Bezpieczeństwo w Cal.com
Certyfikaty ISO 27001, SOC 2 Type II, HIPAA, GDPR i CCPA — wraz z dokumentami, które to potwierdzają.
Zgodność
Uzyskaj dostęp do dokumentów zgodności, certyfikatów i umów o ochronie danych
Jak to utrzymujemy
Jako firma, która uzyskała certyfikaty ISO 27001, SOC 2 Type II, CCPA, GDPR i HIPAA, rozumiemy kluczowe znaczenie bezpieczeństwa informacji w dzisiejszym cyfrowym świecie. Rosnąca częstotliwość i zaawansowanie cyberataków pokazują, że firmy muszą traktować bezpieczeństwo priorytetowo, aby chronić swoje dane oraz budować zaufanie klientów. Wdrażając standardowe w branży środki bezpieczeństwa i najlepsze praktyki, pokazujemy nasze niezachwiane zaangażowanie w ochronę wrażliwych informacji i zachowanie integralności naszych operacji. Jesteśmy dumni z rygorystycznych protokołów bezpieczeństwa, które stosujemy, i dbamy o utrzymanie najwyższych standardów bezpieczeństwa.
Jak to osiągnęliśmy?
Jako organizacja rozumiemy, jak ważne jest utrzymywanie zgodności z praktykami i standardami bezpieczeństwa. Dlatego korzystamy z platform automatyzacji bezpieczeństwa i zgodności, aby mieć pewność, że stale spełniamy wymogi i stosujemy odpowiednie protokoły bezpieczeństwa.
Mamy scentralizowaną platformę, która automatyzuje ocenę i monitorowanie różnych kontroli oraz procedur bezpieczeństwa. Dzięki integracji z naszymi istniejącymi systemami i narzędziami nasze platformy dają nam pełny obraz stanu bezpieczeństwa, wskazują potencjalne problemy i pomagają nam zawsze być na bieżąco z najnowszymi protokołami bezpieczeństwa oraz standardami branżowymi. Dzięki temu mamy pewność, że stosujemy najlepsze praktyki branżowe i zapewniamy bezpieczne środowisko naszym klientom oraz interesariuszom.
Co się stanie, jeśli coś przestanie spełniać wymogi zgodności?
Jeśli coś przestałoby spełniać wymogi zgodności, nasza platforma automatyzacji zgodności wykryłaby problem i natychmiast nas o nim powiadomiła. Pozwoliłoby nam to szybko podjąć działania, rozwiązać problem i wrócić do zgodności. Korzystając z takiej platformy automatyzacji zgodności, możemy na bieżąco pilnować naszych obowiązków w tym zakresie i proaktywnie dbać o zgodność z odpowiednimi praktykami oraz standardami bezpieczeństwa. Daje nam to pewność, że zapewniamy bezpieczne środowisko naszym klientom i interesariuszom oraz pomaga utrzymać reputację rzetelnej, godnej zaufania organizacji.
Procedury i kontrole
Bezpieczne polityki i procedury
Spisane polityki i procedury bezpieczeństwa informacji zapewniają, że firma ma udokumentowane i przetestowane kontrole chroniące dane klientów oraz pozwalające skutecznie reagować na incydenty bezpieczeństwa.
Testy podatności i penetracyjne
Regularne testy podatności i testy penetracyjne pomagają wykrywać oraz usuwać potencjalne słabości bezpieczeństwa, zanim wykorzystają je atakujący. Cal.com co roku przechodzi zewnętrzny test penetracyjny naszej aplikacji webowej wykonywany przez stronę trzecią, aby wykryć ewentualne podatności bezpieczeństwa. Pozwala nam to zgłosić je wewnętrznie i natychmiast je naprawić. Dla Cal.com powstaje oficjalny raport potwierdzający, że znalezione problemy zostały naprawione. Regularnie prowadzimy też wewnętrzne testy penetracyjne. Stosujemy również automatyczne skanowanie podatności w naszym kodzie i jego zależnościach.
Szyfrowanie danych
Szyfrowanie wrażliwych danych pomaga zapewnić, że nieautoryzowane osoby nie mogą uzyskać do nich dostępu ani ich odczytać. Szyfrowanie naszej bazy danych pozwala klientom czuć się bezpiecznie podczas korzystania z naszego produktu, ponieważ chroni dane zarówno podczas przesyłania, jak i w spoczynku.
Uwierzytelnianie wieloskładnikowe
Uwierzytelnianie wieloskładnikowe pomaga zapobiegać nieautoryzowanemu dostępowi do systemów firmy, co pomaga chronić dane klientów przed kradzieżą lub manipulacją.
Bezpieczny cykl życia oprogramowania
Uwierzytelnianie wieloskładnikowe pomaga zapobiegać nieautoryzowanemu dostępowi do systemów firmy, co pomaga chronić dane klientów przed kradzieżą lub manipulacją. Wszystkie zmiany w naszej bazie kodu są chronione mechanizmem ochrony gałęzi. Oznacza to, że aby wdrożyć nową zmianę kodu na produkcję, musi ona zostać zatwierdzona przez innego inżyniera oraz przejść serię automatycznych testów sprawdzających problemy bezpieczeństwa wprowadzone przez kod lub jego zależności, a także testy end-to-end i nie tylko. Dzięki temu żadni nieuprawnieni aktorzy, wewnątrz ani na zewnątrz Cal.com, nie mogą wprowadzić złośliwego kodu dzięki naszemu bezpiecznemu procesowi przeglądów.
Monitorowanie
Ciągłe monitorowanie logów dostępu do systemów i ruchu sieciowego pomaga wykrywać potencjalne incydenty bezpieczeństwa oraz reagować na nie, zmniejszając ryzyko naruszenia danych klientów.
