Сигурност в ExecuteOS

1.Сертифициране и съответствие

ExecuteOS поддържа сертификат по ISO/IEC 27001:2022 (номер ISMS/262177/BG, издаден от CSB Ltd., валиден от 19 януари 2026 г. до 18 януари 2029 г.), който обхваща Системата за управление на сигурността на информацията за платформата ExecuteOS. Системата е преминала независим одит и е сертифицирана от CSB Ltd., като обхваща всички аспекти на разработването и експлоатацията на платформата и работата с данни. Актуален сертификат се предоставя при поискване на security@ahaplay.com.

ExecuteOS работи в съответствие с Общия регламент относно защитата на данните на ЕС (GDPR, Регламент 2016/679), UK GDPR и Закона за защита на данните на Обединеното кралство от 2018 г., както и с Регламента за неприкосновеността на личния живот и електронните съобщения (PECR). ExecuteOS съхранява данните на клиентите в ЕС, като цялото основно обработване се извършва в AWS eu-central-1 (Франкфурт). Подобработващите лични данни (раздел 9) поддържат собствени сертификати SOC 2 Type II, ISO 27001 или равностойни, чиито копия се предоставят при поискване на корпоративни Клиентски организации при наличие на приложимо задължение за поверителност.

2.Споразумения за обработване на лични данни

ExecuteOS предоставя на корпоративните Клиентски организации споразумения за обработване на лични данни (DPA), съответстващи на GDPR. Споразумението за обработване на лични данни на ExecuteOS обхваща:

• обхвата и целта на обработването на лични данни;
• списъка на подобработващите лични данни и процедурата за предварително уведомяване 30 дни по-рано при съществени промени в него (раздел 9 и раздел 10.6 от Общите условия за ползване);
• техническите и организационните мерки за сигурност (TOMs), описани в настоящата Политика за сигурност;
• задълженията за уведомяване при нарушение на сигурността на личните данни по членове 33 и 34 от GDPR, включително ангажимента за уведомяване на надзорния орган в срок от 72 часа;
• процедурите за изтриване и връщане на данните при прекратяване;
• правата на одит на Клиентската организация, включително правото при разумно искане да получава приложимите сертификати, обобщения от одити и отговори на въпросници за сигурност.

3.Сигурност на инфраструктурата

ExecuteOS работи върху инфраструктура на AWS, като всички данни на клиентите при съхранение се намират в AWS eu-central-1 (Франкфурт, Германия). Основните компоненти на инфраструктурата са:

Всички използвани услуги на AWS за основното обработване се намират в региона eu-central-1, а за целите на възстановяването при бедствия се извършва междурегионална репликация към вторичен регион в ЕС.

Разделяне на средите

• Производствената, тестовата и развойната среда са напълно изолирани чрез отделни акаунти в AWS или граници на VPC.
• За всяка среда се използват отделни идентификационни данни за базата данни.
• Всяка среда има собствен процес за внедряване.
• Производствените секрети се управляват единствено чрез AWS Secrets Manager и никога не се съхраняват в хранилища на изходен код.
• Процесите за внедряване налагат конфигурации, специфични за средата, и предотвратяват изтичане на секрети между средите.

4.Криптиране

При пренос

• Всички външни връзки използват най-малко TLS 1.2, с предпочитание към TLS 1.3 (само HTTPS, с активиран HSTS).
• Управлението на сертификатите е автоматизирано чрез AWS Certificate Manager (ACM).
• Връзките между API и базата данни са криптирани чрез TLS.
• Вътрешната комуникация между услугите в рамките на AWS VPC използва криптирани канали.

При съхранение

• Цялото хранилище на базата данни е криптирано с AES-256 чрез криптирането на AWS RDS с ключове, управлявани от AWS KMS.
• Файловете в AWS S3 се съхраняват с криптиране от страна на сървъра (SSE) с ключове, управлявани от AWS KMS.
• Томовете с резервни копия са криптирани с AES-256 чрез ключове на AWS KMS, отделни от тези за производствените данни.
• Паролите на потребителите се хешират с BCrypt (коефициент на сложност 10 или по-висок) и никога не се съхраняват в явен вид.

Управление на ключове

• Всички ключове за криптиране се управляват чрез AWS KMS с автоматична ротация по графиците на AWS.
• Секретите за API, токените на трети лица и оперативните идентификационни данни се съхраняват в AWS Secrets Manager, а достъпът до тях е ограничен чрез IAM политики.
• Ключовете за криптиране на резервните копия се съхраняват отделно от ключовете за производствените данни.

