Содержание
Безопасность аккаунта = безопасность данных
📌 Почему облачному сервису стоит больше доверять?
В статье описано, где хранятся данные Finmap, как они защищены при передаче и хранении, кто имеет к ним доступ и какие результаты показал аудит безопасности.
Размещение данных
Данные хранятся на серверах в нескольких дата-центрах на территории ЕС. Распределённое размещение обеспечивает работу сервиса при сбое одного из дата-центров. Названия провайдеров не публикуются из соображений безопасности.
Дата-центры сертифицированы по стандарту ISO 27001 — система управления информационной безопасностью с регулярными внешними аудитами. [уточнить]
Сетевая архитектура
- В демилитаризованной зоне (DMZ) размещены только публичные сервисы: веб-приложение и API.
- База данных находится в приватном сегменте сети и не имеет прямого доступа из интернета.
- Подключение к базе разрешено только с фиксированного списка IP-адресов бэкенда.
- Фронтенд и бэкенд развёрнуты отдельно; доступ между ними ограничен ключами и сетевыми политиками.
Шифрование
- Все соединения между клиентом и сервером, а также между дата-центрами, защищены протоколом TLS [версия — уточнить].
- Сервер передаёт полную цепочку сертификатов (основной и промежуточные), поэтому доверие корректно проверяется во всех современных браузерах и мобильных приложениях.
- Данные в базе и резервных копиях зашифрованы [уточнить: алгоритм, напр. AES-256].
Авторизация и пароли
- Пароли хранятся только в виде хешей с солью (алгоритм [Argon2 / bcrypt — уточнить]). Восстановить пароль из хеша невозможно; хеш используется только для проверки при входе.
- После входа выдаётся токен сессии с ограниченным сроком действия [уточнить срок].
- Количество попыток входа ограничено, что блокирует подбор пароля (brute-force).
В разделе Настройки → Безопасность пользователь может дополнительно:
- включить двухфакторную аутентификацию (2FA) — код на email, Google Authenticator или оба способа одновременно;
- просматривать активные сессии (устройство, местоположение, время последней активности) и завершать отдельные сессии или все, кроме текущей;
- включить подтверждение удаления счёта — без кода, отправленного на email владельца компании, счёт не будет удалён.
Доступ к данным компании
- Данные каждой компании изолированы от других компаний.
- Доступ к компании есть только у пользователей, которых пригласил владелец, и только в пределах выданных прав.
- Разработчики работают с тестовой базой с вымышленными данными и не имеют доступа к рабочей базе. Изменения в рабочей базе возможны только через контролируемые интерфейсы бэкенда.
Защита API
- Каждый запрос к открытому API проходит аутентификацию по API-ключу и проверку входных данных.
- Лимиты на компанию для всех эндпоинтов: 10 запросов за 5 секунд, 120 в минуту, 10 000 в сутки. При превышении сервер возвращает код 429 с заголовком Retry-After.
Какие данные обязательно вносить
Finmap не требует официальных данных: полного названия компании, кода ЕГРПОУ, состава учредителей, email-адресов, реквизитов контрагентов или сотрудников. Для учёта нужны только финансовые операции; названия компаний и контрагентов могут быть произвольными (например, «Дизайнер Алина»). Сервис не ведёт баз персональных данных ваших клиентов и подрядчиков.
Аудит безопасности
Независимый аудит безопасности провела компания Sigma Software. Общая оценка уровня защиты — «Средний»: базовые механизмы безопасности внедрены и работают, выявленные замечания касаются оптимизации.
| Уровень уязвимости | Выявлено | Устранено |
|---|---|---|
| Критические | 0 | — |
| Высокие | 0 | — |
| Средние | 6 | 2 |
| Низкие | 10 | 5 |
Рекомендации для пользователей
Защита данных зависит также от настроек аккаунта. Чтобы минимизировать риски:
- включите двухфакторную аутентификацию;
- используйте уникальный пароль, который не применяется в других сервисах;
- периодически проверяйте активные сессии и завершайте те, которые не узнаёте;
- предоставляйте пользователям компании только те права доступа, которые нужны для их работы;
- не передавайте API-ключ третьим лицам и замените его, если есть подозрение на утечку.
Если вы заметили подозрительную активность в аккаунте или у вас есть вопросы о безопасности данных, напишите в чат поддержки — мы поможем проверить ситуацию.