Меры безопасности
Предисловие
В Forward Email безопасность — наш главный приоритет. Мы внедрили комплексные меры безопасности для защиты ваших электронных писем и персональных данных. В этом документе описаны наши методы обеспечения безопасности и шаги, предпринимаемые для обеспечения конфиденциальности, целостности и доступности вашей электронной почты.
Безопасность инфраструктуры
Безопасные центры обработки данных
Наша инфраструктура размещена в центрах обработки данных, соответствующих стандарту SOC 2, с:
- Круглосуточная физическая охрана и видеонаблюдение
- Биометрический контроль доступа
- Резервные системы электропитания
- Современные системы обнаружения и тушения пожаров
- Мониторинг окружающей среды
Сетевая безопасность
Мы реализуем несколько уровней сетевой безопасности:
- Межсетевые экраны корпоративного уровня со строгими списками контроля доступа
- Защита от DDoS-атак и их устранение
- Регулярное сканирование уязвимостей сети
- Системы обнаружения и предотвращения вторжений
- Шифрование трафика между всеми конечными точками обслуживания
- Защита от сканирования портов с автоматической блокировкой подозрительной активности
Important
Все передаваемые данные шифруются с использованием протокола TLS 1.2+ с использованием современных алгоритмов шифрования.
Безопасность электронной почты
Шифрование
- Безопасность транспортного уровня (TLS): весь трафик электронной почты шифруется при передаче с использованием протокола TLS 1.2 или выше.
- Сквозное шифрование: поддержка стандартов OpenPGP/MIME и S/MIME.
- Шифрование хранилища: все хранимые электронные письма шифруются при хранении с использованием алгоритма ChaCha20-Poly1305 в файлах SQLite.
- Полное шифрование диска: шифрование LUKS v2 для всего диска.
- Комплексная защита: мы реализуем шифрование при хранении, шифрование в памяти и шифрование при передаче.
Note
Мы — первый и единственный в мире почтовый сервис, использующий квантово-устойчивые и индивидуально зашифрованные почтовые ящики SQLite.
Аутентификация и авторизация
- Подпись DKIM: Все исходящие письма подписываются DKIM.
- SPF и DMARC: Полная поддержка SPF и DMARC для предотвращения подмены писем.
- MTA-STS: Поддержка MTA-STS для обеспечения шифрования TLS.
- Многофакторная аутентификация: Доступна для всех учётных записей.
Меры по борьбе со злоупотреблениями
- Фильтрация спама: Многоуровневое обнаружение спама с использованием машинного обучения
- Сканирование на вирусы: Сканирование всех вложений в режиме реального времени
- Ограничение скорости: Защита от атак методом подбора и перебора паролей
- Репутация IP-адреса: Мониторинг репутации IP-адреса отправителя
- Фильтрация контента: Обнаружение вредоносных URL-адресов и попыток фишинга
Защита данных
Минимизация данных
Мы следуем принципу минимизации данных:
- Мы собираем только те данные, которые необходимы для предоставления наших услуг.
- Содержимое электронных писем обрабатывается в памяти и не хранится постоянно, за исключением случаев, когда это требуется для доставки по протоколам IMAP/POP3.
- Журналы анонимизируются и хранятся только в течение необходимого времени.
Резервное копирование и восстановление
- Автоматизированное ежедневное резервное копирование с шифрованием
- Географически распределенное хранилище резервных копий
- Регулярное тестирование восстановления из резервных копий
- Процедуры аварийного восстановления с заданными RPO и RTO
Поставщики услуг
Мы тщательно выбираем поставщиков услуг, чтобы гарантировать их соответствие нашим высоким стандартам безопасности. Ниже перечислены поставщики, которые мы используем для международной передачи данных, и их статус соответствия GDPR:
| Поставщик | Цель | Сертифицировано DPF | Страница соответствия GDPR |
|---|---|---|---|
| Cloudflare | CDN, защита от DDoS-атак, DNS | ✅ Да | Cloudflare GDPR |
| DataPacket | Серверная инфраструктура | ❌ Нет | DataPacket Privacy |
| Digital Ocean | Облачная инфраструктура | ❌ Нет | DigitalOcean GDPR |
| Vultr | Облачная инфраструктура | ❌ Нет | Vultr GDPR |
| Stripe | Обработка платежей | ✅ Да | Stripe Privacy Center |
| PayPal | Обработка платежей | ❌ Нет | PayPal Privacy |
Мы пользуемся услугами этих поставщиков для обеспечения надёжного и безопасного предоставления услуг с соблюдением международных норм защиты данных. Вся передача данных осуществляется с использованием соответствующих мер безопасности для защиты вашей персональной информации.
