiązkowy powyżej drugiego poziomu weryfikacji. Brak drugiego czynnika pozostaje główną przyczyną przekierowania wypłat obserwowaną w tym sektorze.

2. 02

   Sprawdź swoje sesje

   Aktywne sesje są wyświetlane z urządzeniem, przybliżoną lokalizacją i datą. Możesz zdalnie unieważnić jedną bez zmiany hasła.

3. 03

   Okres ochłodzenia dla nowego beneficjenta

   Dodanie konta docelowego wyzwala powiadomienie i opóźnienie, zanim będzie mogło otrzymać wysoką kwotę. To opóźnienie istnieje, aby nieuczciwy dostęp nie zamienił się natychmiast w przelew.

4. 04

   Powiadomienia o zmianach

   Zmiana hasła, dodanie beneficjenta, włączenie lub wyłączenie drugiego składnika uwierzytelnienia: każde zdarzenie wysyła wiadomość na zarejestrowany adres, także wtedy, gdy dokonasz tego samodzielnie.

5. 05

   Rozpoznawanie phishingu

   Nigdy nie poprosimy Cię o frazę odzyskiwania, nigdy nie poprosimy o wpłatę na adres przesłany w wiadomości, nigdy nie poprosimy o przelanie środków w celu „zabezpieczenia” konta. Adres depozytowy istnieje wyłącznie w Twoim zamówieniu.

Te nagłówki pochodzą z konfiguracji serwera, a nie z opcjonalnej warstwy. Nie zastępują kontroli aplikacji: zamykają drzwi, które może zamknąć tylko przeglądarka.

1. 01

   Wykrywanie i triaż

   Alerty o nietypowym dostępie, seriach nieudanych uwierzytelnień i rozbieżnościach w uzgodnieniach. Alert jest triażowany przez osobę, nigdy nie zamykany automatycznie.

2. 02

   Powstrzymanie

   Unieważnienie danego dostępu, wstrzymanie wypłat, jeśli wątpliwość dotyczy ruchu środków, izolacja dotkniętego komponentu. Usługa może być celowo przerwana: wolimy awarię niż wątpliwą płatność.

3. 03

   Powiadomienie

   Naruszenie danych osobowych mogące stwarzać ryzyko jest zgłaszane organowi nadzorczemu w ciągu 72 godzin, a bezpośrednio osobom, których dotyczy, gdy ryzyko jest wysokie.

4. 04

   Przywrócenie do działania

   Odtworzenie z zaszyfrowanych kopii zapasowych, których procedura przywracania jest testowana — kopia nigdy nieprzywracana nie jest kopią zapasową.

5. 05

   Nota publiczna

   Publikujemy notę o incydencie opisującą, co się wydarzyło, co było narażone i co się zmieniło, nawet jeśli indywidualne powiadomienie nie jest wymagane.

Brak audytu zewnętrznego do tej pory

Nie przeprowadzono testów penetracyjnych przez stronę trzecią ani certyfikacji. Dlatego nie wyświetlamy żadnego logo audytu, pieczęci ani oświadczenia o certyfikacji. W dniu, w którym audyt zostanie przeprowadzony, jego zakres i data pojawią się tutaj.

Transakcja w łańcuchu nie może być cofnięta

Żaden środek bezpieczeństwa nie czyni potwierdzonego transferu w sieci publicznej odwracalnym. To właściwość sieci, a nie luka po naszej stronie.

Zainfekowane urządzenie

Jeśli Twój komputer lub telefon jest zainfekowany, drugi składnik uwierzytelnienia oparty na aplikacji może zostać ominięty. Klucz sprzętowy pozostaje jedyną naprawdę odporną ochroną w takim przypadku.

Dostawcy płatności

Gdy instrukcja dotrze do instytucji płatniczej, routing zależy od jej infrastruktury i banków pośredniczących. Wybieramy naszych dostawców, ale ich nie obsługujemy.

Zero ryzyka

Nie obiecujemy tego. Co możemy obiecać, to zmniejszona powierzchnia ataku, szybkie wykrywanie i komunikacja, która nie bagatelizuje problemu.