Модель спільної відповідальності

Безпека даних у сервісі залежить і від «Вчасно», і від вашої компанії. Ми відповідаємо за захист платформи, інфраструктури і даних на нашому боці та надаємо інструменти захисту кабінету. Ви відповідаєте за те, хто ваших співробітників має доступ, і за налаштування цих інструментів. Розподіл обов’язків нижче є частиною умов Публічного договору. Як налаштувати кабінет — у статті «Як захистити кабінет компанії».

Домен безпеки згідно з ISO/IEC 27017	Відповідальність ТОВ «Вчасно Сервіс» (Надавач послуг)	Відповідальність Клієнта (Компанія-замовник)
1. Автентифікація та контроль доступу	Забезпечує захищені механізми автентифікації у веб- та мобільних додатках (підтримка двофакторної автентифікації, біометричного входу в мобільних додатках, входу за КЕП та інтеграції з корпоративними системами єдиного входу), автоматичні сповіщення про вхід із нового пристрою чи незвичної локації, інструменти контролю активних сесій користувачів, обмеження доступу за списком дозволених корпоративних IP-адрес і поштових доменів, а також сувору логічну ізоляцію даних між компаніями та захищене зберігання токенів інтеграції.	Забезпечує дотримання своїми користувачами правил створення надійних унікальних паролів, вмикає обов’язкову двофакторну автентифікацію (2FA) для співробітників у налаштуваннях компанії, налаштовує допустимий час автоматичного завершення сесій, списки дозволених корпоративних IP-адрес і поштових доменів, а також забезпечує захищене зберігання токенів API у власних облікових системах.
2. Управління ідентифікацією та правами доступу	Забезпечує обов’язкову первинну верифікацію користувачів і представників компаній, надає в кожному сервісі гнучку рольову модель керування правами доступу, автоматично обмежує доступ для деактивованих і архівних облікових записів та виконує зміну адміністратора компанії виключно за офіційним зверненням, підписаним КЕП керівника клієнта.	Призначає уповноважених адміністраторів компанії, розподіляє ролі та права доступу своїх працівників за принципом мінімально необхідних повноважень, регулярно проводить перевірку переліку активних користувачів та у день звільнення працівника блокує або відкликає його доступ до кабінету компанії.
3. Захист від шкідливого програмного забезпечення	Здійснює автоматичну перевірку всіх завантажуваних у сервіси файлів на відповідність безпечним форматам і обмеженням розміру, сканує всі завантажені файли антивірусними засобами із відображенням статусу перевірки в інтерфейсі та забезпечує ізольоване зберігання файлів у хмарному сховищі Amazon S3 без можливості виконання коду.	Забезпечує антивірусний захист робочих комп’ютерів, смартфонів та інтегрованих серверів своїх користувачів і зобов’язується не завантажувати у сервіси «Вчасно» умисно шкідливі файли чи шкідливий програмний код.
4. Управління вразливостями	Проводить регулярне автоматизоване сканування та усунення вразливостей хмарної інфраструктури, контейнерних середовищ та програмного коду додатків, а також своєчасно встановлює оновлення безпеки для серверної платформи без переривання роботи клієнтів.	Відповідає за своєчасне встановлення оновлень офіційних мобільних додатків «Вчасно» з App Store та Google Play на пристроях користувачів, використання актуальних версій веб-браузерів, операційних систем та локальних засобів інтеграції.
5. Резервне копіювання та відмовостійкість	Забезпечує роботу платформи у відмовостійкому режимі в 3-х зонах доступності AWS на території ЄС, захист оригіналів документів у хмарному сховищі від випадкового видалення, щоденне зашифроване резервне копіювання баз даних із 30-денним циклом зберігання, а також регулярне тестування відновлення з резервних копій.	Відповідає за періодичне вивантаження (експорт) власних локальних резервних копій підписаних електронних документів і файлів КЕП за допомогою вбудованої функції масового експорту або через API, якщо цього вимагає внутрішня політика клієнта.
