Шифрование в канале
Все соединения с консолью, API и агентами загрузки защищены TLS 1.3. Разрешены наборы TLS_AES_256_GCM_SHA384 и TLS_CHACHA20_POLY1305_SHA256 с обменом ключами на эллиптических кривых, что даёт прямую секретность для каждой сессии.
- HSTS с предзагрузкой и сроком два года для всех поддоменов.
- Агенты на площадке клиента аутентифицируются взаимным TLS с сертификатами, которые выпускаются на 90 дней и обновляются автоматически.
- TLS 1.2 с AEAD-шифрами включается только для выделенного адреса по заявке, если устаревшая PACS или АБС не поддерживает новую версию протокола.
- Трафик репликации между дата-центрами идёт по выделенным каналам и дополнительно шифруется.
Шифрование при хранении
Каждый блок данных шифруется AES-256-GCM по схеме конвертного шифрования. Ключ данных уникален для объекта и хранится только в зашифрованном виде, обёрнутым мастер-ключом клиента.
| Вариант | Где мастер-ключ | Тарифы |
|---|---|---|
| Управляемые ключи | Выделенный раздел KMS NexusVault на аппаратных модулях HSM | Все |
| BYOK | Клиент импортирует свой ключ в KMS и может отозвать его | Регламент, Холдинг |
| Ключ в HSM клиента | Ключ не покидает HSM на площадке клиента, KMS обращается к нему для каждой операции | Холдинг |
Мастер-ключи ротируются каждые 90 дней без перешифрования данных. Отзыв ключа делает все связанные объекты нечитаемыми сразу, что используется как криптографическое удаление для данных вне WORM-политик.
Дата-центры
Оборудование NexusVault размещено в двух коммерческих дата-центрах на территории РФ: в Москве на площадке уровня Tier III и в Санкт-Петербурге на площадке уровня Tier IV по классификации Uptime Institute.
- Синхронная репликация: запись подтверждается клиенту только после фиксации на обеих площадках.
- Электропитание с резервированием 2N, дизель-генераторы с запасом топлива на 48 часов, независимые вводы.
- Физическая охрана круглосуточно, вход в машинный зал по биометрии и заявке, видеонаблюдение с хранением записей 90 дней.
- Наши стойки закрыты отдельными клетками. Персонал дата-центра не имеет логического доступа к оборудованию.
- Выведенные из эксплуатации диски уничтожаются физически на площадке с составлением акта.
Управление доступом
Для пользователей клиента
- Обязательная многофакторная аутентификация: FIDO2-ключи или TOTP.
- SSO через SAML 2.0 и OIDC, синхронизация пользователей и групп по SCIM.
- Матрица ролей по паре «ресурс и действие» с условиями ABAC: отделение, юрлицо, период, адрес подключения.
- Правило четырёх глаз для экспорта, изменения политик и снятия Legal Hold.
Для сотрудников NexusVault
- Постоянного доступа к данным клиентов нет ни у кого. Доступ к инфраструктуре выдаётся на время задачи, после согласования вторым инженером.
- Все административные сессии проходят через бастион и записываются, записи хранятся в WORM-бакете.
- Доступ к содержимому объектов для диагностики возможен только по заявке клиента и с его временным ключом.
- Сотрудники проходят проверку при приёме на работу и ежегодное обучение по информационной безопасности.
Неизменяемость и целостность
WORM-политика применяется на уровне хранилища, а не интерфейса. Запрос на перезапись, удаление или сокращение срока отклоняется узлами хранения независимо от того, кто и через какой канал его отправил.
- Контрольные суммы SHA-256 проверяются при записи, при каждом чтении и при фоновом сканировании всех дисков раз в 30 дней.
- Повреждённый блок восстанавливается из копии на второй площадке, событие попадает в отчёт о целостности.
- Журнал аудита образует цепочку хешей, а корневой хеш за сутки публикуется в отдельный бакет клиента. По нему аудитор проверяет, что журнал не правили.
Мониторинг и реагирование на инциденты
События инфраструктуры и журналы доступа поступают в SIEM, за которым круглосуточно следит дежурная смена. Правила корреляции настроены на типовые сценарии: массовое чтение, вход из нового региона, серия отказов в доступе, попытки изменить политику хранения.
- Клиент получает уведомление об инциденте, затрагивающем его данные, в течение 24 часов с момента обнаружения.
- Об инцидентах с персональными данными мы уведомляем Роскомнадзор в сроки, установленные 152-ФЗ.
- План реагирования и восстановления проверяется учениями дважды в год, включая переключение на резервную площадку.
Безопасная разработка
- Каждое изменение кода проходит ревью двумя инженерами, один из которых не автор изменения.
- Статический и динамический анализ, проверка зависимостей и образов контейнеров в каждой сборке.
- Секреты хранятся в отдельном хранилище и не попадают в репозитории.
- Независимое тестирование на проникновение не реже одного раза в год и после крупных изменений архитектуры. Сводка результатов входит в пакет для аудитора.
Соответствие требованиям
NexusVault помогает клиенту выполнить технические требования и пройти проверку. Решение о соответствии принимает аудитор или регулятор клиента, поэтому мы описываем, что закрывает платформа, и выдаём доказательства.
| Требования | Что даёт платформа |
|---|---|
| 152-ФЗ | Локализация в РФ, меры защиты для ИСПДн, учёт доступа, модель угроз для размещения архивов |
| Банк России, ГОСТ Р 57580.1 | Меры по управлению доступом, регистрации событий и целостности, неизменяемое хранение журналов |
| HIPAA | Технические меры Security Rule, шаблон BAA, журналы доступа к ePHI |
| SOC 2 | Выгрузка доказательств по контролям Security, Availability и Confidentiality, описание системы |
Матрица контролей, описание архитектуры и отчёты передаются после подписания NDA. .
Ответственное раскрытие уязвимостей
Мы благодарны исследователям, которые сообщают об уязвимостях. Если вы нашли проблему, напишите на security@vaultstack-online.ru с описанием, шагами воспроизведения и оценкой последствий. Копию можно отправить на support@vaultstack-online.ru.
В рамках программы
- сайт vaultstack-online.ru и его поддомены;
- консоль, S3-совместимый API и агенты загрузки;
- изоляция данных между тенантами и проверка прав в матрице ролей.
Вне рамок программы
- атаки на отказ в обслуживании и нагрузочные тесты;
- социальная инженерия и физический доступ к площадкам;
- отчёты автоматических сканеров без подтверждённого сценария эксплуатации;
- отсутствие отдельных заголовков безопасности без демонстрации вреда.
Правила
- Используйте только свои тестовые аккаунты. Пилот для исследования можно получить по запросу на security@.
- Не обращайтесь к данным других клиентов. Если это произошло случайно, остановитесь и сообщите нам.
- Не публикуйте сведения об уязвимости до её исправления или до истечения 90 дней с момента сообщения.
Что делаем мы
- Подтверждаем получение в течение 3 рабочих дней.
- Оцениваем критичность в течение 10 рабочих дней и сообщаем план исправления.
- Исправляем критичные уязвимости в течение 30 дней и сообщаем вам о результате.
- С вашего согласия указываем ваше имя в списке благодарностей и выплачиваем вознаграждение в зависимости от критичности.
Если вы действовали добросовестно и по этим правилам, мы не будем предъявлять претензий и обращаться в правоохранительные органы в связи с вашим исследованием.