5.Мрежова сигурност

• Защитна стена за уеб приложения чрез AWS WAF, конфигурирана с набори от правила на OWASP.
• Защита срещу DDoS атаки чрез AWS Shield Standard (включена в услугите на AWS), допълнена с правила на AWS WAF за ограничаване на честотата на заявките.
• Ограничаване на честотата на заявките на всички крайни точки на API, както за всеки потребител, така и за всяка крайна точка.
• Списъци с разрешени IP адреси, достъпни при поискване за корпоративни Клиентски организации.
• Производствената база данни (AWS RDS) не е публично достъпна и се достъпва само от частните подмрежи на AWS VPC.
• Вътрешният административен достъп изисква WireGuard VPN на собствен хостинг в EC2 с удостоверяване с криптографски ключ и е ограничен до оправомощен персонал на ExecuteOS.
• Откриване на аномалии в трафика и известяване в реално време чрез AWS CloudWatch с автоматично насочване на известията към дежурния екип по сигурността.

6.Резервни копия и възстановяване при бедствия

7.Сигурност на приложението

Удостоверяване и контрол на достъпа

• Удостоверяване с имейл и парола, с хеширане на паролите чрез BCrypt.
• Удостоверяване без парола чрез магически връзки.
• Единен вход (SSO) чрез SAML 2.0 за корпоративни Клиентски организации.
• Многофакторното удостоверяване (MFA) е задължително за административен достъп и е налично за всички Потребителски профили.
• Контрол на достъпа въз основа на роли (RBAC) както на ниво приложение, така и на ниво база данни, с роли като Администратор на Платформата, Администратор на работно пространство, Фасилитатор, Член на програма и Участник.
• Сесийните токени са JSON Web Token (JWT) с конфигурируем срок на валидност и възможност за незабавно отнемане.
• Административното влизане от името на Потребителски профил се записва в неизменими одитни следи, като засегнатият Администратор на работно пространство се уведомява, когато това е разумно осъществимо (Политика за поверителност, §5.3; Общи условия за ползване, §10.9).

Сигурна разработка

• Преглед на кода от колеги чрез заявки за сливане (pull requests) при всички промени в кода.
• Непрекъснато автоматично сканиране на зависимостите за уязвимости чрез Dependabot и еквиваленти на npm audit.
• Статичен анализ на кода, интегриран в процеса CI/CD.
• Защита срещу рисковете от OWASP Top 10 като базово изискване за целия производствен код.
• Ежегодни тестове за проникване от трета страна, като обобщените доклади се предоставят при поискване на корпоративни Клиентски организации при условия на поверителност.
• Програма за отговорно разкриване на уязвимости за изследователи по сигурността (раздел 12).

Сигурност на API

• Защита на ниво ред (RLS) в базата данни, която гарантира изолацията между Работните пространства.
• Валидиране и санитизиране на входните данни на всички крайни точки на API.
• Политики за CORS, които ограничават заявките от друг произход.
• Ограничаване на честотата на заявките за всеки потребител и за всяка крайна точка, което предотвратява злоупотреби.
• Записване на заявките и откриване на аномалии, с насочване на известията към екипа по сигурността чрез AWS CloudWatch.

8.Сигурност на ИИ (изкуствен интелект)

Споразумения с доставчиците на ИИ

Работа с данни при ИИ

• Данните от разговорите с ИИ се съхраняват 7 дни след края на разговора и след това се изтриват автоматично (Политика за поверителност, §3.7).
• Качените документи (например PDF файлове) се обработват в паметта от доставчика на ИИ, а копията при ExecuteOS се изтриват след 7 дни.
• Към доставчиците на ИИ не се изпращат идентификатори на Потребителски профили, имейл адреси или данни за вход, а само съдържанието, което потребителят въвежда във функциите с ИИ (цели, контекст за екипа, качени документи, име на организацията).
• Резултатите от ИИ се преглеждат и филтрират, преди да се покажат в Платформата.
• Прилагат се и непрекъснато се актуализират мерки срещу инжектиране на промптове.

9.Подобработващи лични данни

ExecuteOS възлага на следните подобработващи лични данни предоставянето на Платформата. Всички те са обвързани със споразумения за обработване на лични данни, съответстващи на член 28 от GDPR:

10.Защита и съхранение на данните

Права по GDPR

ExecuteOS съдейства за упражняването на всички права на субектите на данни по членове от 15 до 22 от GDPR в съответствие с Политиката за поверителност на ExecuteOS. Исканията на субектите на данни могат да се подават на privacy@ahaplay.com или чрез настройките за поверителност на профила в платформата.

