Güvenlik Uygulamaları

Altyapı Güvenliği

Üretim sistemleri derinlemesine savunma prensipleriyle tasarlanmıştır.

Proje erişilebilirlik ve veri işleme gereksinimlerine göre seçilen bulut altyapısı
Tüm API ve web trafiği için TLS 1.2+ kullanan şifreli iletişim kanalları
Üretim, aşamalandırma ve yönetim düzlemlerini izole eden ağ bölümlendirmesi
Seçilen barındırma ortamına göre hizalanan sunucu güçlendirme uygulamaları
Proje kapsamına göre planlanan zafiyet incelemesi ve güvenlik testleri
Altyapının desteklediği yerlerde yapılandırılan trafik filtreleme ve kötüye kullanım kontrolleri
Hizmet sorumluluklarına göre hizalanan yama ve güvenlik güncelleme akışları
Uygulama kapsamına göre tanımlanan build ve release kontrolleri

Tüm sistem ve hizmetlerde en az ayrıcalıklı erişim modeli.

Parçalı izin yönetimi ile rol tabanlı erişim kontrolü (RBAC)
Tüm sistem erişimi için uygulanan en az ayrıcalık ilkesi
Yönetimsel işlemler için çok faktörlü kimlik doğrulama (MFA) gerekir
Seçilen sistemler ve erişim modeline göre hizalanan güvenli kimlik bilgisi yönetimi
Ürün ve güvenlik gereksinimlerine göre yapılandırılan oturum yönetimi
Düzenli erişim incelemeleri ve ayrıcalıkların yeniden sertifikalandırılması
Kimlik bilgisi rotasyon politikaları ve otomatik anahtar yaşam döngüsü yönetimi
Tüm yönetimsel ve ayrıcalıklı işlemler için denetim günlüğü kaydı

İzleme ve yanıt uygulamaları, kapsam içindeki üretim sistemlerine göre tanımlanır.

Çalışmaya dahil üretim altyapısı için güvenlik izleme
İlgili anormal aktiviteler ve eşik aşımları için uyarılar
Hizmet kapsamına göre hizalanan log toplama ve inceleme akışları
Desteklendiği yerlerde trafik ve davranış kalıpları için kötüye kullanım ve anomali sinyali incelemesi
Tanımlanmış yükseltme yollarıyla belgelenmiş olay müdahale prosedürleri
Kök neden analizi ile olay sonrası inceleme süreçleri
Otomatik trafik yönetimi dahil hizmet koruma mekanizmaları
Platformlar arası olay müdahalesi için ağ ortaklarıyla koordinasyon

Verileri yaşam döngüsü boyunca koruyan şifreleme ve erişim kontrolleri.

Veritabanları ve yedeklemeler dahil, kullanımda olmayan tüm veriler için AES-256 şifreleme
Aktarılan tüm veriler için TLS 1.2+ şifreleme
Şifrelenmiş abone tanımlayıcılara sahip güvenli provizyon sistemleri
Depolamayı operasyonel gereklilikle sınırlayan veri saklama politikaları
Veri erişimi ve değişikliği için kapsamlı denetim günlüğü
Uygulama kapsamına göre hizalanan anahtar yönetimi ve rotasyon uygulamaları
Coğrafi ayrımla şifrelenmiş yedekleme depolama alanı
Kullanımdan kaldırılan kayıtlar için güvenli veri silme prosedürleri

Güvenlik, platform ve ortakları arasında paylaşılan bir sorumluluktur.

API kimlik bilgilerini koruyun ve hesaplara yetkisiz erişimi önleyin
İş ortağı portalı erişimi için çok faktörlü kimlik doğrulamayı uygulayın
Geçerli veri koruma düzenlemelerine uygunluğu sürdürün
Aşağı akış sistemlerini ve son kullanıcı verilerini uygun şekilde güvence altına alın
Şüpheli güvenlik olaylarını veya kimlik bilgilerinin ihlal edildiğini derhal bildirin
API güvenlikle ilgili en iyi uygulamaları ve hız sınırı yönergelerini izleyin