Bezpieczeństwo w Cal.com
Certyfikaty ISO 27001, SOC 2 Type II, HIPAA, GDPR i CCPA — z dokumentami, które to potwierdzają.
Zgodność
Uzyskaj dostęp do dokumentów zgodności, certyfikatów i umów o ochronie danych
Jak utrzymujemy ten poziom
Jako firma, która uzyskała certyfikaty ISO 27001, SOC 2 Type II, CCPA, GDPR i HIPAA, rozumiemy, jak kluczowe znaczenie ma bezpieczeństwo informacji w dzisiejszym cyfrowym świecie. Rosnąca częstotliwość i zaawansowanie cyberataków pokazują, że firmy muszą traktować bezpieczeństwo priorytetowo, aby chronić swoje dane oraz zapewniać zaufanie i pewność swoim klientom. Wdrażając branżowe środki bezpieczeństwa i najlepsze praktyki, pokazujemy nasze stałe zaangażowanie w ochronę poufnych informacji i zachowanie integralności naszych działań. Jesteśmy dumni z rygorystycznych protokołów bezpieczeństwa, które stosujemy, i konsekwentnie utrzymujemy najwyższe standardy w tym obszarze.
Jak to osiągnęliśmy?
Jako organizacja rozumiemy, jak ważne jest utrzymywanie zgodności z praktykami i standardami bezpieczeństwa. Dlatego korzystamy z platform automatyzujących bezpieczeństwo i zgodność, aby mieć pewność, że stale spełniamy wymagania i stosujemy odpowiednie protokoły bezpieczeństwa.
Mamy scentralizowaną platformę, która automatyzuje ocenę i monitorowanie różnych kontroli oraz procedur bezpieczeństwa. Dzięki integracji z naszymi istniejącymi systemami i narzędziami nasze platformy dają nam pełny obraz stanu bezpieczeństwa, wykrywają potencjalne problemy i pomagają upewnić się, że zawsze działamy zgodnie z najnowszymi protokołami bezpieczeństwa oraz standardami branżowymi. Dzięki temu mamy pewność, że stosujemy najlepsze praktyki branżowe i zapewniamy bezpieczne środowisko naszym klientom oraz interesariuszom.
Co się stanie, jeśli coś przestanie być zgodne?
Gdyby coś przestało spełniać wymagania zgodności, nasza platforma automatyzująca zgodność wykryłaby problem i natychmiast nas o tym powiadomiła. Pozwoliłoby nam to szybko podjąć działania, rozwiązać problem i przywrócić zgodność. Korzystając z takiej platformy, możemy stale pilnować naszych obowiązków w zakresie zgodności i działać proaktywnie, aby spełniać odpowiednie praktyki oraz standardy bezpieczeństwa. Dzięki temu mamy pewność, że zapewniamy bezpieczne środowisko naszym klientom i interesariuszom, a także utrzymujemy reputację rzetelnej i godnej zaufania organizacji.
Procedury i kontrole
Bezpieczne polityki i procedury
Spisane polityki i procedury bezpieczeństwa informacji zapewniają, że firma ma udokumentowane i przetestowane kontrole, które chronią dane klientów oraz pozwalają skutecznie reagować na incydenty bezpieczeństwa.
Testy podatności i penetracyjne
Regularne testy podatności i testy penetracyjne pomagają wykrywać oraz usuwać potencjalne słabości bezpieczeństwa, zanim zostaną wykorzystane przez atakujących. Cal.com co roku przechodzi zewnętrzny test penetracyjny naszej aplikacji webowej, wykonywany przez stronę trzecią, aby zidentyfikować ewentualne podatności bezpieczeństwa. Dzięki temu możemy zgłosić je wewnętrznie i natychmiast usunąć. Dla Cal.com powstaje oficjalny raport potwierdzający, że wykryte problemy zostały naprawione. Regularnie prowadzimy też wewnętrzne testy penetracyjne. Stosujemy również automatyczne skanowanie podatności w naszym kodzie i jego zależnościach.
Szyfrowanie danych
Szyfrowanie poufnych danych pomaga zapewnić, że nie mogą zostać odczytane ani udostępnione nieuprawnionym osobom. Szyfrowanie naszej bazy danych daje klientom poczucie bezpieczeństwa podczas korzystania z naszego produktu, ponieważ chroni dane zarówno podczas przesyłania, jak i w spoczynku.
Uwierzytelnianie wieloskładnikowe
Uwierzytelnianie wieloskładnikowe pomaga zapobiegać nieautoryzowanemu dostępowi do systemów firmy, co pomaga chronić dane klientów przed kradzieżą lub modyfikacją.
Bezpieczny cykl życia oprogramowania
Uwierzytelnianie wieloskładnikowe pomaga zapobiegać nieautoryzowanemu dostępowi do systemów firmy, co pomaga chronić dane klientów przed kradzieżą lub modyfikacją. Wszystkie zmiany w naszej bazie kodu są chronione mechanizmem ochrony gałęzi. Oznacza to, że aby wypchnąć nową zmianę kodu na produkcję, musi ona zostać zatwierdzona przez innego inżyniera oraz przejść szereg automatycznych testów sprawdzających problemy bezpieczeństwa wprowadzone przez kod lub jego zależności, testy end-to-end i inne kontrole. Dzięki temu żadne osoby o złych zamiarach, wewnątrz ani poza Cal.com, nie mogą wypchnąć złośliwego kodu dzięki naszemu bezpiecznemu procesowi przeglądów.
Monitorowanie
Ciągłe monitorowanie logów dostępu do systemu i ruchu sieciowego pomaga wykrywać potencjalne incydenty bezpieczeństwa oraz reagować na nie, zmniejszając ryzyko naruszenia danych klientów.
