| Принцип 1. Защита данных при передаче |
| 1.1 Шифрование | Компания Atlassian обеспечивает шифрование во внутренней беспроводной сети, в том числе путем изменения стандартных настроек поставщика. Команда по технологиям рабочего места Atlassian защищает наши беспроводные сети посредством аутентификации на основе WPA2-AES и шифрования на основе PEAP-EAP-MSCHAPv2. В беспроводной сети аутентификация выполняется по стандарту 802.1x с помощью нашего внутреннего хранилища учетных данных. Мы регулярно проводим проверку на наличие несанкционированных беспроводных точек доступа и ведем список таких обнаруженных точек.
Atlassian использует являющийся отраслевым стандартом протокол Transport Layer Security (TLS) версии 1.2 для создания защищенного соединения, а также 256-битное шифрование по алгоритму Advanced Encryption Standard (AES). На серверах, где хранятся данные пользователей, используется стандартное полнодисковое шифрование по алгоритму AES. Данные держателей шифруются в резервных копиях AWS RDS или RDS, а также шифруются в долгосрочном хранилище (S3) вместе со всеми вложениями.
Подробнее см. на странице https://www.atlassian.com/trust/security/security-practices#encryption-and-key-management | Наши политики в области безопасности и конфиденциальности данных
Шифрование данных | Atlassian Trust Center
Шифрование данных | Архитектура Atlassian Cloud и методы работы |
| 1.2 Защита сети | В Программу управления политиками (PMP) Atlassian входит политика безопасности коммуникации, регулирующая ответственность за управление сетью.
Для доступа к сети компания Atlassian использует централизованный каталог с поддержкой протокола LDAP. Таким образом в компании реализовано управление доступом на основе ролей, опирающееся на заданные профили. Пользователям предоставляются права доступа на основании этих профилей, которые формируются рабочим процессом в нашей системе управления кадрами. Правила доступа к внутренней производственной сети реализованы с помощью групп безопасности с четко определенными границами в средах AWS VPC.
Команда по технологиям рабочего места Atlassian защищает беспроводные сети посредством аутентификации на основе WPA2-AES и шифрования на основе PEAP-EAP-MSCHAPv2. В беспроводной сети аутентификация выполняется по стандарту 802.1x с помощью нашего внутреннего хранилища учетных данных.
Команда по проектированию сетей Atlassian использует технологии предотвращения вторжений (IPS), встроенные в брандмауэры нашего облака и офисов, а в офисных средах внедрены технологии обнаружения вторжений (IDS). Компания AWS обеспечивает защиту от сетевых угроз, включая защиту от DDoS-атак. Кроме того, для защиты служит ряд функций брандмауэра веб-приложений.
Для шифрования всех данных наших сервисов при передаче используется протокол TLS, что позволяет защитить их от несанкционированного раскрытия или изменения как при передаче по протоколу HTTPS, так и по SMTPS. Средства безопасности, реализованные в компании Atlassian на основе протокола TLS, требуют использовать шифры с высокой криптостойкостью. | Наши политики в области безопасности и конфиденциальности данных
Встраивание средств обеспечения безопасности в нашу сетевую инфраструктуру | Atlassian Trust Center |
| 1.3 Аутентификация | В Atlassian ограничен круг сотрудников, которым необходим этот уровень доступа для выполнения работы и исполнения обязанностей. Для управления всеми системами 1-го уровня используется централизованное решение Atlassian с системой единого входа (SSO) и каталогами пользователей. Пользователям предоставляются права доступа на основании этих профилей, которые формируются рабочим процессом в нашей системе управления кадрами. Для доступа ко всем системам 1-го уровня в Atlassian используется многофакторная аутентификация. Для доступа к консоли управления гипервизором и API AWS нужно пройти двухфакторную аутентификацию. Кроме того, ежедневно составляется отчет о проверке, в котором содержатся данные обо всех случаях получения доступа к функциям управления гипервизором. Списки доступа к консоли управления гипервизором и API AWS пересматриваются ежеквартально. Синхронизация между системой управления кадрами и хранилищем учетных данных происходит в течение восьмичасового окна.
