Защита сервиса monday.com и ваших данных обеспечивается передовыми средствами безопасности.

monday.com управляет информацией более 100 тыс. организаций по всему миру. Клиенты рассчитывают, что их данные будут защищены с применением самых высоких стандартов, поэтому мы предоставляем надежную среду с высочайшим уровнем безопасности. Модель безопасности и средства управления, которые мы используем, соответствуют международным и отраслевым стандартам ISO 27001, ISO 27018 и OWASP Top 10.

Наши системы размещены в различных зонах доступности в инфраструктуре Amazon Web Services. Это позволяет нам обеспечивать надежность сервиса и доступность данных в любой момент времени. Кроме того, в другом регионе США у нас развернут узел аварийного восстановления на платформе AWS.

В этих ЦОД реализованы передовые средства физической и экологической безопасности, в результате чего обеспечивается высокая отказоустойчивость инфраструктуры. Более подробные сведения о методах обеспечения безопасности соответствующих сервисов доступны на следующих сайтах:

страница о безопасности AWS
страница о безопасности GCP

В архитектуре monday.com средства обеспечения безопасности реализованы на нескольких уровнях, в том числе на прикладном. Приложение monday.com разработано в соответствии со стандартом OWASP Top 10. Перед развертыванием в производственной среде весь его код проходит экспертную оценку.

Наш контролируемый процесс непрерывной интеграции/непрерывного развертывания (CI/CD) включает в себя статический анализ кода, оценку на наличие уязвимостей, сквозное тестирование, модульное тестирование с учетом аспектов авторизации и многое другое. Разработчики monday.com регулярно проходят инструктажи по безопасности, чтобы быть в курсе передового опыта разработки надежных решений с высоким уровнем защиты.

Еще один уровень обеспечения безопасности — инфраструктурный. Как уже говорилось, платформа monday.com размещается в нескольких зонах безопасности AWS. Кроме того, наша инфраструктура защищена несколькими уровнями защитных средств, в числе которых:

• межсетевые экраны, которые позволяют настроить белые списки IP-адресов и реализовать доступ к сетевым ресурсом только через разрешенные порты; s
• брандмауэр веб-приложения (WAF) для блокировки динамических атак на основе контента;
• средства защиты от DDoS-атак и ограничение скорости передачи;
• датчики системы обнаружения вторжений в сеть (NIDS) для раннего выявления атак;
• расширенная конфигурация маршрутизации;
• комплексный учет сетевого трафика — как внутреннего, так и периферийного.

monday.com шифрует все данные, как передаваемые, так и хранимые:

• трафик шифруется с помощью протокола TLS 1.3 с современным набором шифров (минимум TLS 1.2);
• хранимые в нашей инфраструктуре данные пользователей шифруются с помощью AES-256 или более сложного алгоритма;
• учетные данные хешируются с солью с использованием современной хеш-функции.

Независимые сторонние оценки крайне важны для получения точного и непредвзятого представления об эффективности системы безопасности. monday.com ежегодно проводит тесты на проникновение на уровне приложения и инфраструктуры, привлекая известные независимые аудиторские организации.

Кроме того, monday.com проходит внешние аудиты в рамках SOC2 Type II, сертификаций ISO и других внешних проверок.

У monday.com есть управляемая программа Bug bounty, в рамках которой специалисты по информационной безопасности со всего мира могут, действуя этичным и добросовестным образом, находить уязвимости в нашей системе и сообщать нам о них в службу безопасности.

Сервис monday.com полностью облачный, и ни одна часть его инфраструктуры не развернута в локальной среде. К мерам обеспечения физической безопасности в наших офисах относится контроль доступа на основе идентификации личности сотрудников, системы видеонаблюдения и сигнализации.

Центры обработки данных monday.com размещены в инфраструктуре Amazon Web Services и Google Cloud Platform, где реализованы передовые меры обеспечения физической безопасности.

Компания monday.com стремится обеспечить непрерывную и бесперебойную работу сервиса для всех клиентов. Резервные копии пользовательских данных создаются каждые 5 минут. Все резервные копии шифруются и распределяются по разным площадкам, где хранятся в течение 25 дней.

Не менее двух раз в год мы проводим тестирование плана аварийного восстановления, проверяем его эффективность и напоминаем сотрудникам, что они должны делать в случае сбоя в работе сервиса.

Мы понимаем, что безопасность платформы monday.com зависит от наших сотрудников. Поэтому для всех новых сотрудников мы проводим обучение и инструктажи по информационной безопасности, которые далее повторяются раз в квартал. Кроме того, все сотрудники подписывают «Политику допустимого использования».

Мы знаем, что данные, которые вы загружаете на платформу monday.com, являются частными и конфиденциальными. Мы регулярно проводим проверки доступа, контролируя тем самым, что пользователям предоставляются только необходимые разрешения в соответствии с принципом наименьших полномочий. Если сотрудник меняет место работы, его права доступа оперативно корректируются.