An ninh

Chúng tôi cố gắng đảm bảo rằng sự riêng tư và dữ liệu của bạn không bao giờ bị xâm phạm. Đây là một số biện pháp mà chúng tôi đã thực hiện.

Sự tuân thủ

GDPR

Workbase cam kết đảm bảo rằng tất cả dữ liệu cá nhân của khách hàng và nhân viên đều được xử lý theo cách thức tuân thủ Quy định chung về bảo vệ dữ liệu (GDPR) của EU.

CCPA

Đạo luật Bảo vệ Quyền riêng tư của Người tiêu dùng California (“CCPA”) quy định cách các tổ chức xử lý thông tin cá nhân của cư dân California và cung cấp cho họ những quyền nhất định liên quan đến thông tin cá nhân của họ. Workbase cam kết tuân thủ CCPA. Là nhà cung cấp công cụ thiết kế doanh nghiệp, Workbase chủ yếu là nhà cung cấp dịch vụ theo CCPA.

Bảo mật dữ liệu

Tất cả các dịch vụ của Workbase đều được lưu trữ tại các cơ sở Google Cloud ở châu Âu. Các dịch vụ được phân phối qua nhiều vùng khả dụng của Google Cloud. Những vùng này được lưu trữ tại các trung tâm dữ liệu tách biệt về mặt vật lý, bảo vệ các dịch vụ khỏi những sự cố tại trung tâm dữ liệu đơn lẻ.

Phân loại dữ liệu

Workbase phân loại dữ liệu mà họ sở hữu, sử dụng, tạo ra và duy trì thành các loại sau:

- Bảo mật: Dữ liệu khách hàng và dữ liệu cá nhân

- Nội bộ: Dữ liệu hoạt động nội bộ của Workbase không nên được công khai

- Công khai: Ví dụ, tài liệu tiếp thị và nội dung trên trang web này

Mã hóa khi nghỉ

Workbase sử dụng các kho dữ liệu quản lý bởi Google Cloud như Cloud SQL, Memorystore và Cloud Storage để lưu trữ dữ liệu khách hàng, bao gồm cả bản sao lưu. Tất cả các dịch vụ Google Cloud này đã được cấu hình để sử dụng mã hóa khi nghỉ với AES và khóa 256-bit.

Quản lý khóa bí mật và mã hóa

Workbase sử dụng Google Cloud Secret Manager để lưu trữ và quản lý an toàn các bí mật được sử dụng bởi các dịch vụ. Workbase sử dụng Dịch vụ Quản lý Khóa của Google Cloud (KMS) để mã hóa và giải mã những bí mật này, cũng như quản lý tất cả các khóa mã hóa đang được sử dụng bởi các dịch vụ của Workbase. Quyền truy cập vào bí mật và các khóa mã hóa được giới hạn cho các dịch vụ trên cơ sở quyền tối thiểu và được quản lý bởi nhóm cơ sở hạ tầng của Workbase.

Phân tách môi trường

Workbase hoàn toàn tách biệt và cô lập các mạng lưới phục vụ, staging và phát triển của họ.

Bảo mật sản phẩm

Phát triển an toàn

Workbase thực hành phát triển liên tục. Chúng tôi có các quy trình và tự động hóa để cho phép chúng tôi thực hiện thay đổi an toàn và tin cậy đối với cơ sở hạ tầng đám mây và ứng dụng web của mình một cách nhanh chóng. Chúng tôi triển khai các thay đổi mới vào sản xuất hàng chục lần mỗi tuần.

• Tất cả các thay đổi mã được yêu cầu thông qua các yêu cầu kéo và phải trải qua đánh giá mã và phê duyệt trước khi được kết hợp vào nhánh chính và nhánh sản xuất.

• Workbase sử dụng GitHub Enterprise và Dependabot để tự động tạo các yêu cầu kéo để cập nhật các phụ thuộc lỗi thời.

• Workbase sử dụng công cụ phân tích mã nguồn tĩnh để phân tích bất kỳ thay đổi mã nguồn nào nhằm xác định bất kỳ vấn đề chất lượng mã hoặc lỗ hổng bảo mật tiềm ẩn nào.

• Workbase sử dụng Sentry để theo dõi lỗi trong các ứng dụng web và desktop.

• Nhóm bảo mật của Workbase làm việc chặt chẽ với các nhóm kỹ thuật để giải quyết bất kỳ mối quan ngại bảo mật tiềm ẩn nào có thể xảy ra trong quá trình thiết kế hoặc phát triển.
  
