Angajamente cheie

• Datele clienților sunt stocate și prelucrate exclusiv în interiorul Uniunii Europene, sub legislația UE privind protecția datelor. Niciun fel de date ale clienților nu părăsesc UE în niciun moment al ciclului lor de viață.
• Toate datele clienților în repaus sunt protejate cu criptare puternică. Toate datele în tranzit sunt protejate cu TLS modern, folosind cipher suite actuale. Transportul în clar nu este acceptat.
• Accesul la mediile de producție și la datele clienților respectă principiul privilegiului minim și controlul accesului bazat pe roluri. Accesul administrativ necesită autentificare multifactor și produce un audit trail imuabil.
• Un program de responsible disclosure este activ. Cercetătorii de securitate de bună-credință sunt protejați printr-un angajament explicit de safe harbour.
• GDPR și NIS2 sunt pe deplin operaționale și ghidează deciziile de zi cu zi. Certificarea independentă ISO 27001 și atestarea SOC 2 se află pe roadmap-ul public.

Domeniul acestui document

• Acest whitepaper este un document de referință, nu un angajament contractual. Angajamentele contractuale de securitate sunt stabilite în order form-ul tău specific, în termenii de serviciu și în Data Processing Agreement.
• Din motive de securitate operațională, acest document nu numește furnizori de infrastructură specifici, regiuni, hostname-uri, topologia rețelei sau orice alt detaliu care ar expune inutil suprafața de atac.
• Acolo unde practicile sunt încă în pregătire pentru validare independentă, documentul face distincția între starea operațională curentă și angajamentele din roadmap.

Ne raportăm la aceleași standarde pe care îi ajutăm pe clienții noștri să le atingă. Orizon vinde instrumente de securitate cibernetică de nivel de conformitate către sectoare europene reglementate — bancar, sănătate, energie, producție, administrație publică. A vinde aceste instrumente operând în mod nesigur ar fi de nesusținut atât comercial, cât și etic. Programul nostru de securitate este, prin urmare, conceput să reziste scrutinului clienților cu cea mai mare probabilitate de a-l audita.

Trei principii modelează fiecare decizie de securitate pe care o luăm. Primul, suveranitatea europeană a datelor: datele aparțin clientului și rămân sub jurisdicție europeană. Al doilea, compliance by architecture: controalele sunt integrate în modul de funcționare al platformei, nu adăugate ulterior ca documentație. Al treilea, evidența continuă: fiecare angajament de securitate din acest document este susținut de sisteme care produc evidențele de audit necesare pentru a-l demonstra unui regulator.

Securitatea nu este un departament separat la Orizon. Fiecare inginer este responsabil de securitatea codului pe care îl scrie, a serviciilor pe care le operează și a datelor pe care le manipulează. O funcție de securitate dedicată stabilește standarde, derulează evaluări și coordonează răspunsul la incidente, dar aplicarea zilnică a practicilor de securitate este distribuită în întreaga organizație de inginerie.

Orizon a fost fondată pe principiul că securitatea cibernetică europeană necesită infrastructură europeană. Rezidența datelor nu este, prin urmare, o opțiune configurabilă — este un angajament fundamental. Toate datele clienților sunt prelucrate și stocate în interiorul Uniunii Europene, guvernate de legislația UE, și nu sunt niciodată transmise către sau stocate în jurisdicții din afara Spațiului Economic European.

Orizon angajează un set limitat de subprocesatori pentru a-și furniza serviciile, toți operând sub aceeași jurisdicție UE ca și Orizon. Lista curentă de subprocesatori este menținută intern și divulgată clienților sub NDA la cerere, sau conform Data Processing Agreement încheiat. În mod deliberat nu publicăm lista completă în mod public, deoarece acest lucru ar expune inutil informații despre suprafața de atac unor potențiali adversari.

Orizon operează un ciclu de viață modern de dezvoltare software în care securitatea este integrată în fiecare etapă, de la threat modelling în faza de proiectare până la monitorizarea continuă în producție. Practicile de mai jos descriu modul în care construim și operăm software-ul care manipulează datele clienților.

