אבטחה ופרטיות שצוות ה-IT שלכם יכול לאמת
בתוכנית חדשנות נשמרים מוצרים שטרם הושקו, רעיונות בעלי פוטנציאל לפטנט ואסטרטגיה שעדיין אינה פומבית. הדף הזה מפרט מה מגן עליהם, בנתונים שאפשר לבדוק.
לצפייה באישוריםהאישורים שלנו, ואלה של ספקי האחסון
ברוב דפי האבטחה של ספקים מערבבים שני דברים שונים. כאן מופיעים האישורים ודוחות הביקורת ש-Qmarkets מחזיקה כחברה, ובנפרד אלה שספקי האחסון שלנו מחזיקים עבור מרכזי הנתונים.
GDPR מטופל כחובת ציות ולא כתעודה. Qmarkets פועלת כמעבדת נתונים וחותמת על הסכם עיבוד נתונים (DPA) מול כל לקוח, על גבי המסמך שלכם.
היכן הנתונים שלכם נמצאים
אתם בוחרים את האזור לפני תחילת ההטמעה, והנתונים שלכם נשמרים ומעובדים שם. כאשר רגולציה או מדיניות פנימית שוללות ענן לחלוטין, הפלטפורמה פועלת במקום זאת בתוך הרשת שלכם.
אפשרויות פריסה שמתאימות לדרישות שלכם
בשתי האפשרויות פועלת אותה פלטפורמה עם אותן יכולות. מה שמשתנה הוא היכן היא יושבת ומי מתפעל אותה.
ברירת המחדל, וכך פועלים רוב הלקוחות. הפלטפורמה מתארחת על Amazon Web Services או Microsoft Azure, באזור שתבחרו, ו-Qmarkets מנהלת את התשתית, העדכונים והניטור.
- האזור נקבע בהטמעה ומתועד בחוזה
- הסדרי גיבוי והתאוששות מאסון מוגדרים מראש
- הגבלה אופציונלית של הגישה לכתובות האינטרא-נט או ה-VPN שלכם
הפלטפורמה נפרסת על השרתים שלכם, בתוך הרשת שלכם. האבטחה נשלטת אז מקצה לקצה בידי הצוות שלכם, וזו בדרך כלל כל המטרה.
- פועלת על Windows או Linux, על החומרה או השרתים הווירטואליים שלכם
- נבנית לפי ההנחיות של מחלקת ה-IT שלכם
- הצוות שלנו מלווה את אנשי ה-IT שלכם בהתקנה ולאחריה
כיצד הפלטפורמה מאובטחת
הפירוט ששאלון אבטחה מבקש, פרוש כאן ולא מוסתר מאחורי לשוניות.
הצפנה
- כל התעבורה מוצפנת ב-TLS 256 ביט (גרסה 1.2 ומעלה) מעל HTTPS ו-SSH
- נתוני לקוחות נשמרים באחסון מוצפן
- ניהול מפתחות מוסדר במדיניות האבטחה
רשת ושרתים
- חומות אש לפני כל שרת החשוף לאינטרנט
- כל הפורטים סגורים למעט HTTPS ו-SSH
- הגבלת גישה אופציונלית לאינטרא-נט או ל-VPN שלכם
- מדיניות סיסמאות מחמירה בשרתים ובציוד
גישה וזהות
- כניסה מאוחדת (SSO) דרך ספק הזהויות שלכם באמצעות SAML 2.0
- הקצאת משתמשים אוטומטית דרך SCIM, או סנכרון מאובטח מתוזמן
- כניסה בסיסמה כגיבוי, ועבור משתתפים חיצוניים
- אימות רב-שלבי (MFA) נתמך
אבטחה פיזית
- זכוכית מוגנת ירי בעמדת הכניסה, בחלונות החזית וברציף הפריקה
- כניסה בכרטיס מגנטי עם גורם ביומטרי שני
- מאבטחים בשטח 24/7
- מצלמות במעגל סגור בפנים ובחוץ, ברציפות
פרטיות ו-GDPR
- Qmarkets פועלת כמעבדת נתונים, ואתם נשארים בעלי השליטה בנתונים
- הסכם עיבוד נתונים נחתם מול כל לקוח, על גבי המסמך שלכם
- האחסון והעיבוד נשארים באזור שבחרתם
- אנונימיזציה, פסאודונימיזציה וטיפול מוגדר בעוזבים
הרשאות וסודיות
- גישה מבוססת תפקידים עד לרמת הרעיון הבודד או חלק ממנו
- הרשאות ברמת סביבת עבודה וקמפיין, לא רק ברמה הגלובלית
- משתתפים חיצוניים רואים רק את מה שתזמינו אותם אליו
- הסדרי גיבוי והתאוששות מאסון מעוגנים בחוזה
רוצים להעמיק?
הפירוט שמאחורי הפלטפורמה, לשלב של תהליך הבחינה שבו נכנסים לתמונה הכספים, ה-IT והרכש.
שאלות נפוצות
האם Qmarkets מוסמכת ISO 27001?