Для аутентификации в большинстве продуктов Atlassian можно использовать учетные данные Google, Microsoft и Apple. Для облачных сервисов Atlassian также реализована поддержка SAML — за счет подписки Atlassian Access. Подробнее о ней см. на странице https://www.atlassian.com/enterprise/cloud/access | Наши политики в области безопасности и конфиденциальности данных
Обеспечение безопасного доступа к нашим сетям при помощи модели «нулевого доверия» | Atlassian Trust Center
Аутентификация и авторизация служб | Архитектура Atlassian Cloud и методы работы |
| Принцип 2. Защита ресурсов и отказоустойчивость |
| 2.1 Фактическое местонахождение и правовая юрисдикция | Фактическое местонахождение
В настоящее время Atlassian размещает данные и владеет центрами обработки данных на территории США, Германии, Ирландии, Сингапура и Австралии. Благодаря размещению данных в нескольких регионах мы предоставляем всем клиентам быстрые, надежные и безопасные сервисы.
Все рабочие системы Atlassian Cloud расположены в регионах Amazon AWS «Восток США» и «Запад США», «Ирландия», «Франкфурт», «Сидней» и «Сингапур».
Во время регистрации платформа Atlassian выбирает оптимальное расположение для данных клиента в зависимости от того, откуда к ним обращаются, что гарантирует стабильную производительность и уменьшает задержку.
В настоящее время возможность выбрать место хранения данных доступна в рамках наших планов Cloud Standard, Premium и Enterprise для Jira Software, Confluence и Jira Service Management. Данные конкретного продукта можно размещать на территории Австралии, Европы или США. Подробнее о средствах управления местом хранения данных.
Об актуальных обновлениях, в том числе касающихся дополнительных мест хранения данных, размещения данных приложений и не только, можно узнать из дорожной карты развития облака. | Фактическое местонахождение
Защита данных | Atlassian Trust Center
Инфраструктура облачного хостинга Atlassian | Архитектура Atlassian Cloud и методы работы |
| Использование ваших данных
См. Соглашение с клиентом, Политику конфиденциальности и Приложение об обработке данных компании Atlassian. | Использование ваших данных
Соглашение Atlassian с клиентом | Atlassian
Политика конфиденциальности | Atlassian
Приложение об обработке данных | Atlassian |
| Дополнительные факторы
Ознакомьтесь с документом, в котором описано обязательство компании Atlassian по соблюдению регламента GDPR и других законов о защите данных. | Дополнительные факторы
Обязательство по соблюдению регламента GDPR | Atlassian | Atlassian |
| 2.2 Безопасность центров обработки данных | Следование этому принципу раскрывается в Приложении об обработке данных Atlassian, в котором указаны обязательства компании Atlassian по защите ваших данных, в том числе по обеспечению безопасности центров обработки данных и сетей, а также безопасности данных.
Компания Atlassian заблаговременно выявляет физические угрозы ее центрам обработки данных и принимает контрмеры для предотвращения или ограничения воздействия этих угроз.
В офисах Atlassian следуют нашей внутренней политике обеспечения физической защиты и безопасности среды, в которой, помимо прочего, описывается порядок мониторинга физических точек входа и выхода.
Для подтверждения своего соответствия требованиям наши партнеры, предоставляющие центры обработки данных, проходят множество сертификаций. Они касаются физической защиты, доступности системы, доступа к сети и IP-магистрали, создания пользователей и управления проблемами. Доступ к центрам обработки данных осуществляется только уполномоченным персоналом после биометрической аутентификации. Меры физической защиты включают охрану на местах, видеонаблюдение, шлюзовые кабины и дополнительные меры защиты от вторжений.
Компания AWS поддерживает ряд сертификаций по защите своих центров обработки данных. Подробнее об обеспечении физической защиты AWS см. на странице http://aws.amazon.com/compliance/ | См.
https://www.atlassian.com/trust/security/securitypractices#physical-security |
| 2.3 Шифрование данных | Компания Atlassian обеспечивает шифрование во внутренней беспроводной сети, в том числе путем изменения стандартных настроек поставщика. Команда по технологиям рабочего места Atlassian защищает наши беспроводные сети посредством аутентификации на основе WPA2-AES и шифрования на основе PEAP-EAP-MSCHAPv2. В беспроводной сети аутентификация выполняется по стандарту 802.1x с помощью нашего внутреннего хранилища учетных данных. Мы регулярно проводим проверку на наличие несанкционированных беспроводных точек доступа и ведем список таких обнаруженных точек.