Orizon rulează monitorizare continuă în întregul său mediu de producție. Evenimentele relevante pentru securitate sunt agregate, corelate și generează alerte. Capacitatea de răspuns la incidente este exersată, documentată și integrată cu latura de produs a afacerii — Oversight, oferta noastră de SOC gestionat, ne oferă o perspectivă practică asupra modului în care răspunsul la incidente ar trebui să funcționeze.

Cronologie de notificare de referință (incidente orientate către client)

Gestionarea vulnerabilităților la Orizon este o activitate continuă, mai degrabă decât un eveniment programat. Vulnerabilitățile sunt identificate prin tooling automatizat, revizuiri interne de securitate, penetration test-uri periodice și raportări de la cercetători externi. Remedierea este prioritizată în raport cu riscul pe care vulnerabilitatea îl prezintă pentru clienți.

Program de responsible disclosure

Cercetătorii de securitate care descoperă o vulnerabilitate într-un produs sau serviciu Orizon sunt încurajați să o raporteze la [email protected]. Confirmăm raportările în termen de 48 de ore în zilele lucrătoare. Nu solicităm un contract formal sau un acord de confidențialitate pentru a primi o raportare. Coordonăm publicarea și îi credităm pe cercetătorii care doresc să fie creditați.

Orizon operează cu așteptarea că defecțiunile de infrastructură, perturbările regionale și incidentele operaționale sunt inevitabile pe orizonturi lungi de timp. Scopul practicilor noastre de continuitate a afacerii și de recuperare în caz de dezastru este de a menține serviciile orientate către client disponibile și datele clienților recuperabile atunci când au loc astfel de evenimente.

Orizon operează o platformă care ajută clienții să demonstreze conformitatea. Ar fi incoerent să operăm acea platformă în afara cadrelor pe care le susține. Tabelul de mai jos prezintă cadrele cele mai relevante pentru clienții noștri și postura noastră curentă față de fiecare. "Operațional" înseamnă că astăzi cadrul ghidează activ deciziile. "Roadmap" înseamnă că este în pregătire pentru validare independentă.

Orizon aplică propriului lanț de aprovizionare același scrutin pe care NIS2 îl impune clienților din domeniul de aplicare să îl aplice propriului lor lanț. Terții care prelucrează datele clienților sau rulează pe calea critică a serviciilor de producție sunt supuși evaluării înainte de angajare și la intervale definite ulterior.

• Furnizorii relevanți pentru securitate sunt identificați și inventariați intern. Inventarul face distincția între subprocesatorii care ating datele clienților și furnizorii operaționali care nu o fac.
• Subprocesatorii sunt supuși unei revizuiri înainte de onboarding care acoperă postura de securitate, angajamentele de protecție a datelor, obligațiile de notificare a incidentelor și alinierea la rezidența în UE.
• Contractele cu subprocesatorii încorporează cerințe de securitate: criptare, control acces, drepturi de audit acolo unde este cazul și obligații de a notifica Orizon cu privire la incidentele relevante.
• Schimbările materiale ale posturii unui subprocesator — achiziție, incident de securitate, pierderea personalului cheie, schimbarea jurisdicției — declanșează o reevaluare.
• Schimbările de subprocesatori sunt comunicate clienților în conformitate cu acordul comercial. Lista curentă este divulgată sub NDA sau ca parte a Data Processing Agreement încheiat.
• Orizon își menține capacitatea de a înlocui orice subprocesator fără întârziere nejustificată dacă apare o preocupare materială de securitate sau legală.

Acest whitepaper are scopul de a răspunde la întrebările pe care majoritatea evaluatorilor de securitate le pun în timpul onboarding-ului furnizorului. Întrebările la care nu răspunde — sau angajamentele specifice cazului tău — pot fi adresate direct echipei de securitate sau de conformitate Orizon. Salutăm implicarea timpurie în timpul procurement-ului.

Acest document este revizuit cel puțin anual și actualizat ori de câte ori are loc o schimbare materială. Istoricul versiunilor este menținut intern; numărul versiunii curente și data publicării sunt afișate pe copertă.

Nimic din acest whitepaper nu constituie un angajament contractual. Angajamentele contractuale sunt stabilite prin order form, termenii de serviciu și — acolo unde este aplicabil — un Data Processing Agreement încheiat între Orizon și client. Acolo unde acest whitepaper și acordul comercial diverg, prevalează acordul comercial.