Соответствие требованиям и аудит
Регулярные оценки безопасности
Наша команда регулярно отслеживает, проверяет и оценивает кодовую базу, серверы, инфраструктуру и применяемые методы. Мы внедряем комплексную программу безопасности, которая включает в себя:
- Регулярная ротация SSH-ключей
- Постоянный мониторинг журналов доступа
- Автоматизированное сканирование безопасности
- Проактивное управление уязвимостями
- Регулярное обучение по безопасности для всех членов команды
Соответствие
- Практики обработки данных, соответствующие GDPR
- Соглашение об обработке данных (DPA) доступен для корпоративных клиентов
- Средства управления конфиденциальностью, соответствующие CCPA
- Процессы, прошедшие аудит SOC 2 Тип II
Реагирование на инциденты
Наш план реагирования на инциденты безопасности включает:
- Обнаружение: Автоматизированные системы мониторинга и оповещения
- Сдерживание: Немедленная изоляция затронутых систем
- Устранение: Устранение угрозы и анализ первопричин
- Восстановление: Безопасное восстановление сервисов
- Уведомление: Своевременное информирование затронутых пользователей
- Анализ после инцидента: Комплексный анализ и улучшение
Warning
Если вы обнаружили уязвимость безопасности, немедленно сообщите об этом по адресу security@forwardemail.net.
Жизненный цикл разработки безопасности
Весь код подвергается:
- Сбор требований безопасности
- Моделирование угроз на этапе проектирования
- Безопасные методы кодирования
- Статическое и динамическое тестирование безопасности приложений
- Проверка кода с акцентом на безопасность
- Сканирование уязвимостей зависимостей
Укрепление сервера
Наш Конфигурация Ansible реализует многочисленные меры по защите сервера:
- Доступ к USB отключен: Физические порты отключены путём добавления модуля ядра usb-storage в чёрный список.
- Правила брандмауэра: Строгие правила iptables, разрешающие только необходимые соединения.
- Усиление защиты SSH: Только аутентификация по ключам, вход без пароля, вход с правами root отключен.
- Изоляция служб: Каждая служба работает с минимальными необходимыми привилегиями.
- Автоматические обновления: Исправления безопасности применяются автоматически.
- Безопасная загрузка: Проверенная загрузка для предотвращения несанкционированного доступа.
- Усиление защиты ядра: Безопасные параметры ядра и конфигурации sysctl.
- Ограничения файловой системы: Параметры монтирования noexec, nosuid и nodev, где это применимо.
- Дампы ядра отключены: Система настроена на предотвращение дампов ядра в целях безопасности.
- Подкачка отключена: Подкачка памяти отключена для предотвращения утечки данных.
- Защита от сканирования портов: Автоматическое обнаружение и блокировка сканирования портов. Попытки
- Прозрачные огромные страницы отключены: THP отключен для повышения производительности и безопасности
- Усиление защиты системных служб: Необязательные службы, такие как Apport, отключены
- Управление пользователями: Принцип наименьших привилегий с разделением пользователей для развертывания и DevOps
- Ограничения на количество файловых дескрипторов: Увеличенные ограничения для повышения производительности и безопасности
Соглашение об уровне обслуживания
Мы поддерживаем высокий уровень доступности и надежности сервиса. Наша инфраструктура разработана с учётом резервирования и отказоустойчивости, чтобы гарантировать бесперебойную работу вашей электронной почты. Хотя мы не публикуем официальное соглашение об уровне обслуживания (SLA), мы обязуемся:
- Более 99,9% времени безотказной работы всех сервисов
- Быстрое реагирование на сбои в работе сервисов
- Прозрачное взаимодействие во время инцидентов
- Регулярное техническое обслуживание в периоды низкой нагрузки
Безопасность с открытым исходным кодом
Как служба с открытым исходным кодом, наша безопасность выигрывает за счет:
- Прозрачный код, доступный для аудита любым пользователем
- Улучшения безопасности, инициированные сообществом
- Быстрое выявление и устранение уязвимостей
- Отсутствие безопасности через неизвестность
Безопасность сотрудников
- Проверка биографических данных всех сотрудников
- Обучение по вопросам безопасности
- Принцип минимальных привилегий доступа
- Регулярное обучение по вопросам безопасности
Постоянное совершенствование
Мы постоянно улучшаем нашу позицию по безопасности посредством:
- Мониторинг тенденций безопасности и возникающих угроз
- Регулярный пересмотр и обновление политик безопасности
- Отзывы исследователей и пользователей безопасности
- Участие в жизни сообщества специалистов по безопасности
Чтобы получить дополнительную информацию о наших методах обеспечения безопасности или сообщить о проблемах безопасности, свяжитесь с нами по адресу security@forwardemail.net.