Atlassian использует являющийся отраслевым стандартом протокол Transport Layer Security (TLS) версии 1.2 для создания защищенного соединения, а также 256-битное шифрование по алгоритму Advanced Encryption Standard (AES). На серверах, где хранятся данные пользователей, используется стандартное полнодисковое шифрование по алгоритму AES. Данные держателей шифруются в резервных копиях AWS RDS или RDS, а также шифруются в долгосрочном хранилище (S3) вместе со всеми вложениями. Подробнее см. на странице https://www.atlassian.com/trust/security/security-practices#encryption-and-key-management | Наши политики в области безопасности и конфиденциальности данных
Шифрование данных | Atlassian Trust Center
Шифрование данных | Архитектура Atlassian Cloud и методы работы |
| 2.4 Очистка данных и утилизация оборудования | Компания Atlassian придерживается стандарта по сохранению и уничтожению данных, в котором определены сроки хранения данных разных типов. Данные подразделяются на категории в соответствии с политикой безопасности данных и жизненного цикла информации Atlassian, и на ее основе реализованы механизмы контроля.
При прекращении действия контракта с Atlassian данные, принадлежащие команде клиента, будут удалены из рабочей базы данных, а все вложенные файлы, загруженные непосредственно в системы Atlassian, будут удалены в течение 14 дней. Данные команды будут храниться в зашифрованных резервных копиях до истечения 90-дневного периода хранения резервных копий, после чего они будут уничтожены в соответствии с политикой хранения данных Atlassian. Если в течение 90 дней после запрошенного удаления данных потребуется восстановить базу данных, операционная команда повторно удалит данные в разумно возможный кратчайший срок после того, как рабочая система будет полностью восстановлена. Подробнее см. на странице https://support.atlassian.com/security-and-access-policies/docs/track-storage-and-move-data-across-products/ | Сохранение и удаление данных | Atlassian Trust Center
Отслеживание использования хранилища и перемещение данных между продуктами | Поддержка Atlassian |
| 2.5 Физическая устойчивость и доступность | Методы обеспечения физической безопасности в офисах Atlassian регулируются политикой обеспечения физической защиты и безопасности среды, благодаря которой локальная и облачная среды компании надежно защищены физически. Политика описывает такие меры и средства, как безопасные рабочие места, защита ИТ-оборудования (независимо от его местонахождения), доступ в здания и офисы только для соответствующего персонала, а также мониторинг физических точек входа и выхода. Компания придерживается таких принципов физической безопасности, как организация приема посетителей в рабочие часы с обязательной регистрацией, доступ по опознавательным знакам во все места внутреннего пользования, а также регулирование доступа через точки входа и выхода (включая главные входы и зоны погрузки) в нерабочее время и ведение видеонаблюдения в этих точках при содействии управления офисного здания.
Центры обработки данных, с которыми сотрудничает компания Atlassian, соответствуют по меньшей мере требованиям SOC 2. Эта сертификация гарантирует наличие ряда средств защиты, в том числе обеспечения физической безопасности и безопасности среды. Доступ к центрам обработки данных осуществляется только уполномоченным персоналом после биометрической аутентификации. Меры физической защиты включают охрану на местах, видеонаблюдение, шлюзовые кабины и дополнительные меры защиты от вторжений.
Помимо вышеупомянутых мер, мы также публикуем для клиентов сведения о статусе доступности сервисов в режиме реального времени в собственном продукте Statuspage. В случае проблем с сервисом клиенты узнают об этом сразу после нас. | Физическая защита | Atlassian Trust Center |
| Принцип 3. Разделение клиентов |
| | Клиенты Atlassian пользуются продуктами в общей облачной ИТ-инфраструктуре, однако при этом их данные логически разделены. Таким образом, действия одного клиента не могут поставить под угрозу конфиденциальность данных или работоспособность сервиса другого клиента.
В компании Atlassian для каждого приложения используется свой подход. В случае с сервисами Jira и Confluence Cloud для логической изоляции клиентов используется концепция под названием «контекст держателей» (Tenant Context). Она реализована в коде приложения и управляется посредством созданной нами «службы контекста держателей» (Tenant Context Service, TCS). Согласно этой концепции:
- данные каждого клиента при хранении логически обособлены от данных других держателей;
- все запросы к данным обрабатываются Jira или Confluence в контексте определенного держателя, исключая воздействие на других держателей.
В общих чертах, TCS хранит «контекст» для каждого отдельного держателя. Контекст привязан к уникальному идентификатору, который централизованно хранится в TCS и включает набор метаданных, связанных с держателем (например, базы данных с записями держателя, лицензии держателя, доступные ему возможности и прочая информация, относящаяся к конфигурации). Когда клиент обращается к Jira или Confluence Cloud, служба TCS с помощью этого идентификатора отбирает соответствующие метаданные и связывает их со всеми действиями держателя во время сеанса использования приложения.
