Güvenlik Genel Bakışı

Kapsam

Bu genel bakış, Kollekting Apps LLC tarafından işletilen Verinten platformunu ve ClinicRadar ürününü kapsar. Bir tedarik ya da tedarikçi değerlendirmesi için yazılmıştır ve uygulanmakta olan denetimleri anlatır. Bir denetim uygulanıyor değil de planlanıyorsa, bunu söyler.

Erişim denetimi

• Bir çalışma alanı oluşturulmadan ya da bir abonelik satın alınmadan önce doğrulanmış e-posta gerektiren e-posta ve parola kimlik doğrulaması.
• Oturumlar, güvenlik açısından hassas her sayfa ve eylemde sunucu tarafında doğrulanır. Sistemin hiçbir yerinde yalnızca ara katmana dayanan bir yetkilendirme yoktur.
• Beş çalışma alanı rolü — Sahip, Yönetici, Analist, İzleyici, Faturalandırma — izinler bir arayüz öğesini gizleyerek değil, sunucu tarafında uygulanır.
• Oturumlar listelenir, iptal edilebilir ve süresi dolar; iptal, bir önbelleğe değil, yetkili kayıt deposuna karşı yürürlüğe girer.
• Dahili yönetim, uygulama yetkilendirmesine ek olarak bir kimlik geçidinin arkasındadır ve her dahili eylem denetlenir.

Kiracı yalıtımı

• Kiracıya ait her kayıt bir kiracı tanımlayıcısı taşır ve her sorgu ona göre sınırlanır.
• Kiracı bağlamı, oturumdan sunucu tarafında çözülür. Bir adresteki çalışma alanı kısa adı bir adrestir, asla bir yetkilendirme değil.
• Her nesne depolama anahtarının ve her arka plan iş mesajının başında sahibi olan kiracı bulunur.
• Kiracılar arası erişim otomatik testlerle kapsanır.

Veri koruma

• Baştan sona aktarım sırasında şifreleme, HSTS uygulanarak.
• Yönetilen tüm veri depolarında bekleyen veride şifreleme.
• Nesne depolama özeldir. Hiçbir şey herkese açık adreslenebilir değildir; indirmeler kimlik doğrulamalı yolları ya da kısa ömürlü imzalı bağlantıları kullanır.
• Destek kaydı gövdeleri uygulama katmanında şifreli olarak saklanır.
• Hiçbir hasta verisi toplanmaz — bu bir ayar değil, bir ürün sınırıdır.

Uygulama güvenliği

• Tüm dış girdiler — formlar, web kancaları, sağlayıcı yükleri, kuyruk mesajları — kullanılmadan önce şema doğrulamasından geçer.
• Her yanıtta kısıtlayıcı bir içerik güvenlik politikası, nosniff, çerçeve reddi ve katı bir yönlendiren politikası.
• CSRF korumasıyla birlikte Secure, HttpOnly, SameSite çerezler.
• Kamuya açık ve API yüzeylerinde uç hız sınırlama ve bot koruması.
• Sırlar, depoda değil, platformun sır deposunda tutulur; doğrulama kapısında otomatik bir depo sır taraması çalışır.
• Tarayıcı kaynak haritaları üretimde kapalıdır; Worker kaynak haritaları özel olarak yüklenir.

Operasyonlar

• Ayrı veri depoları ve kimlik bilgileriyle yalıtılmış hazırlık ve üretim ortamları; geliştirme yalnızca bir geliştirici makinesinde çalışır.
• En fazla 30 gün zaman içinde geri yükleme ile yalnızca ileriye dönük veritabanı geçişleri.
• Kimlik bilgilerinin, jetonların, yüklerin ve kişisel kanıtın çıkarıldığı yapılandırılmış günlükleme.
• Arka plan işleme en az bir kez teslim eder; tüketiciler eşgüçlüdür ve bir ölü mektup kuyruğu vardır.
• Dağıtım sonrası gözlem ve geri alma ölçütleriyle belgelenmiş bir sürüm yayımlama yordamı.

Güvenlik açığı bildirimi

Bildirimler yukarıdaki güvenlik iletişim adresine gider. Her bildirimi teyit eder ve bildirene ne bulduğumuzu söyleriz. güvenlik genel bakışı sayfasında yayımlanan sınırlar içinde iyi niyetli test yapmak, bizim tarafımızdan yasal işleme yol açmaz.

Henüz mevcut olmayanlar

Üçüncü taraf denetim sertifikası (SOC 2, ISO 27001) alınmamıştır. Aksini ima etmeyeceğiz. Çoklu oturum açma ve zorunlu çok faktörlü kimlik doğrulama şu anda mevcut değildir.