Security without compromise

Арганізацыйная бяспека

Патрабаванні палітыкі бяспекі звестак Crowdin датычацца ўсёй арганізацыі Crowdin і з'яўляюцца абавязковымі для ўсіх супрацоўнікаў і тых, хто ўдзельнічае ў гэтых бізнес-працэсах. ISMS заснавана на трох падмурках: людзях, працэсах і тэхналогіях, з шырокай рэалізацыяй архітэктуры нулявога даверу (ZTA). Архітэктура нулявога даверу працуе на прынцыпе "ніколі не давяраць, заўсёды правяраць", што азначае, што доступ да рэсурсаў ніколі не давяраецца прадвызначана на падставе месцазнаходжання карыстальніка або прылады. Наадварот, для кожнай спробы атрымання доступу патрабуюцца строгае спраўджанне асобы і пастаянная аўтэнтыфікацыя, незалежна ад таго, ці паходзіць яна знутры або звонку сеткі. Дырэктар службы інфармацыйнай бяспекі (CISO) адказвае за забеспячэнне належнай абароны інфармацыйных актываў і тэхналогій.

Навучанне і павышэнне дасведчанасці аб бяспецы

At Crowdin, all employees complete ongoing security and awareness training throughout the year. Each new team member completes basic security training within the first month of hire. We conduct regular access audits, password updates and operate on the principle of the least privilege. Role-specific security training is also required.

Апаратная бяспека

Усе прылады супрацоўнікаў маюць зашыфраваныя жорсткія дыскі. Толькі прызначаны сістэмны адміністратар выконвае ўсталёўку, канфігурацыю або змяненне абсталявання і праграмнага забеспячэння. Дастаўка, выдаленне абсталявання ў/з цэнтру апрацоўкі даных дазволены, рэгіструюцца і кантралюецца. Для доступу да абсталявання працоўнай станцыі, сэрвісаў і праграм абавязкова неабходны ўліковыя даныя карыстальніка (напрыклад, ідэнтыфікатар карыстальніка/пароль і г.д.).

• BYOD (Прынясіце сваю ўласную прыладу) абмежаваны. Канфідэнцыяльныя даныя апрацоўваюцца толькі на прыладах, якімі кіруе кампанія.
• Прылады, якія кіруюцца кампаніяй, абсталяваны MDM, бінарнымі сістэмамі аўтарызацыі і маніторынгу, антывірусным праграмным забеспячэннем і абнаўленнямі праграмнага забеспячэння, якія кантралююцца.
• Абавязковыя апаратныя ключы – доступ да даных кампаніі кантралюецца абавязковымі апаратнымі ключамі 2FA.
• Кантэкстна-залежны доступ – доступ да карпаратыўных даных дазволены толькі з кіраваных прылад кампаніі;
• Абмежаванні доступу на аснове размяшчэння прымяняюцца.
• Бінарная аўтарызацыя і маніторынг - Могуць быць выкананы толькі дазволеныя бінарныя файлы на прыладах супрацоўнікаў.

Фізічная бяспека

Офіс Crowdin кантралюецца і абараняецца сістэмай апавяшчэння і абсталяваны супрацьпажарнымі сістэмамі апавяшчэння. Камеры відэаназірання (CCTV) усталяваны па ўсім офісе і фіксуюць уваходы, выхады і іншыя вызначаныя зоны. Супрацоўнікі Crowdin не маюць фізічнага доступу да нашых вытворчых аб'ектаў, бо наша ўся інфраструктура знаходзіцца ў воблаку. Ахоўваемыя зоны абаронены сістэмамі кантролю доступу, таму толькі аўтарызаваныя асобы маюць дазвол на доступ.

Сеткавая бяспека

Наша ўнутраная сетка абмежавана, сегментавана, абаронена паролем, і ўсе падзеі, звязаныя з бяспекай сеткі, рэгіструюцца.

Бяспека праграмнага забеспячэння

У Crowdin працуе каманда спецыялістаў па серверах, якія працуюць кругласутачна, каб падтрымліваць наша праграмнае забеспячэнне і яго залежнасці ў актуальным стане, ліквідуючы патэнцыйныя ўразлівасці бяспекі. Мы выкарыстоўваем рашэнні для маніторынгу, каб прадухіліць і ліквідаваць атакі на нашы сайты.

• Спіс дазволенага праграмнага забеспячэння - толькі ўхваленае праграмнае забеспячэнне і ўбудовы для браўзераў дазволены на прыладах кампаніі.
• Кантроль OAuth-праграм - Праграмы OAuth з доступам да карпаратыўных даных пастаянна кантралююцца і адсочваюцца.
• Доступ да сэрвісаў воблака ажыццяўляецца праз SAML з кантэкстна-залежным доступам.

Рэагаванне на інцыдэнты

Crowdin рэалізуе пратакол апрацоўкі падзей бяспекі, які ўключае працэдуры эскалацыі, хуткае змякчэнне наступстваў і аналіз пасля іх. Усе супрацоўнікі праінфармаваны аб нашай палітыцы.

Праверка супрацоўнікаў

Crowdin праводзіць праверку ўсіх новых супрацоўнікаў, падрадчыкаў або іншых асоб, якія маюць доступ да сістэм, сеткі або фізічных цэнтраў апрацоўкі даных у адпаведнасці з мясцовымі законамі.

Бяспека трэціх асоб і агенцтваў

Crowdin maintains vendor risk management practices to ensure third parties are scrutinized and maintain expected levels of security controls. View our List of Sub-processors.