Контекст, предоставляемый службой TCS, играет роль «призмы», через которую происходит взаимодействие с данными клиента и которая сфокусирована на одном конкретном держателе. Таким образом, держатель не может получить доступ к данным другого держателя и не может своими действиями повлиять на работоспособность его сервисов.
Подробнее о нашей облачной архитектуре см. в ресурсах, посвященных поддержке облачных продуктов. | Архитектура Atlassian Cloud и методы работы | Atlassian Trust Center |
| Принцип 4. Основы управления |
| | Компания Atlassian понимает, что в рамках оценки рисков регулируемым субъектам нужно изучить наши внутренние механизмы контроля, системы и меры защиты данных и конфиденциальности, внедренные для обеспечения безопасности продуктов. Ежегодно Atlassian проходит несколько независимых сторонних аудитов, чтобы подтвердить состоятельность своих операций и внутренних механизмов контроля.
Ознакомиться с нашей текущей программой соответствия требованиям можно в Центре ресурсов по обеспечению соответствия требованиям, где хранятся все доступные для загрузки подтверждающие отчеты и сертификаты, относящиеся к нашим продуктам.
В Atlassian действует Программа управления корпоративными рисками (ERM), согласованная с моделью управления рисками COSO и стандартом ISO 31000. Согласно программе ERM, в масштабе всей компании Atlassian реализованы система и методология управления рисками, проводятся ежегодная оценка рисков, периодическая оценка конкретных рисков в рабочей среде и оценки функциональных рисков, как того требует профиль рисков.
В частности, в систему управления рисками Atlassian включены стандарты, процессы, роли и обязанности, уровни устойчивости к рискам и инструкции по проведению мероприятий по оценке рисков. Наши процессы и методы управления рисками позволяют выполнять воспроизводимую оценку рисков, которая дает достоверные, непротиворечивые и сопоставимые результаты. В результате оценки рисков, проводимой компанией Atlassian, определяется вероятность и воздействие всех категорий рисков, а также принимаются меры для нейтрализации всех рисков, которые превысили приемлемый уровень. На всех этапах программы ERM команда по оценке рисков и обеспечению соответствия требованиям обменивается информацией с соответствующими заинтересованными сторонами и консультируется с соответствующими профильными специалистами. | Наши политики в области безопасности и конфиденциальности данных
Соответствие требованиям и управление рисками | Atlassian Trust Center
Наша система Atlassian Trust Management System (ATMS) | Atlassian Trust Center
Приложение об обработке данных | Atlassian Trust Center |
| Принцип 5. Безопасность эксплуатации |
| 5.1 Управление уязвимостями | Компания Atlassian постоянно работает над тем, чтобы снизить уровень серьезности и частоту появления уязвимостей в своих продуктах, сервисах и инфраструктуре, а также как можно быстрее исправлять выявленные уязвимости. С этой целью был внедрен разноплановый подход к управлению уязвимостями, который сочетает в себе автоматические и ручные процессы выявления, отслеживания и устранения уязвимостей. Мы применяем его к приложениям и инфраструктуре и непрерывно совершенствуем.
Все наши продукты и услуги участвуют в масштабном процессе исправления багов (для него используется собственный продукт Jira, в котором фиксируются задачи и можно управлять запросами на устранение). В его основе лежат многочисленные политики по исправлению багов, связанных с безопасностью, консультационные услуги и целевые уровни обслуживания (SLO), которых мы придерживаемся. Мы принимаем сообщения о багах через наш канал поддержки, программу вознаграждения за найденные ошибки и на почтовый адрес security@atlassian.com. На странице Atlassian Trust Center (https://www.atlassian.com/trust) приведена дополнительная информация о наших уровнях SLO применительно к исправлению багов, связанных с безопасностью (https://www.atlassian.com/trust/security/bug-fix-policy ).
У команды по обеспечению безопасности Atlassian есть множество способов обнаружения уязвимостей во внутренней и внешней инфраструктуре. Для отслеживания и исправления ошибок создаются заявки Jira; сроки исполнения назначаются в соответствии с уровнем SLO, зависящим от серьезности и источника уязвимости. В рамках постоянного процесса заявки на устранение обнаруженных уязвимостей назначаются ответственным за системы, а наша команда по управлению безопасностью анализирует все обнаруженные уязвимости и следит за тем, чтобы принимались меры для их устранения.
Дополнительные сведения см. в документе о подходе Atlassian к управлению уязвимостями.
