Least privilege
Accesul administrativ este limitat la ceea ce este necesar pentru operarea, securizarea și suportul serviciului, cu separarea responsabilităților acolo unde arhitectura o permite.
ZebraByte Security
Cum protejăm serviciile și datele ZebraByte.
Securitatea este tratată ca un proces operațional continuu. Aplicăm controale proporționale cu riscul, limităm accesul, reducem suprafața de atac și proiectăm serviciile astfel încât prevenția, detecția și recuperarea să lucreze împreună.
Security principles
Principii care ghidează modul în care operăm.
Controalele concrete diferă între servicii și furnizori. Principiile de mai jos definesc direcția comună fără a transforma o practică tehnică într-o promisiune universală pentru fiecare produs.
Schimbări controlate
Preferăm configurații declarative, automatizare, versionare și procese de change management pentru a reduce intervențiile manuale și deriva de configurație.
Defense in depth
Combinăm controale la edge, identitate, aplicație, infrastructură și date, în funcție de serviciu și de riscul pe care îl protejăm.
Supply-chain security
Dependențele, imaginile, pachetele și fluxurile de livrare sunt tratate ca parte din suprafața de atac și sunt gestionate prin controale adecvate mediului.
Observability
Logging-ul, monitorizarea, alertarea și semnalele de anomalie sunt folosite pentru a detecta schimbări sau comportamente care necesită investigație.
Confidențialitate prin design
Minimizarea datelor, retenția proporțională și separarea rolurilor de prelucrare sunt integrate în proiectarea serviciilor și în procesele operaționale.
Operational controls
Securitate pe mai multe straturi.
Nu ne bazăm pe un singur control. Identitatea, edge-ul, aplicația, infrastructura, datele și procesele de operare sunt tratate ca straturi complementare.
01
Identitate și acces
MFA, politici de acces, segregarea privilegiilor și limitarea accesului administrativ sunt aplicate acolo unde platforma sau serviciul le suportă.
02
Protecția traficului și a aplicațiilor
TLS, filtrare la edge, rate limiting, WAF și alte măsuri de protecție sunt folosite în funcție de arhitectură, expunere și serviciul contractat.
03
Hardening și vulnerabilități
Configurațiile, patch-urile și vulnerabilitățile sunt evaluate și prioritizate în funcție de risc, impact și posibilitatea reală de exploatare.
04
Date și segregare
Folosim separare logică și controale de acces adecvate serviciului. Datele sunt criptate în tranzit și, unde serviciul și furnizorul permit, la stocare.
05
Backup și recuperare
Pentru serviciile care includ backup sau disaster recovery, retenția, restaurarea și obiectivele de recuperare sunt definite de planul și configurația aplicabilă.
06
Monitorizare și răspuns
Evenimentele relevante sunt corelate cu procese de triage, containment, remediere și recovery, cu escaladare în funcție de severitate.
Technology & infrastructure ecosystem
Parteneriate care extind capabilitățile ZebraByte.
Lucrăm cu organizații specializate pentru conectivitate, infrastructură digitală, privacy și cybersecurity. Relațiile comerciale și arhitectura de livrare pot varia între servicii; ZebraByte rămâne punctul de contact contractual pentru serviciile furnizate direct clienților săi.
Connectivity & enterprise IT
Telekom Business Partner
Parteneriat pentru soluții business de conectivitate, IT și infrastructură, utilizate în funcție de cerințele proiectului.
Cloud & hosting infrastructure
20i
Partener tehnologic pentru componente de cloud, hosting și infrastructură utilizate în servicii ZebraByte eligibile.
Web & digital infrastructure
Newfold Digital
Parteneriat în ecosistemul Newfold pentru servicii web, domenii și componente de infrastructură digitală selectate.
Partener certificat · Confidențialitate și conformitate
iubenda
Parteneriat certificat pentru privacy, cookie consent și componente de conformitate digitală.
Securitate cibernetică
Xcitium
Parteneriat în ecosistemul Xcitium, fost Comodo Security Solutions, pentru tehnologii de endpoint security, Zero Trust și servicii de securitate.
Infrastructure assurance
Acreditări și trust marks ale infrastructurii relevante.
Pentru anumite servicii eligibile, componentele de infrastructură sunt furnizate prin medii care mențin certificări, acreditări sau rapoarte de asigurare recunoscute.
Aceste certificări, acreditări și trust marks se aplică numai mediilor de infrastructură sau furnizorilor relevanți pentru serviciile eligibile. Ele nu sunt prezentate ca certificări emise direct către ZEBRABYTE LIMITED și nu extind domeniul unei certificări dincolo de entitatea ori infrastructura pentru care a fost emisă.
Vulnerability disclosure
Raportare responsabilă a vulnerabilităților.
Dacă ai identificat o problemă de securitate într-un serviciu ZebraByte, folosește formularul dedicat de raportare. Formularul solicită verificarea emailului și detalii tehnice complete. Pentru cercetători și instrumente automate publicăm în continuare și security.txt.
Pentru rapoartele suficient de detaliate, ținta operațională este un răspuns inițial în aproximativ 24 de ore, fără ca aceasta să reprezinte un SLA contractual.
Reguli pentru testare responsabilă
- Testează numai sisteme ZebraByte pe care ai permisiunea să le testezi și evită sistemele terților care nu se află sub controlul nostru.
- Nu accesa, copia sau exfiltra mai multe date decât este strict necesar pentru a demonstra problema.
- Nu menține persistență, nu modifica sau șterge date și nu efectua atacuri de tip denial-of-service ori acțiuni care degradează serviciul.
- Oferă suficiente detalii pentru reproducere: activul afectat, pașii, impactul observat și o dovadă tehnică minimă.
Răspuns la incidente
Detectare, izolare, remediere și recuperare.
Evenimentele de securitate sunt evaluate în funcție de impact și context. Când un incident afectează date sau servicii ale unui client, comunicarea și notificările sunt gestionate conform faptelor disponibile, obligațiilor contractuale și cerințelor legale aplicabile.
Responsabilitate partajată
Securitatea depinde și de configurațiile aflate sub controlul clientului. Conturile, utilizatorii, parolele, MFA, aplicațiile, pluginurile, datele încărcate și schimbările făcute în sistemele administrate de client trebuie operate în siguranță.
Pentru servicii administrate, responsabilitățile exacte sunt stabilite de comandă, plan, SLA și documentele contractuale aplicabile.
Security information
O pagină despre securitatea operațională ZebraByte.
Aici publicăm modul în care abordăm securitatea serviciilor ZebraByte. Termenii contractuali, DPA-ul, SLA-urile și politicile de privacy sunt menținute separat în Centrul juridic.