  

Chương trình thưởng lỗi

Workbase điều hành một chương trình thưởng lỗi bảo mật riêng tư cho phép các nhà nghiên cứu bảo mật trên toàn thế giới liên tục kiểm tra bảo mật của các ứng dụng và dịch vụ của Workbase. Các kỹ sư bảo mật xác định vấn đề hợp lệ sẽ được thanh toán qua chương trình. Nếu bạn muốn được mời tham gia chương trình thưởng lỗi của chúng tôi, vui lòng báo cáo một lỗ hổng bảo mật bằng cách làm theo các hướng dẫn công bố lỗ hổng của chúng tôi như được nêu dưới đây. Dựa trên điều đó, chúng tôi sẽ xem xét việc mời bạn tham gia chương trình của chúng tôi, điều này sẽ được quyết định theo quyết định của chúng tôi.

Bảo mật cơ sở hạ tầng và mạng

Bảo mật chuyển giao

Workbase yêu cầu sử dụng TLS để bảo mật việc chuyển giao dữ liệu, cả trên mạng nội bộ giữa các dịch vụ cũng như mạng công cộng giữa các ứng dụng Workbase và cơ sở hạ tầng đám mây Workbase. Cấu hình TLS của Workbase yêu cầu ít nhất phiên bản TLS 1.2 và sử dụng các bộ mã hóa mạnh, hỗ trợ các tính năng bảo mật quan trọng như Tính bí mật tiến bộ. Để bảo vệ chống lại các cuộc tấn công hạ cấp, Workbase đã thực hiện Bảo mật Chuyển giao Nghiêm ngặt HTTP, và đã đưa tất cả các tên miền sản xuất của họ vào Danh sách Preload HSTS.

Bề mặt tấn công bên ngoài

Workbase chỉ công khai các ứng dụng và API (web) tới internet công cộng. Tất cả các dịch vụ khác chỉ có sẵn trên mạng nội bộ và được truy cập bởi nhân viên sử dụng VPN hoặc proxy đăng nhập một lần. Bề mặt tấn công bên ngoài được theo dõi để phát hiện thay đổi bởi một dịch vụ bên thứ ba.

Phân đoạn mạng

Phân đoạn mạng là một khía cạnh cơ bản của chiến lược bảo mật đám mây của Workbase. Workbase đạt được các ranh giới phân đoạn tại nhiều lớp khác nhau của cơ sở hạ tầng đám mây của họ. Workbase sử dụng một chiến lược đa tài khoản trong AWS để cô lập các môi trường sản xuất, phát triển và thử nghiệm, cũng như các miền như ghi nhật ký, bảo mật và tiếp thị. Trong AWS, Workbase sử dụng VPC, nhóm bảo mật, danh sách kiểm soát truy cập mạng và subnet để cô lập các dịch vụ thêm nữa.

Phát hiện và ngăn chặn xâm nhập

Workbase duy trì một môi trường ghi nhật ký tập trung rộng rãi trong đó các nhật ký mạng, máy chủ và ứng dụng được tập hợp tại một địa điểm trung tâm. Workbase cũng đã kích hoạt các bản ghi kiểm toán chi tiết với các nhà cung cấp dịch vụ quan trọng như Google Workspace, GitHub và AWS (CloudTrail). Các nhật ký và bản ghi kiểm toán này được phân tích bởi các hệ thống tự động để phát hiện sự kiện bảo mật, hoạt động bất thường và hành vi không mong muốn.

Bảo mật tổ chức

Đào tạo bảo mật

Tất cả nhân viên mới đều phải tham gia khóa đào tạo nhận thức về bảo mật như một phần của quy trình hội nhập. Và tất cả nhân viên đều phải tham gia các khóa đào tạo nhận thức về bảo mật thường xuyên.

Danh mục tài sản

Workbase duy trì một danh mục chính xác và cập nhật về tất cả các mạng, dịch vụ, máy chủ và thiết bị của nhân viên. Quyền truy cập vào dữ liệu khách hàng của Workbase được cung cấp trên cơ sở cần biết rõ ràng và tuân theo nguyên tắc tối thiểu. Dữ liệu khách hàng được kiểm toán và theo dõi bởi đội ngũ bảo mật. Nhân viên hỗ trợ và khách hàng của Workbase chỉ được cấp quyền truy cập sau khi có sự phê duyệt rõ ràng của khách hàng tương ứng. Tất cả nhân viên Workbase đã ký thỏa thuận không tiết lộ.

