Što vaša služba informacijske sigurnosti treba znati

Arhitektura i smještaj podataka

• Aplikacija i baza na poslužitelju u Njemačkoj (Hetzner), unutar EU. Ispred je Cloudflare (DNS, TLS, zaštita od napada).
• Svaka organizacija je zaseban prostor na vlastitoj poddomeni. Svi podaci nose oznaku organizacije i svaki pristup se filtrira po njoj: nema dijeljenih lista, privitaka ni izvještaja.
• Izolacija organizacija provjerava se automatskim testovima prije svake nove verzije.
• Testno okruženje je odvojeno od produkcije, sa zasebnom bazom i isključenim komunikacijskim kanalima.

Pristup i identitet

• Prijava e-mailom i lozinkom (bcrypt). Dvofaktorska prijava (TOTP). Prijava passkeyem (WebAuthn): Face ID, otisak prsta, Windows Hello.
• Sesija traje 8 sati; svaki zahtjev ponovno provjerava je li račun aktivan, pa deaktivacija vrijedi odmah.
• Uloge: administrator, direktor (samo čitanje), dispečer, agent (svoj odjel i dodijeljeno), terenski radnik (samo svoje).
• Vanjski izvođači imaju odvojen portal i vlastite račune. Vide isključivo naloge dodijeljene njima; partnerska prijava ne vrijedi na internom dijelu sustava.
• Ograničenje pokušaja prijave po računu i ograničenje javnog obrasca po IP adresi.

Zaštita aplikacije

• Sigurnosna zaglavlja (Content-Security-Policy bez inline skripti, HSTS), pristup API-ju ograničen na domenu sustava.
• Svi upiti prema bazi parametrizirani. Statusi, prioriteti i veze među zapisima validiraju se i provjerava se da pripadaju organizaciji.
• Nazivi datoteka se sanitiziraju; privitci se poslužuju samo prijavljenim korisnicima iste organizacije. Partnerski dokazi ograničeni su tipom i veličinom.
• Prosljeđivanje prijave gradskom odjelu moguće je isključivo na adrese koje je unaprijed postavio administrator organizacije.
• Tajne (lozinke poslužitelja e-pošte, SMS ključevi) pohranjene su šifrirano (AES-256-GCM) i nikad se ne vraćaju kroz sučelje.
• Audit trag promjena tiketa, evidencija incidenata sustava, zapis tko je prvi vidio prijavu ili nalog.

Dostupnost i sigurnosne kopije

• Dnevna šifrirana kopija na zasebnu lokaciju u EU: 7 dnevnih, 4 tjedne, 6 mjesečnih. Dnevna provjera integriteta, tjedni test čitanja.
• Prije svake promjene strukture baze radi se automatska kopija; sve promjene su verzionirane s postupkom povratka.
• Postupak objave nove verzije: lokalni razvoj, testno okruženje, produkcija, s automatskim provjerama. Svaka verzija ima popis promjena vidljiv u aplikaciji.

Treće strane i prijenos podataka

Moduli u opciji uključuju se po organizaciji. Bez uključenja nema prijenosa prema trećoj strani.

Osobni podaci i GDPR

• Podaci građana (ime, e-mail, telefon, adresa prijave, sadržaj) obrađuju se u ime organizacije. Organizacija je voditelj obrade, Arcadian d.o.o. izvršitelj. DPA se potpisuje uz ugovor.
• Pristup imaju samo ovlašteni korisnici organizacije prema ulogama; partneri vide samo podatke naloga. Javna karta radova ne sadrži osobne podatke.
• Alat u aplikaciji: izvoz svih podataka pojedinog građanina i nepovratna anonimizacija na zahtjev. Anonimizirane prijave ne vraćaju se ni kroz API.

Incidenti

Otkrivanje (zapisi, nadzor servisa, prijave korisnika), procjena, obavijest organizaciji bez odgode, sanacija, izvještaj. Kontakt za sigurnosna pitanja: [email protected].

Pružatelj

Arcadian d.o.o., Ulica Jurja Barakovića 4, 23000 Zadar, OIB 27520050743. Razvoj, hosting i podrška iz iste kuće, na hrvatskom.