Polityka Bezpieczeństwa
Ostatnia aktualizacja: 23 stycznia 2025
Niniejsza Polityka Bezpieczeństwa opisuje środki techniczne i organizacyjne wdrożone przez mujekiu w celu ochrony danych, systemów oraz infrastruktury wykorzystywanej do świadczenia usług. Dokument ten ma na celu zapewnienie przejrzystości w zakresie podejścia do bezpieczeństwa informacji.
1. Zakres i cel
Polityka niniejsza obejmuje wszystkie systemy, aplikacje, dane oraz procesy związane z działalnością platformy mujekiu, w tym usługi automatycznego generowania raportów finansowych z wykorzystaniem sztucznej inteligencji. Celem polityki jest zapewnienie poufności, integralności i dostępności przetwarzanych informacji.
Zasady określone w niniejszym dokumencie mają zastosowanie do:
Infrastruktury technicznej - serwerów, baz danych, sieci i systemów przetwarzania danych.
Danych użytkowników - informacji przekazywanych przez klientów w ramach korzystania z usług.
Procesów wewnętrznych - procedur operacyjnych i administracyjnych stosowanych przez zespół mujekiu.
2. Bezpieczeństwo danych
2.1. Szyfrowanie danych
Wszystkie dane przesyłane między użytkownikiem a naszymi serwerami są chronione przy użyciu protokołu TLS (Transport Layer Security) w wersji 1.2 lub wyższej. Dane przechowywane w bazach danych są szyfrowane przy użyciu algorytmów szyfrowania symetrycznego klasy AES-256. Klucze szyfrowania są przechowywane oddzielnie od zaszyfrowanych danych i podlegają regularnej rotacji.
2.2. Integralność danych
Wdrożono mechanizmy weryfikacji integralności danych, w tym sumy kontrolne i podpisy kryptograficzne dla kluczowych zbiorów danych. Wszelkie nieautoryzowane modyfikacje danych są wykrywane i rejestrowane w systemach monitorowania.
2.3. Kopie zapasowe
Dane użytkowników są regularnie archiwizowane zgodnie z harmonogramem tworzenia kopii zapasowych. Kopie zapasowe są przechowywane w zaszyfrowanej formie w geograficznie odrębnych lokalizacjach. Procedury przywracania danych są regularnie testowane w celu zapewnienia ich skuteczności.
3. Kontrola dostępu
3.1. Uwierzytelnianie użytkowników
Dostęp do platformy wymaga uwierzytelnienia za pomocą bezpiecznych danych logowania. Zalecamy korzystanie z silnych, unikalnych haseł oraz aktywację uwierzytelniania wieloskładnikowego (MFA) tam, gdzie jest ono dostępne. Sesje użytkowników są automatycznie wygaszane po określonym czasie bezczynności.
3.2. Zarządzanie uprawnieniami
Dostęp do danych i systemów jest przyznawany zgodnie z zasadą minimalnych uprawnień. Pracownicy i współpracownicy mujekiu mają dostęp wyłącznie do tych zasobów, które są niezbędne do wykonywania ich obowiązków. Uprawnienia są regularnie przeglądane i aktualizowane.
3.3. Dostęp administracyjny
Dostęp administracyjny do systemów produkcyjnych jest ograniczony do wyznaczonych osób i wymaga dodatkowej weryfikacji tożsamości. Wszystkie działania administracyjne są rejestrowane i podlegają audytowi. Połączenia administracyjne odbywają się wyłącznie za pośrednictwem szyfrowanych kanałów komunikacji.
4. Bezpieczeństwo infrastruktury
4.1. Architektura sieci
Infrastruktura sieciowa jest zaprojektowana z uwzględnieniem segmentacji i izolacji poszczególnych komponentów systemu. Stosowane są zapory sieciowe (firewall) oraz systemy wykrywania i zapobiegania włamaniom (IDS/IPS). Ruch sieciowy jest monitorowany w czasie rzeczywistym pod kątem anomalii i potencjalnych zagrożeń.
4.2. Zarządzanie podatnościami
Regularnie przeprowadzamy skanowanie podatności i testy penetracyjne naszych systemów. Zidentyfikowane luki bezpieczeństwa są klasyfikowane według poziomu ryzyka i usuwane zgodnie z ustalonym harmonogramem. Stosujemy zasadę odpowiedzialnego ujawniania informacji o podatnościach.
4.3. Aktualizacje i łatki bezpieczeństwa
Systemy operacyjne, oprogramowanie serwerowe i biblioteki aplikacyjne są regularnie aktualizowane. Krytyczne łatki bezpieczeństwa są wdrażane priorytetowo, w możliwie najkrótszym czasie od ich publikacji.
5. Monitorowanie i reagowanie na incydenty
5.1. Systemy monitorowania
Nasze systemy są monitorowane przez całą dobę, siedem dni w tygodniu. Zbieramy i analizujemy logi systemowe, logi aplikacyjne oraz dane o ruchu sieciowym. Automatyczne alerty informują zespół bezpieczeństwa o potencjalnych zagrożeniach lub anomaliach.