Quản lý sự cố bảo mật

Đội ngũ bảo mật của Workbase tổng hợp các nhật ký và bản ghi kiểm toán từ nhiều nguồn tại một địa điểm trung tâm và sử dụng các công cụ để phân tích, theo dõi và đánh dấu hoạt động bất thường hoặc đáng ngờ. Quy trình nội bộ của Workbase định nghĩa cách mà các cảnh báo được phân loại, điều tra và, nếu cần, được nâng cấp. Cả khách hàng và không phải khách hàng đều được khuyến khích báo cáo bất kỳ lỗ hổng bảo mật tiềm ẩn hoặc sự cố nghi ngờ nào cho Workbase Security. Trong trường hợp xảy ra sự cố bảo mật nghiêm trọng, Workbase có chuyên môn bảo mật để điều tra các sự cố bảo mật và giải quyết chúng đến tận cùng. Nếu cần, Workbase có quyền truy cập vào các chuyên gia bên ngoài về chủ đề.

Các chính sách bảo mật thông tin

Workbase duy trì một số chính sách bảo mật thông tin làm cơ sở cho chương trình bảo mật thông tin của chúng tôi. Tất cả nhân viên Workbase đều phải xem lại các chính sách này như một phần của quy trình hội nhập của họ. Các chính sách bảo mật này bao gồm các chủ đề sau và có sẵn cho khách hàng Doanh nghiệp khi yêu cầu:

• Kiểm soát truy cập

• Quản lý thay đổi

• Quản lý rủi ro

• Phân loại dữ liệu và quản lý tài sản

• Phản ứng và quản lý sự cố

• Bảo mật mạng

• Mã hóa và quản lý khóa

• Bảo mật nguồn nhân lực

• Chuyển giao thông tin

• Phát triển an toàn

• Giám sát và ghi nhật ký hệ thống

• Quản lý nhà cung cấp

• Quản lý lỗ hổng và bảo vệ phần mềm độc hại

• Quản lý thiết bị di động và làm việc từ xa

• Tiếp tục kinh doanh và phục hồi thảm họa
  
  

Bảo mật hoạt động

Sao lưu và phục hồi thảm họa

Tất cả dữ liệu khách hàng của Workbase đều được lưu trữ dư thừa tại nhiều trung tâm dữ liệu AWS hoặc Google Cloud (vùng khả dụng) để đảm bảo tính sẵn sàng. Workbase có các quy trình sao lưu và phục hồi được kiểm tra kỹ lưỡng, cho phép phục hồi nhanh chóng trong trường hợp xảy ra sự cố tại trung tâm dữ liệu đơn lẻ và thảm họa. Dữ liệu khách hàng được sao lưu liên tục và lưu trữ tại nơi khác. Việc phục hồi các bản sao lưu được kiểm tra hoàn toàn mỗi 30 ngày để đảm bảo rằng quy trình và công cụ của chúng tôi hoạt động như mong đợi.

Bảo mật thiết bị đầu cuối

Workbase chỉ sử dụng các thiết bị Apple Mac. Những thiết bị này đều được quản lý tập trung thông qua giải pháp quản lý thiết bị di động nội bộ, cho phép chúng tôi thực thi các cài đặt bảo mật như mã hóa toàn bộ ổ đĩa, tường lửa mạng và ứng dụng, cập nhật tự động, thời gian chờ màn hình, và các giải pháp chống phần mềm độc hại. Trong trường hợp thiết bị của nhân viên bị đánh cắp hoặc mất, dữ liệu trên các thiết bị này có thể được xóa từ xa.

Quản lý và đánh giá rủi ro

Workbase thực hiện phân tích và đánh giá rủi ro định kỳ để đảm bảo rằng các chính sách và thực tiễn bảo mật thông tin của chúng tôi đáp ứng các yêu cầu và nghĩa vụ quy định hiện hành.

Bảo mật doanh nghiệp

Bảo mật Doanh nghiệp Workbase bao gồm tất cả các biện pháp bảo mật chung của chúng tôi, cộng với các tính năng và cải tiến bổ sung nhằm cung cấp thêm tùy chỉnh và quyền riêng tư.

Công bố lỗ hổng bảo mật

Nếu bạn muốn công bố một lỗ hổng bảo mật tiềm ẩn hoặc có mối quan ngại về bảo mật đối với một sản phẩm của Workbase, vui lòng liên hệ với security@workbase.com. Vui lòng bao gồm mô tả về lỗ hổng bảo mật, các bước để tái tạo, và tác động mà lỗ hổng có thể gây ra.