Szkolenia i świadomość pracowników
Regularne szkolenia i programy budowania świadomości pracowników pomagają upewnić się, że potrafią oni bezpiecznie obchodzić się z danymi klientów, zmniejszając ryzyko błędu ludzkiego lub celowego naruszenia danych. Dbamy o to, aby wszyscy nowi pracownicy ukończyli je od razu, a wszyscy obecni pracownicy — co roku.
Kontrole dostępu i weryfikacje przeszłości
Kontrole dostępu oraz weryfikacje przeszłości pracowników, zewnętrznych dostawców i usługodawców pomagają upewnić się, że są godni zaufania i można im powierzyć bezpieczne przetwarzanie danych klientów. Weryfikacje przeszłości są przeprowadzane dla wszystkich nowych osób, które firma może zatrudnić, aby Cal.com mógł mieć pewność co do wybranego pracownika. Dodatkowo przyznawanie dostępu do aplikacji tylko w konkretnych przypadkach jest ważne dla utrzymania zgodności. Co kwartał sprawdzamy dostęp do aplikacji i poziomy uprawnień wszystkich pracowników, aby upewnić się, że mają dostęp wyłącznie do aplikacji potrzebnych do wykonywania swojej roli.
Audyty i oceny stron trzecich
Regularne audyty i oceny przeprowadzane przez strony trzecie zapewniają niezależne potwierdzenie skuteczności kontroli oraz procedur bezpieczeństwa informacji w firmie, dając klientom pewność, że ich dane są przetwarzane bezpiecznie.
Wykrywanie włamań
Cal.com korzysta z systemów wykrywania włamań, aby stale monitorować nasze systemy pod kątem potencjalnych zagrożeń, które mogą pojawić się w dowolnym momencie. Wczesna informacja o tym, że zagrożenie może być krytyczne, pozwala nam działać szybko i skutecznie, aby zapobiec krótko- lub długoterminowym problemom.
Zgłaszanie podatności
W Cal.com bezpieczeństwo naszych systemów traktujemy jako najwyższy priorytet. Jednak bez względu na to, ile wysiłku wkładamy w ich zabezpieczenie, podatności nadal mogą się pojawić.
Jeśli odkryjesz podatność, chcemy o tym wiedzieć, aby jak najszybciej podjąć działania. Prosimy Cię o pomoc w lepszej ochronie naszych klientów i systemów.
Podatności poza zakresem:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Ataki wymagające MITM lub fizycznego dostępu do urządzenia użytkownika.
- Każde działanie, które mogłoby doprowadzić do zakłócenia działania naszej usługi (DoS).
- Podszywanie się pod treść i wstrzykiwanie tekstu bez pokazania wektora ataku / bez możliwości modyfikacji HTML/CSS.
- Podszywanie się pod e-mail SPF
- Brak nagłówków DNSSEC, CAA, CSP
- Brak flagi Secure lub HTTP only dla niepoufnych plików cookie
- Martwe linki
- Wszystko związane z DNS lub bezpieczeństwem poczty e-mail
- Ograniczanie liczby żądań
- XSS (Cross-Site Scripting)
Uwaga: Cal.com zastrzega sobie prawo do uznania dowolnej zgłoszonej podatności za poza zakresem.
Co robić, a czego nie robić
- Nie uruchamiaj automatycznych skanerów na naszej infrastrukturze ani panelu. Jeśli chcesz to zrobić, skontaktuj się z nami, a przygotujemy dla Ciebie sandbox.
- Nie wykorzystuj odkrytej podatności ani problemu, na przykład pobierając więcej danych, niż jest to konieczne do zademonstrowania podatności, albo usuwając lub modyfikując dane innych osób,
- Nie ujawniaj problemu innym, dopóki nie zostanie rozwiązany,
- Nie stosuj ataków na bezpieczeństwo fizyczne, socjotechniki, rozproszonej odmowy usługi, spamu ani aplikacji stron trzecich oraz
Jak zgłosić podatność
Możesz zgłaszać podatności tutaj: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
W zakresie: Cal.com Środowisko QA
Do testów bezpieczeństwa dopuszczone są tylko cele wymienione poniżej: (edytowano)
| Cel | URL | Typ |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Testowanie strony internetowej |
| Cal.com QA API | https://api.cal.qa/ | Testowanie API |
W razie potrzeby możesz tworzyć i używać wielu kont testowych w środowisku QA, o ile korzystasz wyłącznie z kont i danych testowych, które kontrolujesz.
Po otrzymaniu Twojego zgłoszenia odpowiedź może zająć trochę czasu, gdy nasz zespół będzie wstępnie analizować problem.
Podaj wystarczająco dużo informacji, aby odtworzyć problem — dzięki temu będziemy mogli rozwiązać go jak najszybciej. Zwykle wystarczy adres IP lub URL systemu, którego dotyczy problem, oraz opis podatności, ale bardziej złożone podatności mogą wymagać dodatkowych wyjaśnień.
- Jeśli zastosujesz się do powyższych instrukcji, nie podejmiemy wobec Ciebie żadnych działań prawnych w związku ze zgłoszeniem
- Będziemy traktować Twoje zgłoszenie jako ściśle poufne i nie przekażemy Twoich danych osobowych osobom trzecim bez Twojej zgody
- Będziemy informować Cię na bieżąco o postępach w rozwiązywaniu problemu
- W publicznych informacjach dotyczących zgłoszonego problemu podamy Twoje imię i nazwisko jako osoby, która odkryła problem (chyba że sobie tego nie życzysz)
- Staramy się rozwiązywać wszystkie problemy jak najszybciej i chcielibyśmy aktywnie uczestniczyć w końcowej publikacji dotyczącej problemu po jego rozwiązaniu.