כן. Qmarkets מחזיקה בהסמכת ISO 27001 לניהול אבטחת מידע, וההיקף מכסה את כל פעילות החברה ולא מוצר או צוות יחיד. בנוסף, Qmarkets מוסמכת ISO 9001:2015 לניהול איכות.
את התעודה אפשר להעביר במהלך תהליך הבחינה.
האם Qmarkets עומדת בתקן SOC 2?
כן. Qmarkets עומדת בדרישות SOC 2 Type II, בעקבות ביקורת עצמאית של PwC. דוח Type II הולך רחוק יותר מבדיקה בנקודת זמן אחת: הוא מאמת שבקרות האבטחה, הזמינות והתפעול היו קיימות ופעלו באופן אפקטיבי לאורך תקופה ממושכת.
מרכזי הנתונים שמארחים את הפלטפורמה מכוסים בנוסף בדוחות SOC 1 ו-SOC 2 של ספקי האחסון שלהם ועומדים בתקן PCI DSS. דוחות אלה מתייחסים למתקנים, לא ל-Qmarkets.
דוח ה-SOC 2 זמין ללקוחות ולמתעניינים לפי בקשה במהלך תהליך הבחינה. הדוח המלא משותף תחת NDA.
היכן הנתונים שלנו נשמרים, והאם נוכל לבחור את האזור?
כן, אתם בוחרים. הפלטפורמה מתארחת על Amazon Web Services או Microsoft Azure בארצות הברית, קנדה, בריטניה, גרמניה, שווייץ, איחוד האמירויות או אוסטרליה. האזור מסוכם לפני ההטמעה.
האחסון והעיבוד נשארים שניהם באותו אזור, וזה מה שרוב סעיפי מיקום הנתונים באמת מבקשים.
האם Qmarkets עומדת ב-GDPR, והאם תחתמו על הסכם עיבוד הנתונים שלנו?
Qmarkets עומדת ב-GDPR וברגולציית פרטיות מקומית מקבילה, ופועלת כמעבדת נתונים בעוד אתם נשארים בעלי השליטה. הסכם עיבוד נתונים נחתם מול כל לקוח, ואנחנו עובדים על גבי המסמך שלכם ולא מתעקשים על שלנו.
הטיפול באנונימיזציה, בפסאודונימיזציה ובנתונים של מי שעזבו את הארגון מוסדר באותו הסכם.
האם אפשר להריץ את Qmarkets על השרתים שלנו?
כן. פריסה בשרתים שלכם (On-premise) מציבה את הפלטפורמה בתוך הרשת שלכם, על החומרה או השרתים הווירטואליים שלכם, תחת Windows או Linux. האבטחה נשלטת אז מקצה לקצה בידי הצוות שלכם.
היא נבנית לפי ההנחיות של מחלקת ה-IT שלכם, והצוות שלנו מלווה את האנשים שלכם בהתקנה וגם לאחריה באופן שוטף.
כיצד הנתונים שלנו מוצפנים?
כל התעבורה מוצפנת ב-TLS 256 ביט (גרסה 1.2 ומעלה) מעל HTTPS ו-SSH, ונתוני הלקוחות נשמרים באחסון מוצפן. ניהול המפתחות מוסדר במדיניות האבטחה ולא נותר להגדרה פרטנית.
כל פורט החשוף לאינטרנט מלבד HTTPS ו-SSH סגור, ואת הגישה אפשר להגביל בנוסף לכתובות האינטרא-נט או ה-VPN שלכם.
האם Qmarkets תומכת בכניסה מאוחדת ובאימות רב-שלבי?
כן לשניהם. הכניסה המאוחדת פועלת מול ספק הזהויות הקיים שלכם באמצעות SAML 2.0, וכך נכנס רוב מוחלט של הלקוחות. הקצאת המשתמשים האוטומטית פועלת דרך SCIM, או באמצעות סנכרון מאובטח מתוזמן כאשר SCIM אינו זמין.
הכניסה בסיסמה נשארת זמינה כגיבוי ועבור משתתפים חיצוניים שאינם מופיעים בספרייה שלכם. לפירוט האינטגרציות.
באיזו תדירות הפלטפורמה נבדקת ועוברת ביקורת?
מבחני חדירה מתבצעים במועדים קבועים, והפלטפורמה נבדקת ומשופרת באופן רציף. ביקורת ה-SOC 2 Type II מוסיפה בדיקה עצמאית של הבקרות לאורך תקופת תצפית, לצד ביקורות ה-ISO השנתיות.
מדיניות האבטחה שמאחוריהם באחריות ה-CSO שלנו ובבקרת ההנהלה הבכירה, והיא חוצה פיתוח, אספקה, QA וקליטת עובדים ולא יושבת אצל צוות אחד.
שלחו לנו את השאלון
רוב תהליכי הבחינה מגיעים לנקודה שבה האבטחה צריכה לענות בכתב. שלחו לנו את המסמך ואנחנו נמלא אותו כראוי, במקום להפנות אתכם בחזרה לדף הזה.
- אנחנו ממלאים את שאלון האבטחה שלכם בפורמט שלכם
- תעודות ISO ודוח SOC 2 Type II לפי בקשה; הדוח המלא תחת NDA
- או חברו את צוות האבטחה שלכם ישירות לשלנו