Подробнее о нашем подходе к тестированию безопасности см. также на странице Atlassian Trust Center: Подход к внешнему тестированию безопасности | Atlassian. | Управление уязвимостями | Atlassian Trust Center
Политика исправления ошибок, связанных с безопасностью | Atlassian Trust Center
Подход к внешнему тестированию безопасности | Atlassian Trust Center
Подход к управлению уязвимостями | Atlassian Trust Center |
| 5.2 Профилактический мониторинг | Программа поддержки безопасности Atlassian была разработана в рамках реализации нашего подхода к управлению инцидентами на фоне картины угроз, которая усложняется со временем. Для выявления инцидентов выполняется заблаговременный поиск вредоносной активности, которая угрожает Atlassian и клиентам компании. Эти операции проводятся по установленному графику на базе платформы для управления инцидентами и событиями безопасности.
Наша команда по обнаружению инцидентов и реагированию на них регулярно создает новые механизмы поиска, настраивает и улучшает существующие, а также автоматизирует операции по реагированию. Команда подходит к своей работе с различных сторон: с точки зрения продуктов, типов атак и источников регистрации данных. Таким образом обеспечивается максимальная эффективность и высокий охват в ходе выявления инцидентов.
В рамках программы предполагается не только защититься от угроз сегодняшнего дня, но и предвидеть будущие опасности, а также подготовиться к ним. Наша команда по обнаружению инцидентов и реагированию на них также создала инструмент для стандартизации собственных механизмов поиска, чтобы обеспечить высокий уровень их согласованности и качества, который, как мы считаем, остается непревзойденным образцом в отрасли.
В наших офисах и в облачной среде размещения развернута система обнаружения вторжений (IDS). На платформе Atlassian Cloud функция пересылки журналов встроена в платформу аналитики безопасности. Основные системные журналы передаются из каждой системы на централизованную платформу журналов, причем журналы доступны только для чтения. Команда по обеспечению безопасности Atlassian создает оповещения на нашей платформе аналитики безопасности (Splunk) и отслеживает признаки угрозы. С помощью этой платформы наши команды по обеспечению надежности отслеживают проблемы, влияющие на доступность и производительность. Журналы хранятся в течение 30 дней в архивах «горячего» резервирования и в течение 365 дней в архивах «холодного» резервирования.
Подробнее о нашей программе поддержки безопасности см. на странице https://www.atlassian.com/trust/security/detections-program | Программа поддержки безопасности Atlassian | Atlassian Trust Center
Использование журналов | Atlassian Trust Center
Приложение об обработке данных | Atlassian Trust Center |
| 5.3 Управление инцидентами | В компании Atlassian применяют комплексный подход к обработке инцидентов безопасности. Любой случай негативного воздействия на конфиденциальность, целостность или доступность данных клиентов либо данных или сервисов Atlassian рассматривается нами как инцидент безопасности.
В Atlassian разработана четкая внутренняя схема, включающая задокументированные сборники сценариев для разных типов инцидентов. В ней определены действия на каждом этапе реагирования на инцидент, что делает процессы согласованными, воспроизводимыми и эффективными. Эти действия включают выявление и анализ инцидентов, разделение их на категории, а также сдерживание последствий инцидентов, их устранение и восстановление систем. Кроме того, согласованность процессов достигается за счет использования наших собственных продуктов, таких как Confluence, Jira и Bitbucket, при реагировании на инциденты.
- Confluence служит единой базой для создания, документирования и обновления процессов реагирования на инциденты.
- В Jira удобно отслеживать процесс реагирования на потенциальные или существующие инциденты безопасности, от инициации до завершения, с помощью заявок.
- Bitbucket используется в экземплярах при разработке основанных на коде решений для уникальных проблем, возникающих в критических случаях в определенных типах инцидентов.
Централизованное ведение комплекса журналов и мониторинг продуктов и инфраструктуры позволяют быстро выявлять потенциальные инциденты, на которые наша опытная команда квалифицированных дежурных менеджеров инцидентов реагирует согласованно и эффективно. Кроме того, мы привлекаем внешних экспертов для повышения эффективности в исследовании инцидентов и реагировании на них.
Мы используем процессы уведомления клиентов, чтобы сообщить о том, что их данные были затронуты в подтвержденном инциденте, и надежные процессы анализа по результатам реагирования на инцидент, чтобы учиться на ошибках, совершенствовать используемые методы и таким образом осложнять работу злоумышленникам. Подробнее см. в документе Atlassian Trust Center, посвященном нашему подходу к управлению инцидентами безопасности. | Управление инцидентами | Atlassian Trust Center
Приложение об обработке данных | Atlassian Trust Center |
| 5.4 Управление конфигурацией и изменениями | Наш процесс управления изменениями немного отличается от традиционного. Традиционные процессы опираются на иерархию в виде пирамиды. В этом случае запросы на изменение обрабатываются специальной группой, которая подтверждает или отклоняет их.
