Безопасность Kom-Eye
Здесь мы рассказываем, как защищаем твои данные. Без маркетинга — конкретные технические меры, ссылки на политики и процедуры, контакты исследователей.
Что мы делаем для защиты
Шифрование данных
Все файлы заявок и чувствительные поля БД зашифрованы AES-GCM 256 (HKDF subkey separation). Ключи хранятся вне репозитория, ротация — раз в год через `rotate-storage-key.sh`.
2FA для всех ролей
Пароль + TOTP (RFC 6238). Backup-коды захешированы bcrypt. Обязательно для admin/Director/Prosecutor; рекомендуется для остальных — 7 дней grace-period после регистрации.
Анонимизация заявок
Анонимная подача — без email/телефона, только хеш для верификации. Удаление аккаунта стирает PII в течение 30 дней (см. ст. 18 ЗРК).
Ответственное раскрытие
Нашли уязвимость — расскажите. Safe-harbour, SLA по времени реагирования, Hall of Fame. Подробнее в политике раскрытия.
Резервное копирование
Ежедневный age-encrypted backup, retention 14 дней, еженедельный restore-drill в воскресенье. Off-site репликация на отдельный VPS.
Журнал аудита (append-only)
Все security-события (login, 2FA, экспорт данных, admin-действия) пишутся в hash-chain audit log с retention 3 года. Целостность проверяется через `verify-audit-chain.sh`.
Политика ответственного раскрытия
Если вы исследователь безопасности — прочитайте политику scope/safe-harbour и SLA, прежде чем сообщать об уязвимости.
Открыть политику →Контакты безопасности
Compliance и сертификаты
Платформа классифицирована как ИСПД K2 по Постановлению Правительства РК №916. ISMS-политики (ISO 27001-aligned) и Паспорт ИСПД доступны по запросу аудитору. Внешние сертификаты — на стадии подготовки.