Безпека акаунту = безпека даних

У статті описано, де зберігаються дані Finmap, як вони захищені під час передачі та зберігання, хто має до них доступ і які результати показав аудит безпеки.

Розміщення даних

Дані зберігаються на серверах у кількох дата-центрах на території ЄС. Розподілене розміщення забезпечує роботу сервісу у разі збою одного з дата-центрів. Назви провайдерів не публікуються з міркувань безпеки.

Дата-центри сертифіковані за стандартом ISO 27001 — система управління інформаційною безпекою з регулярними зовнішніми аудитами. [уточнити]

Мережева архітектура

• У демілітаризованій зоні (DMZ) розміщені лише публічні сервіси: вебзастосунок і API.
• База даних знаходиться в приватному сегменті мережі й не має прямого доступу з інтернету.
• Підключення до бази дозволене тільки з фіксованого переліку IP-адрес бекенду.
• Фронтенд і бекенд розгорнуті окремо; доступ між ними обмежено ключами та мережевими політиками.

Шифрування

• Усі з’єднання між клієнтом і сервером, а також між дата-центрами, захищені протоколом TLS [версія — уточнити].
• Сервер передає повний ланцюжок сертифікатів (основний і проміжні), тому довіра коректно перевіряється в усіх сучасних браузерах і мобільних застосунках.
• Дані в базі та резервних копіях зашифровані [уточнити: алгоритм, напр. AES-256].

Авторизація і паролі

• Паролі зберігаються лише у вигляді хешів із сіллю (алгоритм [Argon2 / bcrypt — уточнити]). Відновити пароль із хешу неможливо; хеш використовується тільки для перевірки під час входу.
• Після входу видається токен сесії з обмеженим терміном дії [уточнити термін].
• Кількість спроб входу обмежена, що блокує підбір пароля (brute-force).

У розділі Налаштування → Безпека користувач може додатково:

• увімкнути двофакторну аутентифікацію (2FA) — код на email, Google Authenticator або обидва способи одночасно;
• переглядати активні сесії (пристрій, місцезнаходження, час останньої активності) і завершувати окремі сесії або всі, окрім поточної;
• увімкнути підтвердження видалення рахунку — без коду, надісланого на email власника компанії, рахунок не буде видалено.

Доступ до даних компанії

• Дані кожної компанії ізольовані від інших компаній.
• Доступ до компанії мають лише користувачі, яких запросив власник, і лише в межах наданих прав.
• Розробники працюють з тестовою базою з вигаданими даними й не мають доступу до бойової бази. Зміни в бойовій базі можливі лише через контрольовані інтерфейси бекенду.

Захист API

• Кожен запит до відкритого API проходить автентифікацію за API-ключем і перевірку вхідних даних.
• Ліміти на компанію для всіх ендпоінтів: 10 запитів за 5 секунд, 120 за хвилину, 10 000 на добу. При перевищенні сервер повертає код 429 із заголовком Retry-After.

Які дані обов’язково вносити

Finmap не вимагає офіційних даних: повної назви компанії, коду ЄДРПОУ, складу засновників, email-адрес, реквізитів контрагентів чи співробітників. Для обліку потрібні лише фінансові операції; назви компаній і контрагентів можуть бути довільними (наприклад, «Дизайнер Аліна»). Сервіс не веде баз персональних даних ваших клієнтів і підрядників.

Аудит безпеки

Незалежний аудит безпеки провела компанія Sigma Software. Загальна оцінка рівня захисту — «Середній»: базові механізми безпеки впроваджені й працюють, виявлені зауваження стосуються оптимізації.

Рівень вразливості	Виявлено	Усунено
Критичні	0	—
Високі	0	—
Середні	6	2
Низькі	10	5

Рекомендації для користувачів

Захист даних залежить також від налаштувань акаунта. Щоб мінімізувати ризики:

• увімкніть двофакторну аутентифікацію;
• використовуйте унікальний пароль, який не застосовується в інших сервісах;
• періодично перевіряйте активні сесії та завершуйте ті, що не впізнаєте;
• надавайте користувачам компанії лише ті права доступу, які потрібні для їхньої роботи;
• не передавайте API-ключ третім особам і замініть його, якщо є підозра на витік.

Якщо ви помітили підозрілу активність в акаунті або маєте питання щодо безпеки даних, напишіть у чат підтримки — ми допоможемо перевірити ситуацію.