Мы сделали выбор в пользу открытого подхода, который мы называем «Оценка коллегами, зеленая сборка» (PRGB). В отличие от традиционного процесса управления изменениями подход PRGB требует, чтобы каждое изменение — будь то изменение кода или инфраструктуры — проверялось одним или несколькими коллегами на предмет проблем, которые могут возникнуть в его результате. Чем критичнее изменение или системы, которые оно затронет, тем больше привлекается проверяющих. Наши специалисты выявляют и помечают проблемы, прежде чем изменение будет реализовано. Этот процесс зарекомендовал себя как гибкий и адаптируемый подход к управлению изменениями в нашей среде. Под «зеленой сборкой» подразумевается, что наш конвейер CI/CD должен произвести успешную или «чистую» сборку, включающую новые изменения. Если какие-либо составляющие изменения не проходят интеграционное, функциональное, модульное тестирование или тестирование безопасности, сборка отклоняется и возвращается на стадию исходного запроса на изменение для устранения всех неполадок.
Особое значение для нас имеет использование подхода под названием «Обеспечение качества путем содействия» вместо привычного контроля качества. Подробнее о нем см. на странице https://www.atlassian.com/inside-atlassian/quality-assurance-vs-quality-assistance | Управление изменениями в нашей среде | Atlassian Trust Center
Обеспечение качества: содействие вместо контроля |
| Принцип 6. Безопасность персонала |
| | Ценности компании
О ценностях компании Atlassian см. на странице https://www.atlassian.com/company/values
| Ценности компании
Ценности компании | Atlassian
|
| Проверка биографии сотрудников
Новые сотрудники компании Atlassian по всему миру проходят проверку биографических данных в обязательном порядке. Сотрудники, перешедшие в компанию в результате поглощения, проходят такую проверку после даты поглощения. Проверку отсутствия судимости проходят все сотрудники и независимые подрядчики. Сведения об образовании и опыте работы, а также кредитная история сотрудника проверяются, если того требует уровень должности или характер выполняемой работы. Мы проводим полную проверку биографических данных руководителей высшего звена и бухгалтеров. | Проверка биографии сотрудников
Проверка биографии | Atlassian Trust Center |
| Обучение по вопросам безопасности для всех сотрудников Atlassian
Компания Atlassian проводит обучение по вопросам информационной безопасности в рамках адаптации новых сотрудников («День 1») и на постоянной основе для всех сотрудников.
Помимо этого обучения по общим мерам и правилам безопасности, наши разработчики могут пройти специальное обучение по безопасному программированию. Оно включено в программу для специалистов по безопасности в составе команд.
Мы также проводим постоянное обучение по актуальным вопросам безопасности, связанным с вредоносными программами, фишингом и другими проблемами. Осведомленность в сфере безопасности | Atlassian Trust Center | Обучение по вопросам безопасности для всех сотрудников Atlassian
Осведомленность в сфере безопасности | Atlassian Trust Center |
| Принцип 7. Безопасная разработка | Методы обеспечения безопасности Atlassian охватывают каждый этап жизненного цикла разработки. Подробнее см. на странице https://www.atlassian.com/trust/security/security-in-development.
Методы на этапе проектирования, включающие моделирование угроз, оценку проекта, а также реализацию стандартов безопасности из регулярно обновляемой библиотеки, гарантируют соблюдение необходимых требований к безопасности.
В ходе разработки проводится обязательная оценка со стороны коллег, которая играет роль проверки безопасности первого уровня. Проверка предполагает автоматический статический анализ (SAST) и ручное тестирование безопасности и выполняется как штатными специалистами, так и сторонними экспертами согласно внутренней процедуре оценки рисков. Разработка ведется в том числе при поддержке обучающих программ по безопасности приложений, а также базы знаний, которую регулярно пополняет команда безопасности.
Оценка формальной готовности к запуску и процессы контроля изменений обеспечивают развертывание только подтвержденных изменений. После развертывания регулярно проводится автоматизированное сканирование на предмет уязвимостей, а также используется ведущая в отрасли программа вознаграждения за найденные ошибки (Программа вознаграждения за найденные ошибки Atlassian | Bugcrowd), за счет чего выполняется непрерывная проверка безопасности наших приложений.