Szkolenia i świadomość pracowników
Regularne szkolenia i programy podnoszenia świadomości pracowników pomagają upewnić się, że potrafią bezpiecznie obchodzić się z danymi klientów, zmniejszając ryzyko błędu ludzkiego lub celowych naruszeń danych. Dbamy o to, aby nowi pracownicy przechodzili je od razu, a wszyscy obecni pracownicy — co roku.
Kontrole dostępu i weryfikacja przeszłości
Kontrole dostępu i weryfikacja przeszłości pracowników, zewnętrznych dostawców oraz usługodawców pomagają upewnić się, że są godni zaufania i można im powierzyć bezpieczną obsługę danych klientów. Weryfikację przeszłości przeprowadzamy wobec wszystkich nowych osób zatrudnianych przez firmę, aby Cal.com mogło mieć zaufanie do pracownika, którego wybiera. Dodatkowo ważne dla zachowania zgodności jest udzielanie dostępu tylko do konkretnych aplikacji. Co kwartał przeglądamy dostęp do aplikacji i poziomy uprawnień wszystkich pracowników, aby upewnić się, że mają dostęp wyłącznie do aplikacji potrzebnych do wykonywania swojej roli.
Audyty i oceny stron trzecich
Regularne audyty i oceny przeprowadzane przez strony trzecie zapewniają niezależne potwierdzenie skuteczności firmowych kontroli i procedur bezpieczeństwa informacji, dając klientom pewność, że ich dane są obsługiwane bezpiecznie.
Wykrywanie włamań
Cal.com wykorzystuje systemy wykrywania włamań, aby stale monitorować nasze systemy pod kątem potencjalnych zagrożeń, które mogą pojawić się w dowolnym momencie. Wczesna wiedza o tym, że zagrożenie może być krytyczne, pozwala nam działać szybko i skutecznie, aby zapobiec krótko- i długoterminowym problemom.
Zgłaszanie podatności
W Cal.com bezpieczeństwo naszych systemów traktujemy priorytetowo. Jednak niezależnie od tego, ile wysiłku wkładamy w zabezpieczenie systemów, podatności wciąż mogą się pojawić.
Jeśli odkryjesz podatność, chcemy o niej wiedzieć, aby jak najszybciej podjąć działania naprawcze. Prosimy, pomóż nam lepiej chronić naszych klientów i nasze systemy.
Podatności poza zakresem:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Ataki wymagające MITM lub fizycznego dostępu do urządzenia użytkownika.
- Wszelkie działania, które mogłyby doprowadzić do zakłócenia działania naszej usługi (DoS).
- Podszywanie się pod treść i wstrzykiwanie tekstu bez pokazania wektora ataku / bez możliwości modyfikacji HTML/CSS.
- SPF Email spoofing
- Brak nagłówków DNSSEC, CAA, CSP
- Brak flagi Secure lub HTTP only na niewrażliwych plikach cookie
- Martwe linki
- Wszystko związane z bezpieczeństwem DNS lub poczty e-mail
- Ograniczanie liczby żądań
- XSS (Cross-Site Scripting)
Uwaga: Cal.com zastrzega sobie prawo do oznaczenia dowolnej zgłoszonej podatności jako poza zakresem.
Co robić, a czego nie robić
- Nie uruchamiaj automatycznych skanerów na naszej infrastrukturze ani panelu. Jeśli chcesz to zrobić, skontaktuj się z nami, a przygotujemy dla Ciebie sandbox.
- Nie wykorzystuj odkrytej podatności ani problemu, na przykład pobierając więcej danych, niż jest to konieczne do zademonstrowania podatności, albo usuwając lub modyfikując dane innych osób,
- Nie ujawniaj problemu innym, dopóki nie zostanie rozwiązany,
- Nie używaj ataków na bezpieczeństwo fizyczne, socjotechniki, rozproszonej odmowy usługi, spamu ani aplikacji stron trzecich, oraz
Jak zgłosić podatność
Możesz zgłaszać podatności tutaj: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
W zakresie: Cal.com Środowisko QA
Do testów bezpieczeństwa autoryzowane są wyłącznie cele wymienione poniżej: (edytowano)
| Cel | URL | Typ |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Testowanie strony internetowej |
| Cal.com QA API | https://api.cal.qa/ | Testowanie API |
W razie potrzeby możesz tworzyć i używać wielu kont testowych w środowisku QA, o ile korzystasz wyłącznie z kont i danych testowych, które kontrolujesz.
Po otrzymaniu Twojego zgłoszenia może minąć trochę czasu, zanim odpowiemy, ponieważ nasz zespół musi przeprowadzić wstępną ocenę problemu.
Podaj wystarczająco dużo informacji, aby odtworzyć problem, dzięki czemu będziemy mogli rozwiązać go jak najszybciej. Zwykle wystarczy adres IP lub URL dotkniętego systemu oraz opis podatności, ale bardziej złożone podatności mogą wymagać dodatkowych wyjaśnień.
- Jeśli zastosujesz się do powyższych instrukcji, nie podejmiemy wobec ciebie żadnych działań prawnych w związku ze zgłoszeniem
- Potraktujemy twoje zgłoszenie jako ściśle poufne i nie przekażemy twoich danych osobowych podmiotom trzecim bez twojej zgody
- Będziemy informować cię na bieżąco o postępach w rozwiązywaniu problemu
- W publicznych informacjach dotyczących zgłoszonego problemu podamy twoje imię i nazwisko jako osoby, która odkryła problem (chyba że sobie tego nie życzysz)
- Staramy się rozwiązywać wszystkie problemy tak szybko, jak to możliwe, i chcielibyśmy odegrać aktywną rolę w końcowej publikacji dotyczącej problemu po jego rozwiązaniu.