📌 Чому хмарному сервісу варто більше довіряти?
Існує три найголовніші проблеми зберігання інформації на локальному диску, яким може бути ваш особистий комп’ютер або робочий комп’ютер співробітника.
🔻 По-перше, будь-які жорсткі диски мають властивість ламатися і виходити з ладу, що зовсім від вас не залежить. Таким чином, є велика ймовірність втрати даних без можливості їх відновлення.
🔻 По-друге, до будь-якої інформації, що зберігається на жорсткому диску, можна отримати доступ фізичним шляхом. Це може бути співробітник, який вставив флешку і витягнув дані, або люди, які проникли в офіс вночі. Також є ймовірність, що до вашого комп’ютера підключиться хтось по локальній мережі і витягне інформацію. Таким чином, принадність хмарного сервісу в тому, що до нього немає фізичного доступу.
🔻 По-третє, якщо інформація, яка зберігається тільки на одному носії, буде видалена, то повернути ви її ніяк не зможете. Хмарний сервіс має чудову властивість зберігати інформацію одночасно в декількох місцях. Відповідно, видалити інформацію випадково не так уже й просто, а також її завжди можна відновити.
Крім того, доступ до хмарних сховищ завжди набагато складніше, ніж до офлайн. Є етапи авторизації, що забезпечують конфіденційність. Також існують спеціальні маркери (токени), які генеруються під пару логін-пароль і змінюються. Відповідно користувачі, які входили раніше, не мають можливості повторно потрапити в систему без чинних облікових даних.
📌 Де фізично знаходяться дані?
Фізичні дані Finmap знаходяться на декількох серверах у Європі (технічно ближче до України та країн Євросоюзу — для швидшого з’єднання). Ці сервери належать одним із найбільших і найнадійніших провайдерів хмарних сховищ у світі. З міркувань безпеки ми не публікуємо їх назви. Розміщення на різних сервісах забезпечує безперебійну та швидку роботу навіть у разі збою в одному з дата-центрів.
📌 Які методи захисту використовує Finmap?
Ми використовуємо територіально розподілену систему з базуванням у декількох дата-центрах. Кожен із них має сертифікацію ISO 27001, що підтверджується дотриманням жорстких правил інформаційної безпеки, проведенням регулярних аудитів та безперервним вдосконаленням процесів. Для передачі інформації між дата-центрами використовуються зашифровані канали зв’язку. Будь-яка інформація передається через TLS/SSL — криптографічні протоколи безпечного з’єднання.
Дані кожної компанії зберігаються лише в дата-центрі та доступні тільки користувачу Finmap, який їх вніс. Більшість серверів розміщено в межах DMZ — сегменті мережі з загальнодоступними сервісами, що відокремлений від приватних систем. Це означає, що немає прямого доступу з Інтернету до критичних ресурсів — вони доступні лише через контрольовані шлюзи оператора дата-центру, де розміщений web-портал Finmap. Між користувачем і сервером застосовується TLS/SSL з асиметричним шифруванням для аутентифікації, симетричним шифруванням для конфіденційності та кодами автентичності повідомлень для збереження цілісності.
📌 Зберігання паролів.
Усі введені користувачами паролі зберігаються лише у вигляді хешів. Ми застосовуємо стійкі алгоритми хешування з «сіллю» (наприклад, Argon2/bcrypt). Це означає, що навіть у разі компрометації хешу зловмисник не зможе відновити початковий пароль; хеши використовуються виключно для перевірки валідності під час входу.
📌 Захист відкритого API та rate-limiting.
Відкрите API для кінцевих користувачів захищене на всіх етапах обробки запитів: аутентифікація/авторизація токенами, перевірка вхідних даних, rate-ліміти і анти-brute-force. Це обмежує активність потенційного зловмисника і унеможливлює підбір облікових даних чи масове вгадування паролів.
📌 Шифрування з’єднань із повним ланцюжком сертифікатів.
Для всіх з’єднань використовується TLS/SSL із встановленням повного ланцюжка сертифікатів (основний + проміжні), що забезпечує коректну перевірку довіри в усіх сучасних браузерах і клієнтах.
📌 Які рівні доступу серед розробників?
Усі розробники працюють з тестовою базою з вигаданими даними. У них немає доступу до реальних даних. Ніхто не працює з продакшен-базою безпосередньо: бекенд-розробник не може з нею нічого зробити поза контрольованими інтерфейсами. Доступ до бази можливий лише з фіксованого набору IP-адрес (бекенд). Підключення «ззовні» до бази в принципі неможливе. Фронтенд і бекенд розміщені окремо; застосовано ключі та мережеві політики, які приховують адреси доступу до бази й обмежують прийнятні джерела запитів.
📌 Які дані необхідно вносити до Finmap в обов’язковому порядку?
Finmap не вимагає внесення офіційних даних (повна назва компанії, код ЄДРПОУ, склад засновників, офіційні email-адреси, назви контрагентів, інвесторів, кредиторів, клієнтів, співробітників тощо). Ви вводите ті назви, які вважаєте необхідними. Потрібно вносити фінансові дані для їх обліку, але назви контрагентів та компаній можуть бути довільними. У сервісі немає баз персональних даних ваших клієнтів і підрядників — наприклад, може бути «дизайнер Аліна» без ідентифікуючих даних. Команда Finmap робить усе можливе для збереження цілісності, безпеки та конфіденційності ваших даних і постійно покращує захист.
📌 Результати останнього регулярного аудиту безпеки.
Аудит безпеки було проведено компанією Sigma Software. Система успішно пройшла перевірку й отримала оцінку рівня захисту: «Середній». Це означає, що базові методи та практики безпеки впроваджені та працюють належним чином, однак існують сфери, де варто посилити захист для зниження потенційних ризиків у майбутньому.
За підсумками аудиту виявлено:
🔻 0 критичних вразливостей — відсутні проблеми, які дозволили б легко скомпрометувати систему.
🔻 0 важких вразливостей — не виявлено помилок, що потребують негайного виправлення.
🔻 6 середніх вразливостей — це сигнал для команди, що деякі аспекти безпеки варто оптимізувати. Вони не створюють критичних ризиків зараз, але можуть вплинути в перспективі, якщо не будуть усунені.
🔻 10 низьких вразливостей — це дрібні зауваження, що не мають суттєвого впливу на безпеку, але їх виправлення допоможе підвищити загальний рівень захисту та якість процесів.
Система підтвердила відповідність ключовим методам і практикам інформаційної безпеки. Водночас результати аудиту вказують на зони для вдосконалення, і робота над цим уже триває. З перерахованих вразливостей усунено 2 середні (33%) та 5 низьких (50%), решта перебувають у процесі виправлення.
Finmap — це сервіс, якому можна довіряти. Finmap зберігає дані в сертифікованих дата-центрах у Європі, застосовує сучасні методи шифрування та багаторівневий контроль доступу. Регулярні аудити, зокрема останній від Sigma Software, підтверджують відсутність критичних вразливостей і демонструють, що ми постійно вдосконалюємо захист щоб ваш бізнес-потік залишався у безпеці 24/7.