Security without compromise

Організаційна безпека

Вимоги політики інформаційної безпеки Crowdin поширюються на всю організацію Crowdin і є обов'язковими для всіх співробітників і тих, хто залучений до цих бізнес-процесів. ISMS побудована на трьох китах: люди, процеси та технології, з широким впровадженням архітектури нульової довіри (ZTA). Архітектура нульової довіри працює за принципом «ніколи не довіряй, завжди перевіряй», що означає, що доступ до ресурсів ніколи не надається беззастережно на основі розташування користувача або пристрою. Замість цього, сувора перевірка особи та безперервна перевірка автентичності необхідні для кожної спроби доступу, незалежно від того, чи відбувається вона всередині або за межами мережі. Керівник служби інформаційної безпеки (CISO) відповідає за забезпечення належного захисту інформаційних активів і технологій.

Навчання та обізнаність з питань безпеки

At Crowdin, all employees complete ongoing security and awareness training throughout the year. Each new team member completes basic security training within the first month of hire. We conduct regular access audits, password updates and operate on the principle of the least privilege. Role-specific security training is also required.

Апаратна безпека

Усі пристрої співробітників мають зашифровані жорсткі диски. Тільки призначений системний адміністратор проводить встановлення, конфігурацію або зміну апаратного та програмного забезпечення. Доставка та вивезення обладнання до/з приміщення дата-центру санкціоновані, реєструються та контролюються. Для доступу до обладнання, сервісів і застосунків робочої станції потрібні облікові дані користувача (наприклад, ідентифікатор користувача/пароль тощо).

• BYOD («Принесіть свій пристрій») обмежена. Чутливі дані обробляються лише на пристроях, якими керує компанія.
• Пристрої під управлінням компанії оснащені MDM, бінарними системами авторизації та моніторингу, антивірусним програмним забезпеченням та контрольованими оновленнями програмного забезпечення.
• Обов'язкові апаратні ключі: Доступ до даних компанії контролюється обов'язковими апаратними ключами 2ЕП.
• Контекстно-орієнтований доступ: Доступ до корпоративних даних дозволено лише з пристроїв, якими керує компанія.
• Застосовуються обмеження доступу на основі розташування.
• Авторизація та моніторинг двійкових файлів: Лише дозволені двійкові файли можуть виконуватися на пристроях співробітників.

Фізична безпека

Офіс Crowdin контролюється та охороняється системою сигналізації та обладнано системами пожежної сигналізації. Камери замкнутого циклу (CCTV) встановлені в офісі та знімають входи, виходи та інші призначені місця. Співробітники Crowdin не мають фізичного доступу до жодного з наших виробничих потужностей, оскільки вся наша інфраструктура знаходиться в хмарі. Охоронні зони захищені засобами контролю входу, тому доступ до них має лише авторизований персонал.

Безпека мережі

Наша внутрішня мережа обмежена, сегментована, захищена паролем, і всі події, пов’язані з безпекою мережі, реєструються.

Безпека програмного забезпечення

Crowdin наймає команду серверних спеціалістів, які працюють цілодобово і без вихідних, щоб підтримувати наше програмне забезпечення та його залежності в актуальному стані, усуваючи потенційні вразливості безпеки. Ми використовуємо моніторингові рішення для запобігання та усунення атак на сайти.

• Список дозволеного програмного забезпечення: На пристроях компанії дозволено використовувати лише затверджене програмне забезпечення та плагіни для браузерів.
• Контроль OAuth-застосунків: Застосунки OAuth з доступом до корпоративних даних постійно контролюються та відстежуються.
• Доступ до хмарних сервісів здійснюється через SAML з контекстно-залежним доступом.

Реагування на інцидент

Crowdin реалізує протокол для обробки подій безпеки, який включає процедури ескалації, швидке пом’якшення та допис смертності. Усі співробітники поінформовані про нашу політику.

Перевірка співробітників

Crowdin перевіряє репутацію всіх нових співробітників, підрядників або інших осіб, які мають доступ до систем, мережі або фізичних засобів центру обробки даних відповідно до місцевих законів.

Безпека третіх сторін і агентств

Crowdin maintains vendor risk management practices to ensure third parties are scrutinized and maintain expected levels of security controls. View our List of Sub-processors.