Правила безпеки

У Forward Email безпека є нашим головним пріоритетом. Ми запровадили комплексні заходи безпеки, щоб захистити вашу електронну пошту та особисті дані. У цьому документі описано наші методи безпеки та кроки, які ми вживаємо для забезпечення конфіденційності, цілісності та доступності вашої електронної пошти.

Безпечні центри обробки даних

Наша інфраструктура розміщена в центрах обробки даних, сумісних із SOC 2, з:

• Цілодобова фізична охорона та спостереження
• Біометричний контроль доступу
• Резервні системи живлення
• Розширене виявлення та гасіння пожежі
• Екологічний моніторинг

Безпека мережі

Ми впроваджуємо кілька рівнів мережевої безпеки:

• Брандмауери корпоративного рівня зі строгими списками контролю доступу
• Захист від DDoS і пом'якшення
• Регулярне сканування вразливостей мережі
• Системи виявлення та запобігання вторгненням
• Шифрування трафіку між усіма кінцевими точками служби
• Захист від сканування портів із автоматичним блокуванням підозрілої активності

[!ВАЖЛИВО] Усі дані, що передаються, шифруються за допомогою TLS 1.2+ із сучасними наборами шифрів.

Шифрування

• Безпека транспортного рівня (TLS): весь трафік електронної пошти під час передавання шифрується за допомогою TLS 1.2 або новішої версії
• Наскрізне шифрування: Підтримка стандартів OpenPGP/MIME та S/MIME
• Шифрування зберігання: Усі збережені електронні листи шифруються в стані спокою за допомогою шифрування ChaCha20-Poly1305 у файлах SQLite
• Повне шифрування диска: шифрування LUKS v2 для всього диска
• Комплексний захист: Ми впроваджуємо шифрування в стані спокою, шифрування в пам’яті та шифрування під час передачі

[!ПРИМІТКА] Ми є першим і єдиним у світі сервісом електронної пошти, який використовує квантово стійкі та індивідуально зашифровані поштові скриньки SQLite.

Автентифікація та авторизація

• Підпис DKIM: Усі вихідні листи підписуються DKIM
• SPF і DMARC: Повна підтримка SPF і DMARC для запобігання спуфінгу електронної пошти
• MTA-STS: підтримка MTA-STS для забезпечення шифрування TLS
• Багатофакторна автентифікація: Доступно для всіх облікових записів

Заходи проти зловживань

• Фільтрація спаму: багаторівневе виявлення спаму за допомогою машинного навчання
• Сканування на віруси: Сканування всіх вкладень у реальному часі
• Обмеження ставки: захист від атак грубої сили та перерахування
• IP репутація: Моніторинг репутації IP-адреси надсилання
• Фільтрування вмісту: виявлення шкідливих URL-адрес і спроб фішингу

Мінімізація даних

Ми дотримуємося принципу мінімізації даних:

• Ми збираємо лише дані, необхідні для надання наших послуг
• Вміст електронної пошти обробляється в пам’яті та не зберігається постійно, якщо це не потрібно для доставки IMAP/POP3
• Журнали анонімізуються та зберігаються лише стільки, скільки необхідно

Резервне копіювання та відновлення

• Автоматичне щоденне резервне копіювання з шифруванням
• Географічно розподілене резервне сховище
• Регулярне тестування відновлення резервної копії
• Процедури аварійного відновлення з визначеними RPO та RTO

Ми ретельно відбираємо наших постачальників послуг, щоб гарантувати, що вони відповідають нашим високим стандартам безпеки. Нижче наведено постачальників, яких ми використовуємо для міжнародної передачі даних, і їхній статус відповідності GDPR:

Ми використовуємо цих постачальників, щоб забезпечити надійне та безпечне надання послуг, дотримуючись при цьому відповідності до міжнародних норм захисту даних. Усі передачі даних здійснюються з відповідними заходами захисту вашої особистої інформації.