5.2. Procedura reagowania na incydenty
W przypadku wykrycia incydentu bezpieczeństwa stosujemy ustrukturyzowaną procedurę reagowania obejmującą następujące etapy:
| Etap | Działanie | Odpowiedzialność |
|---|---|---|
| Wykrycie | Identyfikacja i wstępna ocena incydentu | Zespół monitorowania |
| Zawieranie | Izolacja zagrożonych systemów i ograniczenie skutków | Zespół bezpieczeństwa |
| Analiza | Szczegółowe badanie przyczyn i zakresu incydentu | Specjaliści ds. bezpieczeństwa |
| Usunięcie | Eliminacja zagrożenia i przywrócenie systemów | Zespół techniczny |
| Powiadomienie | Informowanie użytkowników i stron trzecich | Kierownictwo |
| Przegląd | Analiza poinscydentalna i wdrożenie usprawnień | Cały zespół |
5.3. Powiadamianie o naruszeniach
W przypadku naruszenia bezpieczeństwa danych, które może mieć wpływ na użytkowników, zobowiązujemy się do niezwłocznego powiadamiania poszkodowanych osób. Powiadomienie będzie zawierać informacje o charakterze naruszenia, potencjalnych skutkach oraz działaniach podjętych w celu minimalizacji szkód.
6. Bezpieczeństwo aplikacji
6.1. Bezpieczny cykl wytwarzania oprogramowania
Bezpieczeństwo jest uwzględniane na każdym etapie procesu tworzenia oprogramowania. Kod źródłowy podlega przeglądom bezpieczeństwa przed wdrożeniem na środowisko produkcyjne. Stosujemy statyczną i dynamiczną analizę kodu w celu wykrywania potencjalnych podatności.
6.2. Ochrona przed typowymi zagrożeniami
Nasze aplikacje są chronione przed powszechnie występującymi zagrożeniami, w tym atakami typu SQL Injection, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF) oraz innymi podatnościami wymienionymi w zestawieniu OWASP Top 10. Stosowane są mechanizmy walidacji danych wejściowych i wyjściowych na wszystkich poziomach aplikacji.
6.3. Zarządzanie zależnościami
Zewnętrzne biblioteki i komponenty oprogramowania są regularnie audytowane pod kątem znanych podatności. Stosujemy narzędzia do automatycznego wykrywania przestarzałych lub podatnych zależności.
7. Bezpieczeństwo fizyczne
Infrastruktura serwerowa mujekiu jest hostowana w profesjonalnych centrach danych zapewniających fizyczną ochronę obejmującą kontrolę dostępu, monitoring wizyjny, systemy przeciwpożarowe oraz zasilanie awaryjne. Fizyczny dostęp do serwerów jest ograniczony do upoważnionego personelu centrum danych.
8. Zarządzanie dostawcami i podmiotami trzecimi
Przed nawiązaniem współpracy z dostawcami zewnętrznymi przetwarzającymi dane użytkowników przeprowadzamy ocenę ich praktyk bezpieczeństwa. Umowy z dostawcami zawierają klauzule dotyczące ochrony danych i bezpieczeństwa informacji. Regularnie weryfikujemy zgodność dostawców z wymaganiami bezpieczeństwa.
9. Szkolenia i świadomość bezpieczeństwa
Wszyscy pracownicy i współpracownicy mujekiu przechodzą szkolenia z zakresu bezpieczeństwa informacji. Szkolenia obejmują zasady bezpiecznej pracy, rozpoznawanie zagrożeń takich jak phishing, oraz procedury postępowania w przypadku podejrzenia incydentu. Wiedza z zakresu bezpieczeństwa jest regularnie aktualizowana.
10. Ciągłość działania
Posiadamy plany ciągłości działania i odtwarzania po awarii, które są regularnie testowane i aktualizowane. Nasze systemy są zaprojektowane z uwzględnieniem redundancji kluczowych komponentów w celu minimalizacji przestojów. Docelowy czas przywrócenia usług po poważnej awarii jest określony w dokumentacji technicznej.
11. Audyty i certyfikacja
Regularnie przeprowadzamy wewnętrzne audyty bezpieczeństwa w celu weryfikacji skuteczności wdrożonych środków ochrony. Wyniki audytów są dokumentowane, a zidentyfikowane obszary wymagające poprawy są systematycznie adresowane. Dążymy do utrzymania zgodności z uznanymi standardami bezpieczeństwa informacji.
12. Zgłaszanie problemów bezpieczeństwa
Zachęcamy użytkowników i badaczy bezpieczeństwa do odpowiedzialnego ujawniania informacji o potencjalnych podatnościach. Wszelkie podejrzenia naruszenia bezpieczeństwa lub znalezione luki prosimy zgłaszać na adres:
Adres e-mail: [email protected]
Telefon: +48 882 027 144
Adres korespondencyjny: mujekiu, aleja Tadeusza Kościuszki 17, 41-300
Dąbrowa Górnicza, Polska
Zobowiązujemy się do potwierdzenia otrzymania zgłoszenia w ciągu 48 godzin roboczych oraz do informowania zgłaszającego o postępach w rozwiązaniu problemu.
13. Zmiany w polityce bezpieczeństwa
Niniejsza Polityka Bezpieczeństwa może być aktualizowana w odpowiedzi na zmiany technologiczne, organizacyjne lub regulacyjne. O istotnych zmianach użytkownicy będą informowani za pośrednictwem platformy lub poczty elektronicznej. Aktualna wersja dokumentu jest zawsze dostępna na stronie internetowej mujekiu.com.
Dalsze korzystanie z usług po opublikowaniu zaktualizowanej polityki oznacza akceptację wprowadzonych zmian.
Niniejsza Polityka Bezpieczeństwa stanowi integralną część warunków świadczenia usług przez mujekiu i powinna być czytana łącznie z Polityką Prywatności oraz Regulaminem Usług.