Безопасность

Compliance Lab · Версия 1.1 · Обновлено: август 2026 г.

Compliance Lab обрабатывает чувствительные compliance-данные. На этой странице описаны меры защиты инфраструктуры, данных и доступа к системе.

Инфраструктура

Компонент	Реализация
Хостинг API	Railway (Render Inc.) — изолированная среда выполнения, us-west регион
База данных	PostgreSQL на Railway — managed service с автоматическим бэкапом
CDN и сайт	Cloudflare Pages — глобальная сеть доставки, встроенная защита DDoS
Email	Resend — транзакционная отправка, SPF/DKIM/DMARC настроены

Публичный облачный контур размещён за пределами Республики Казахстан. Для regulated clients, которым требуется хранение базы персональных данных в РК, необходим stateless-режим без сохранения содержимого запросов или отдельные условия размещения данных по письменному соглашению.

Шифрование

✓ При передаче: все соединения защищены TLS 1.2+ (HTTPS обязателен, HTTP не поддерживается)
✓ В покое: база данных Railway шифруется средствами инфраструктуры (AES-256)
✓ Пароли: хранятся исключительно в виде bcrypt-хэша с солью. Открытый пароль нигде не сохраняется
✓ API-ключи: генерируются через cryptographically secure random, не передаются в открытом виде после создания

Аутентификация и доступ

API-ключ: заголовок X-Api-Key для программного доступа
Сессионный токен: префикс bs_, 256 бит случайности, срок действия 30 дней
Сброс пароля: одноразовый токен в email, действителен 60 минут
Rate limiting: по IP и по API-ключу — защита от перебора и злоупотреблений
Audit trail аутентификации: все попытки входа, регистрации и смены пароля логируются в auth_access_events

Контроль данных

Изоляция по пользователю: пользователи видят только собственный audit trail
Stateless-режим: при is_stateless: true содержимое запроса не записывается в БД
Автоматическое удаление: audit_log удаляется через 90 дней
Цель проверки: purpose_of_check фиксируется в audit trail, чтобы officer мог объяснить, зачем выполнялась проверка
Экспорт: PDF/CSV создаются по запросу пользователя; постоянное серверное хранение отчётов включается только в case archive/enterprise-сценариях
Разграничение прав: admin-эндпоинты защищены отдельным admin-токеном, недоступным обычным пользователям

Мониторинг и реагирование

Ошибки и аномалии фиксируются в логах Railway с сохранением 7 дней
Ключевые события безопасности (login_failed, auth_required, invalid_api_key) логируются в PostgreSQL
Health-check endpoint /health проверяется при каждом деплое
При обнаружении инцидента уведомляем затронутых пользователей в течение 72 часов

Ответственное раскрытие уязвимостей

Если вы обнаружили уязвимость безопасности, сообщите нам до публичного раскрытия:

Email: hello@compliancelab.kz с темой «Security: [краткое описание]»
Мы подтвердим получение в течение 48 часов
Мы устраним критические уязвимости в течение 7 рабочих дней
Мы уведомим вас о результатах исправления

Просим не публиковать детали уязвимости до её устранения.

Что не входит в текущую модель безопасности

Для полной прозрачности сообщаем об ограничениях:

Независимый аудит безопасности (penetration test) — запланирован, пока не проводился
SOC 2 / ISO 27001 сертификация — в планах по мере роста
Multi-factor authentication (MFA) — в разработке
IP allowlist для API-ключей — в roadmap для Enterprise-тарифа
Локализованный контур для regulated clients — не входит в публичную версию и может обсуждаться только как отдельное enterprise-соглашение