Регулярні оцінки безпеки

Наша команда регулярно відстежує, перевіряє та оцінює кодову базу, сервери, інфраструктуру та практики. Ми реалізуємо комплексну програму безпеки, яка включає:

• Регулярна ротація ключів SSH
• Постійний моніторинг журналів доступу
• Автоматичне сканування безпеки
• Проактивне управління вразливістю
• Регулярне навчання безпеки для всіх членів команди

Відповідність

• GDPR сумісні практики обробки даних
• Угода про обробку даних (DPA) доступний для бізнес-клієнтів
• Контроль конфіденційності відповідно до CCPA
• Аудовані процеси SOC 2 типу II

Наш план реагування на інциденти безпеки включає:

1. виявлення: Автоматизовані системи контролю та оповіщення
2. Стримування: Негайна ізоляція уражених систем
3. Ерадикація: Усунення загрози та аналіз першопричини
4. Відновлення: Безпечне відновлення служб
5. Сповіщення: своєчасне спілкування з постраждалими користувачами
6. Аналіз після інциденту: Комплексний огляд і вдосконалення

[!УВАГА] Якщо ви виявите вразливість у безпеці, негайно повідомте про це security@forwardemail.net.

flowchart LR
    A[Requirements] --> B[Design]
    B --> C[Implementation]
    C --> D[Verification]
    D --> E[Release]
    E --> F[Maintenance]
    F --> A
    B -.-> G[Threat Modeling]
    C -.-> H[Static Analysis]
    D -.-> I[Security Testing]
    E -.-> J[Final Security Review]
    F -.-> K[Vulnerability Management]

Весь код проходить:

• Збір вимог безпеки
• Моделювання загроз під час проектування
• Методи безпечного кодування
• Статичне та динамічне тестування безпеки додатків
• Перегляд коду з акцентом на безпеку
• Сканування вразливостей залежностей

наш Конфігурація Ansible реалізує численні заходи з посилення безпеки сервера:

• Доступ через USB вимкнено: фізичні порти вимикаються через занесення в чорний список модуля ядра USB-накопичувача
• Правила брандмауера: суворі правила iptables, що дозволяють лише необхідні підключення
• Захист SSH: Лише автентифікація на основі ключа, вхід без пароля, вхід root вимкнено
• Сервісна ізоляція: кожна служба працює з мінімальними необхідними привілеями
• Автоматичне оновлення: Виправлення безпеки застосовуються автоматично
• Безпечне завантаження: Перевірений процес завантаження для запобігання втручанню
• Зміцнення ядра: Захищені параметри ядра та конфігурації sysctl
• Обмеження файлової системи: параметри монтування noexec, nosuid і nodev, де це доречно
• Дампи ядра вимкнено: система налаштована на запобігання дампів ядра для безпеки
• Обмін вимкнено: Пам'ять підкачки вимкнено, щоб запобігти витоку даних
• Захист від сканування портів: Автоматичне виявлення та блокування спроб сканування портів
• Прозорі величезні сторінки вимкнено: THP вимкнено для покращення продуктивності та безпеки
• Зміцнення системи обслуговування: неосновні служби, як-от Appport, вимкнено
• Керування користувачами: Принцип найменших привілеїв із окремими користувачами deploy і devops
• Обмеження дескрипторів файлів: Збільшені обмеження для кращої продуктивності та безпеки

Ми підтримуємо високий рівень доступності та надійності послуг. Наша інфраструктура створена для резервування та відмовостійкості, щоб забезпечити безперервну роботу служби електронної пошти. Хоча ми не публікуємо офіційний документ SLA, ми зобов’язуємося:

• 99,9%+ безвідмовна робота для всіх служб
• Швидке реагування на збої в обслуговуванні
• Прозоре спілкування під час інцидентів
• Регулярне технічне обслуговування в періоди низького трафіку

Як служба з відкритим кодом, переваги нашої безпеки:

• Прозорий код, який може перевірити кожен
• Покращення безпеки, керовані спільнотою
• Швидке виявлення та виправлення вразливостей
• Немає безпеки через невідомість

• Перевірка даних для всіх співробітників
• Навчання з безпеки
• Принцип найменших привілеїв доступу
• Регулярне навчання безпеки

Ми постійно вдосконалюємо нашу безпеку за допомогою:

• Моніторинг тенденцій безпеки та нових загроз
• Регулярний перегляд і оновлення політик безпеки
• Відгуки дослідників безпеки та користувачів
• Участь у спільноті безпеки

Щоб отримати додаткову інформацію про наші методи безпеки або повідомити про проблеми з безпекою, зв’яжіться з нами security@forwardemail.net.

• Політика конфіденційності
• Умови обслуговування
• Відповідність GDPR
• Угода про обробку даних (DPA)
• Повідомити про зловживання
• Політика безпеки
• Security.txt
• Репозиторій GitHub
• FAQ