Срокове за съхранение

Пълният и водещ график за съхранение на данните е посочен в раздел 7 от Политиката за поверителност. Основните срокове включват:

11.Оперативна сигурност

Реакция при инциденти

• Документиран план за реакция при инциденти, съобразен с ISO/IEC 27001 и включен в ISMS.
• Класификация по степен на сериозност (критична / висока / средна / ниска) със съответните процедури за реакция и пътища за ескалация.
• Целевите срокове за първоначална реакция при инциденти, докладвани от Клиента, са посочени в раздел 2.4 от Споразумението за ниво на обслужване (SLA).
• Уведомяване на компетентния надзорен орган в срок от 72 часа при потвърдени нарушения на сигурността на личните данни, които е вероятно да породят риск за правата и свободите на физическите лица (чл. 33 от GDPR), като засегнатите Клиентски организации и лица се уведомяват, когато това се изисква (чл. 34).
• Преглед след всеки инцидент и анализ на първопричината (RCA), като извлечените поуки се включват в цикъла за непрекъснато подобрение на ISMS.

Мониторинг и журнали

• Денонощен мониторинг на наличността с автоматично известяване чрез AWS CloudWatch.
• Мониторинг на производителността на приложението (APM), който обхваща времето за отговор, процента на грешките и използването на ресурси.
• Записване на събития, свързани със сигурността, с експорт на журнали, готов за системи SIEM.
• Неизменими одитни следи за административните действия, включително влизането от името на Потребителски профил.
• Откриване на аномалии в събитията за удостоверяване и в моделите на използване на API.
• Одитни следи за достъпа на персонала на ExecuteOS до Работните пространства на Клиента, които се предоставят на съответната Клиентска организация при разумно искане (Общи условия за ползване, §10.9).

Непрекъснатост на дейността

• Документиран план за непрекъснатост на дейността (BCP), който обхваща критичните функции на Платформата.
• Възможност за превключване при отказ между няколко региона на AWS в Европейския съюз.
• Планът за непрекъснатост се преглежда ежегодно и се проверява чрез ежегодни учения за възстановяване при бедствия.
• Ангажимент за месечна наличност от 99,9% при платените абонаменти, като методиката на измерване, целевите срокове за реакция, Кредитите за услугата и изключенията са посочени в приложимото Споразумение за ниво на обслужване (SLA).

Сигурност на персонала

• Проверки на служителите с достъп до производствени системи или данни на клиенти, при спазване на приложимото българско трудово право и трудовото право на ЕС.
• Обучение за осведоменост по сигурността за целия персонал при постъпване и след това ежегодно.
• Принципът на най-малките привилегии се прилага във всички системи, а достъп се предоставя само при необходимост.
• Тримесечни прегледи на достъпа.
• Споразумения за поверителност, обвързващи всички членове на екипа и изпълнители, които обхващат данните на клиентите, информацията за сигурността и интелектуалната собственост на ExecuteOS.

12.Отговорно разкриване

ExecuteOS приветства добросъвестните изследвания в областта на сигурността. Ако откриете уязвимост в сигурността на Платформата, моля, съобщете за нея на security@ahaplay.com.

• Потвърждаваме получаването на сигнал за уязвимост в срок от 24 часа.
• Предоставяме график за отстраняване в срок от 5 работни дни.
• Не предприемаме правни действия срещу изследователи по сигурността, които действат добросъвестно, спазват приложимото законодателство, не изнасят и не унищожават данни извън разумно необходимото за доказване на уязвимостта и предоставят на ExecuteOS разумна възможност да я отстрани преди публичното ѝ разкриване.

13.Корпоративна документация и одит

При разумно искане и при наличие на приложимо задължение за поверителност ExecuteOS предоставя на корпоративните Клиентски организации:

• актуален сертификат по ISO/IEC 27001;
• приложимите обобщения от надзорните одити;
• документ с общ преглед на сигурността, който описва техническите и организационните мерки;
• отговори на стандартизирани въпросници за сигурност (например SIG, CAIQ или равностойни).

ExecuteOS не е длъжен да допуска одити на място от Клиентски организации, но може да приеме разумни въпросници за сигурност и искания за документация в съответствие с отрасловите стандарти.

14.Контакт

За въпроси, свързани със сигурността, сигнали за уязвимости или искания за документация за съответствие:

Пощенска кореспонденция: AhaPlay Bulgaria VCC, на вниманието на екипа по сигурността, ул. „Розова долина“ № 5, ет. 4, район „Лозенец“, 1421 София, България.