Кроме того, вы можете ознакомиться с отчетом SOC 2 Atlassian. Этот отчет посвящен оценке систем организации с точки зрения безопасности, доступности, целостности обработки, конфиденциальности и защиты данных. | Приложение об обработке данных | Atlassian Trust Center |
| Принцип 8. Безопасность цепочки поставок | При сотрудничестве со сторонними поставщиками (в том числе подрядчиками и поставщиками облачных услуг) компания Atlassian делает все, чтобы оградить от риска своих клиентов и их данные. Юридическая команда и команда по закупкам контролируют все взаимодействия со сторонними поставщиками. Взаимодействия с высоким или критическим уровнем риска проходят дополнительную проверку с привлечением команды безопасности и команды по оценке рисков и обеспечению соответствия требованиям. Непрерывный и тщательный контроль обеспечивается последующими проверками при каждом продлении договора или на ежегодной основе, если того требует уровень риска конкретного взаимодействия.
Привлекая поставщиков к сотрудничеству, компания Atlassian неизменно требует от них соответствия минимальным критериям безопасности. Эти требования вносятся в положения договоров и в зависимости от уровня риска взаимодействия могут включать следующее.
- Интеграция с платформой системы единого входа Atlassian посредством SAML.
- Шифрование данных при передаче и хранении при помощи рекомендованных алгоритмов.
- Надлежащие механизмы регистрации для получения актуальной информации о потенциальных инцидентах безопасности.
| Управление риском, связанным с поставщиками | Atlassian Trust Center
Отчет SOC 2 Atlassian | Страница 29 (управление поставщиками) |
| Принцип 9. Безопасное управление пользователями |
| 9.1 Аутентификация пользователей в интерфейсах управления и каналах поддержки | В Atlassian считают, что ответственность за безопасность пользователей разделена между клиентом и Atlassian.
Пользователи, прошедшие аутентификацию
Все данные клиентов считаются в равной степени конфиденциальными, поэтому мы внедрили строгие методы защиты этих данных. Чтобы подготовить сотрудников и подрядчиков к работе с данными клиентов, а также дать соответствующие рекомендации, мы проводим обучение для повышения осведомленности в этой области в период адаптации.
В Atlassian данные клиентов, хранящиеся в наших приложениях, доступны только уполномоченным сотрудникам. Аутентификация выполняется с помощью индивидуальных открытых ключей, защищенных парольной фразой, а серверы принимают входящие SSH-соединения только из Atlassian и внутренних центров обработки данных. Доступ к любым данным предоставляется группам привилегированных пользователей и может быть предоставлен другим пользователям только после запроса и проверки. Кроме того, требуется дополнительная двухфакторная аутентификация.
Благодаря строгим методам защиты при аутентификации и авторизации наша международная команда поддержки может выполнять техническое обслуживание и поддержку продуктов. Доступ к размещенным приложениям и данным возможен с целью мониторинга состояния приложений и проведения технического обслуживания систем или приложений, а также по запросу клиента через нашу систему поддержки. Кроме того, клиенты могут предоставить доступ к данным определенным специалистам службы поддержки. Это можно сделать с помощью средства проверки согласия на предоставление доступа.
Несанкционированный или ненадлежащий доступ к данным клиентов рассматривается как инцидент безопасности и обрабатывается с помощью процесса управления инцидентами. Этот процесс включает инструкции по уведомлению затронутых клиентов в том случае, если было обнаружено нарушение политики. | Управление доступом к данным клиентов | Atlassian Trust Center
Приложение об обработке данных | Atlassian Trust Center |
| 9.2 Разделение и управление доступом в интерфейсах управления | В этой архитектуре AWS размещен ряд наших служб, которые обеспечивают работу платформы и продуктов, составляющих наши решения. Сюда относятся возможности платформы, которые применяются во множестве продуктов Atlassian, такие как поддержка мультимедиа, управление удостоверениями и функции электронной коммерции, пользовательские интерфейсы, такие как редактор, а также возможности для конкретных продуктов, такие как служба Jira Issue и Confluence Analytics.
Разработчики Atlassian предоставляют эти службы с помощью созданной компанией платформы как сервис (PaaS) под названием Micros, которая автоматически организует развертывание общих служб, инфраструктуры, хранилищ данных и возможностей управления ими, включая требования к безопасности и соответствию требованиям (см. рис. 1 выше). Как правило, продукт Atlassian состоит из нескольких «контейнерных» служб, которые развертываются на AWS с помощью Micros. Продукты Atlassian используют базовые возможности платформы (см. рис. 2 ниже), которые варьируются от маршрутизации запросов до хранилищ двоичных объектов, аутентификации/авторизации, хранилищ транзакционного пользовательского контента (UGC) и связей сущностей, озер данных, общего ведения журнала, трассировки запросов, наблюдаемости и аналитических служб.
