Kompromisløs sikkerhed til dine compliance-behov

Sikkerhed

Datalagring

Fysisk lagring

AWS (Amazon Web Services) er ansvarlige for håndtering af infrastrukturens fysiske sikkerhed. AWS er bygget til ikke kun at give mulighed for virkelige skalerbare cloud løsninger, men også til at møde de højeste forventninger til sikkerheden

Dataene gemmes på servere fra et anlæg, der er ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2 & SOC 3 , certificeret. For at få det fulde overblik over compliance programmerne, Klik her

Lokation

Alt data og backups er lagret med AWS i frankfurt. Backups er lagret i forskellige tilgænglighedszoner for at sikre datatilgængelighed.

Få en forståelse af datacentrets perimeterlag, infrastrukturlag, datalag og miljølag, Klik her

Kryptering

Alt data er krypteret både under overførsel og i hvile. Dette sikrer dataintegritet, da dataene ikke kan ødelægges eller ændres under overførslen, privatliv da dataene ikke kan opsnappes af nogen 3. parts aflyttere, og autentificering fordi slutklienten kan være sikker på at den website de er forbundet til faktisk er os.

Under overførsel

Data der flyttes under overførsel er krypteret ved brug af TLS ( Transport layer security). Kun TLS versioner lig med eller over 1.2 er understøttet, og alle andre versioner er blokeret.

I hvile

Når data lagers på en harddisk, f.eks. data gemt i en data base, krypteres ved brug af AES (256 bit). Dette forhindrer datalæsning i tilfælde af at den fysiske harddisk bliver stjålet i datacenteret

Håndtering af patches

Hos Formalize, prioterer vi sikkerhed og håj tilgænglighed ved at udnytte AWS håndterede tjenester når det er muligt. Disse tjenester gennemgår låbende patching og vedligeholdelse af AWS. Men for visse ikke AWS styrede tjenester, implementerer vi strenge patch-management processer for at sikere at sikkerheden forbliver intakt

Sikkerhedskopiering af data

Hyppighed af sikkerhedskopier

Der laves periodiske sikkerhedskopier for at sikre, at kundedata ikke går tabt. Sikkerhedskopier udføres i daglige intervaller (sikkerhedskopier udløber efter 35 dage) og ugentlige intervaller (sikkerhedskopier udløber efter 85 dage).

For tjenester som ikke administreres af AWS, så som Jump Box, scannes og anvendes patches dagligt. Derudover er vores Jump Box sikret på et privat netværk som kræver 2-faktor autentificering for at få adgang og logger alle forbindelser for bedre overvågning.

Visse tjenester, som vores Webtjenester administreres i fællesskab af AWS og Formalize. Disse scannes og patches løbende for at opreholde sikkerhed og ydeevne.

Sikkerhedskopiering

Alle sikkerhedskopier gennems i forskellige tilgængelighedszoner for at forhindre datatab. En tilgængelighedszone er en eller flere separate datacentre med overskydende strøm, netværk og forbindelse. Alle sikkerhedskopier er beskyttede efter de samme standarder som produktionsmiljøet.

Logning

Formalize tager logning seriøst, og har omfattende logning gennem hele vores applikation, vi forbedrer løbende vores logning. Logning foregår på 4 forskellige stadier: login-hændelser osv, valideringsfejl, fejllogning, DNS flowlogfiler osv.

Systemovervågning og indbrudsdetektering

Vi udnytter AWS GuardDuty, en intelligent trusselsdetektionstjeneste der løbende overvåger for ondsindet eller uautoriseret aktivitet i vores netværk. Det fungerer som vores primære Netværks Indbruds Detektion System (NIDS). Adminaktivitet og DNS forespørgselslogfiler logges og analysers for potentiel misbrug. Mere omkring GuardDuty kan findes Her.

For at forbedre vores forsvar, bruger vi AWS WAF. Denne tjeneste hjælper med at overvåge og forhindre ondsindede webanmodninger og tilbyder et ekstra lag af forsvar mod hackingforsøg. For yderligere oplysninger Klik her .

Livscyklus for sikker udvikling

En sikker udviklingslivscyklus (SDLC) er en process som hjælper os sikre at sikkerheden er indbygget i softwaren fra starten. Vores SDLC inkluderer forskellige sikkerhedsaktiviteter, som er udført i hvert stadie i vores udviklingsproces. Disse aktiviteter hjælper os med at finde og fikse potentielle sikkerhedssårbarheder og stoppe nye fra at blive introduceret.

Flere nøgle livscyklusaktiviteter udføres, herunder opbygning og udgivelse i små trin, teknisk gæld, trejdepartspakkepolitik, scanning for lækkede dokumenter, versionskontrol, sårbarhedskontrol, kryptografistandarder, metrikker og logning, udviklertræning, test, og adskillige af miljøer.

Håndtering af sårbarheder

Hos Formalize tager vi sikkerhed seriøst ved at anvende robyste sårbarhedsstyringspraksisser for at beskytte vores infrastruktur og forbedre os løbende.

Undgåelse af sårbarhed

For at minimere vores angrebsflade, opretholder vi et enkelt offentligt indgangspunkt til vores API, som er beskyttet af Web Application Firewall (WAF). Denne firewall blokerer effektivt almindelige trusler såsom Cross-site scripting (XSS) og remote execution (RCE). Vores infrastruktur er baseret på Alpine Linux, hvilket giver et minialt og sikkert operativsystemfodaftryk. Endvidere er vores webservere desinget til at fungere som skrivebeskyttede containere som opdateres hver 15. minut eller ved implementeringer,hvilket sikrer at malware ikke kan forblive i miljøet

Ud over disse forebyggende foranstaltninger udnytter vi managed services for at forbedre sikkerheden og reducere risikoen for konfigurationsfejl. Disse managed services leverer automatisk patching, hvilket yderligere styrker integriteten af vores infrastruktur. Databaseadgang er strengt kontrolleret og kræver to-faktor-autentificering (2FA) og begrænser adgangen udelukkende til godkendte brugere i vores netværk.

Sårbarhedsscanning

Hos Formalize anvender vi en omfattende sårbarhedsscanningspraksis for proaktivt at identificere og håndtere potentielle sikkerhedsrisici på tværs af vores systemer. Vores scanningsindsats omfatter kodeafhængigheder, containere og servere samt vores bredere infrastruktur og netværk.

Sårbarhedsscanninger af kodeafhængigheder udføres dagligt. Dette sker ved hjælp af fire forskellige værktøjer: Offentlige CVE'er, privat sårbarhedsdatabase, open source-afhængighed med XSS (Cross-site scripting) og open source-afhængighed med RCS (Remote code execution).

Container- og serverscanninger udføres løbende, og hver gang der skubbes kode. Disse scanninger fokuserer på at opdage sårbarheder i OS-pakker i vores Alpine Linux-baserede miljø. Offentlige CVE'er og private sårbarhedsdatabaser bruges til scanning. De kan f.eks. identificere forældede versioner af OpenSSL, som kan udgøre en risiko for bufferoverløb eller RCE (remote code execution).

Vores infrastruktur- og netværksscanninger finder sted hver 18. time og overholder strenge standarder, herunder CIS-krav (Center of Internet Security), PCI DSS v3.2.1 (Payment Card Industry Data Security Standard) og vores hostingudbyders grundlæggende bedste praksis for sikkerhed. Disse scanninger er designet til at identificere fejlkonfigurationer, såsom ukrypterede køer eller fraværet af to-faktor-godkendelse for administrative brugere.