6. Збір, зберігання та захист доказів (логів)	Забезпечує синхронізацію серверного часу, автоматичну фіксацію та захист від модифікації журналів дій користувачів і подій безпеки, надає адміністраторам клієнта можливість перегляду й вивантаження логів через інтерфейс та API, а також надає архівні логи за запитом адміністратора до служби підтримки.	Регулярно переглядає журнали дій своїх користувачів в інтерфейсі сервісу або налаштовує автоматичне отримання логів безпеки через API до власної системи моніторингу (SIEM), а також забезпечує ведення логів на боці власних корпоративних облікових систем.
7. Безперервний моніторинг	Здійснює постійний автоматизований моніторинг безпеки, продуктивності та доступності хмарної інфраструктури і сервісів, захист периметра від мережевих та DDoS-атак, а також інформує клієнтів про операційний статус платформи.	Відстежує сповіщення безпеки у профілі своєї компанії та електронні листи про вхід із нових пристроїв чи незвичних локацій, контролює активні сесії своїх користувачів, стежить за лімітами тарифних пакетів та моніторить працездатність власних інтеграційних підключень.
8. Криптографічний контроль та безпека КЕП	Забезпечує шифрування всього мережевого трафіку (TLS 1.2/1.3) та всіх баз даних, сховищ і резервних копій у стані спокою (AES-256); гарантує обробку локальних ключів КЕП виключно на боці користувача без передачі приватних ключів на сервер і передачу лише криптографічного гешу документа до зовнішніх сервісів підписання.	Несе повну відповідальність за безпечне зберігання особистих ключів КЕП своїх підписантів на захищених носіях, нерозголошення паролів до ключів та своєчасне відкликання/блокування скомпрометованих сертифікатів КЕП у кваліфікованого надавача електронних довірчих послуг (КНЕДП).
9. Тестування безпеки	Проводить обов’язкове автоматизоване тестування безпеки коду перед кожним релізом, регулярні внутрішні перевірки захищеності додатків та інфраструктури, а також щонайменше раз на рік залучає незалежних фахівців для проведення тестування на проникнення.	Зобов’язується не проводити несанкціоноване сканування вразливостей, навантажувальне тестування чи тестування на проникнення продуктивної інфраструктури «Вчасно» без попереднього письмового погодження.
10. Управління інцидентами	Підтримує процедуру реагування на інциденти ІБ, забезпечує прийом повідомлень про події безпеки на виділену пошту [email protected], повідомляє зачеплених клієнтів про підтверджені інциденти безпеки даних не пізніше 48 годин та надає звіт про причини інциденту за запитом.	Зобов’язаний негайно завершувати підозрілі сесії та повідомляти службу підтримки або команду безпеки «Вчасно» ([email protected]) у разі виявлення несанкціонованого доступу до кабінету компанії, компрометації облікового запису, токена API чи ключа КЕП.
11. Перевірка технічної відповідності	Регулярно проводить автоматизовані та експертні перевірки технічної відповідності конфігурацій хмарної інфраструктури і продуктових сервісів вимогам міжнародних стандартів безпеки.	Періодично перевіряє відповідність налаштувань безпеки власного кабінету компанії у «Вчасно» (ролей, активних користувачів, 2FA, IP-обмежень, поштових доменів, виданих токенів API) вимогам власних внутрішніх політик безпеки.
12. Аудит та підтвердження відповідності	Проводить щорічні внутрішні аудити СУІБ та проходить незалежні зовнішні сертифікаційні й наглядові аудити на відповідність стандартам ISO/IEC 27001, ISO/IEC 27017 та ISO/IEC 27018, публікуючи офіційні сертифікати відповідності.	Має право ознайомлюватися з публічними сертифікатами відповідності «Вчасно» та проводити власний внутрішній аудит дій своїх співробітників у сервісах «Вчасно» на основі вивантажених журналів подій безпеки.
13. Захист інформації після припинення дії угоди	Забезпечує збереження документів відповідно до законодавчих строків, надає клієнту можливість масового вивантаження оригіналів документів разом із файлами КЕП протягом 30 днів після припинення договору, після чого видаляє дані з робочих систем і перезаписує у бекапах за 30 днів.	До моменту припинення договору або закриття облікового запису самостійно вивантажує необхідні електронні документи та архіви з підписами для локального зберігання, відкликає інтеграційні токени API та за потреби подає запит на видалення персональних даних.

Чи знайшли ви відповідь на своє запитання?