На базе облачной инфраструктуры мы создали архитектуру микрослужб с поддержкой нескольких держателей, а также общую платформу, поддерживающую наши продукты. В архитектуре с несколькими держателями одна служба обслуживает множество клиентов, в том числе базы данных и экземпляры вычислительных ресурсов, необходимые для запуска наших облачных продуктов. Каждый сегмент (по сути, контейнер — см. рис. 3 ниже) содержит данные нескольких держателей, но данные каждого держателя изолированы и недоступны другим держателям. Обратите внимание, что мы не предлагаем архитектуру с одним держателем.
Подробнее см. на странице https://www.atlassian.com/trust/reliability/cloud-architecture-and-operational-practices#cloud-infrastructure | Архитектура с несколькими держателями | Архитектура Atlassian Cloud и методы работы
Приложение об обработке данных | Atlassian Trust Center |
| Принцип 10. Идентификация и аутентификация |
| | Подробнее об аутентификации и управлении доступом см. в пунктах 9.1 и 9.2. | Недоступно |
| Принцип 11. Защита внешних интерфейсов |
| | Подробнее о ресурсах Atlassian Trust, призванных защитить клиентов Cloud, см. в Принципе 5. | Недоступно |
| Принцип 12. Безопасное администрирование сервиса |
| | В Приложении по обработке данных Atlassian мы берем на себя обязательства по защите данных клиентов, в том числе по контролю доступа и управлению привилегиями.
Подробнее об аутентификации и управлении доступом см. в пунктах 9.1 и 9.2. | Недоступно |
| Принцип 13. Информация об аудите для пользователей |
| | Все случаи получения доступа к клиентскому приложению фиксируются. Каждое взаимодействие с пользовательским интерфейсом регистрируется в журнале приложения.
Atlassian ограничивает, регистрирует и отслеживает привилегированный доступ к хранилищу учетных данных аккаунтов Atlassian и другим системам управления информационной безопасностью.
Журналы хранятся в логическом разделе системы, а доступ на запись в них предоставляется только участникам команды по обеспечению безопасности. При обнаружении в журналах определенных действий или событий сотрудники команды по обеспечению безопасности или службы поддержки получают оповещения. Наш централизованный сервис ведения журналов (охватывающий платформу Atlassian Cloud, Jira, Confluence и Bamboo) встроен в инфраструктуру аналитики безопасности, тем самым реализуя возможность автоматического анализа и оповещения для выявления потенциальных проблем.
В Bitbucket журналы используются для расследования инцидентов. Благодаря тому, что конфигурация сервисов управляется инструментом Puppet и конфигурации выполнены в декларативном формате, все конфигурации систем, управляемые манифестами, правильно заданы при каждом запуске. Если Puppet не запускается на конкретном сервере, команда, отвечающая за мониторинг, получает оповещение. Наши внутренние и внешние средства обнаружения уязвимостей способны отправлять оповещения обо всех открытых без видимой причины портах или других изменениях конфигурации (например, профилях TLS серверов прослушивания).
Подробнее см. на странице, посвященной подписке Atlassian Access: Atlassian Access | Безопасность и единый вход для Jira, Confluence и т. д.
Журналы для нужд Atlassian хранятся в системе с отдельной логикой, а доступ на запись в них предоставляется только участникам команды по обеспечению безопасности и команды по обеспечению наблюдаемости. Наш централизованный сервис ведения журналов встроен в инфраструктуру аналитики безопасности, тем самым реализуя возможность автоматического анализа и оповещения для выявления потенциальных проблем.
Клиенты Atlassian Cloud, оформившие подписку Atlassian Access, имеют доступ к журналам с изменениями в организации. В журналах можно ознакомиться с действиями администратора в отношении пользователей, групп, прав и т. д. Подробнее см. на странице https://support.atlassian.com/security-and-access-policies/docs/track-organization-activities-from-the-audit-log/
Для облачных продуктов Atlassian также ведутся отдельные журналы, в которых регистрируются изменения, касающиеся того или иного продукта. | Недоступно |
| Принцип 14. Безопасное использование сервиса |
| | В Atlassian считают, что ответственность за безопасное использование сервиса разделена между клиентом и Atlassian.
Для получения более подробной информации о нашем подходе к управлению уязвимостями, а также обеспечению безопасности в целом можно ознакомиться с рядом других ресурсов, которые упоминаются в этой статье или предоставляются Atlassian в других источниках.
| Недоступно |