Tietoturvakuvaus

Tietoturvakuvaus Apprix Oy:n käyttämistä palvelimista ja palvelinkeskuksista

Yleistä

Apprix Oy:n käyt­tämät pal­ve­limet sijait­sevat Suo­messa, Hetzner Online GmbH:n pal­ve­lin­kes­kuk­sessa “Hetzner Data Center Park Helsinki”.

Hetzner on yksi Euroopan joh­ta­vista palvelukeskustoimijoista.

Palvelimet

Pal­ve­lin­keskus on ser­ti­fioitu ISO/IEC 27001 -stan­dardin mukaisesti 

Fyy­sinen suojaus:

• Korkean tur­va­tason palvelinympäristö, 
• Esim. video­val­vonta, elekt­ro­ninen kulun­val­vonta, jääh­dytys, säh­kön­syötön varavoimalähde.

Tie­to­verkon suojaus:

• Moni­ta­soi­sesti var­mis­tetut yhteydet

Pal­ve­linten suojaus:

• Pal­ve­lu­nes­to­hyök­käysten (DDoS) esto
• Palo­muuri 
  • Vain tar­kasti valitut portit avoimena 
  • IP-rajoi­tukset käytössä
• Haa­voit­tu­vuuksien tunnistaminen
• Tun­keu­tu­misen esto
• Virus­tor­junta
• Tie­to­kan­ta­tun­keu­tu­misen (mm. SQL injection) esto

Pal­ve­linten ohjelmistopäivitykset:

• Auto­maat­tiset päivitykset, 
• Ser­verit ser­ti­fioituja “Common Cri­teria EAL2” -tie­to­tur­vas­tan­dardin mukaisesti
• Pro­sessi pal­ve­linten sään­nöl­liseen päivittämiseen

Pal­ve­linten hallinta:

• Kes­ki­tetty pal­ve­linten hallinta
• Pääsy pal­ve­linten yllä­pitoon ainoastaan VPN-yhteyden kautta.
• Suo­jatut SSH/TSL -yhteydet pal­ve­li­mille nimet­tyjen Apprix-yllä­pi­täjien käytössä
• Sään­nöl­liset Heartbeat-tyy­liset pal­ve­linten toi­mi­vuuden tarkistukset

Apprix Oy:n toteuttamat ohjelmistot

Pal­ve­lujen tie­don­siirron suojaus

• Kaikki web-käyt­tö­liit­tymän kautta kulkeva lii­kenne salattu (https, SHA-256).
• Salaus käy­tössä myös kai­kessa muussa pal­ve­li­mille tapah­tu­vassa tiedonsiirrossa.

Tie­tojen var­mistus ja palautus

• Kaikki ohjel­ma­koodi tal­len­netaan ver­sion­hal­lintaan, josta se on palau­tet­ta­vissa uusimpaan tai aikai­sempaan versioon.
• Tie­to­kanta- ja sovel­lus­pal­ve­li­mesta otetaan auto­maat­tinen var­muus­kopio kerran vuorokaudessa 
  • Säi­ly­tetään 7 vuo­ro­kautta taaksepäin. 
  • Lisäksi säi­ly­tetään yksi kuu­kausit­tainen var­muus­kopio taaksepäin. 
• Pal­ve­linten levyistä IAAS:n toi­mesta synk­ro­noidut kopiot, joista mah­dol­lista käyn­nistää nopeasti uusi ident­tinen pal­velin esim. lai­te­rikon tapauksessa.
• Hel­posti toteuttava manu­aa­linen var­muus­ko­piointi eri­kois­ti­lan­teita varten.
• Tie­tojen palaut­ta­mista tes­tataan sään­nöl­li­sesti kerran kvartaalissa.

Pal­velun siirrettävyys

• Palvelu voidaan sovit­taessa asentaa yhteen­so­pi­valle pal­ve­li­melle (tie­to­kannat ja ohjelmisto) 

Pal­velun tie­tojen sijainti ml. hen­ki­lö­tiedot ja siirron rajoitukset

• Palvelu ja sen tiedot ml. hen­ki­lö­tiedot var­mis­tuk­sineen sijait­sevat Suo­messa Hetzner Ag:n tietokonesalissa.
• GDPR-direk­tiivi on huomioitu. 
  • Tietoja ei siirretä EU-alueen ulko­puo­lelle missään pal­velun tie­tojen käsittely-, ylläpito- tai siirtovaiheessa.

Tie­tojen poisto

• Jär­jes­telmän sisäl­tämät tiedot pois­tetaan pal­velun käytön päät­tyessä jär­jes­telmän pal­ve­li­melta ja varmuuskopiopalvelimilta.

Pal­ve­lujen turvallisuusauditointi

• Pal­velun tie­to­turva audi­toidaan ulkoisen ammat­ti­lais­tahon toimesta.

Palvelujen ylläpitäjät, käyttäjät, roolit ja vastuut

• Pal­ve­lujen pää­yl­lä­pitäjä on Apprix Oy:n kysei­sestä pal­ve­lusta vas­taava henkilö. 
  • Pää­yl­lä­pi­tä­jällä on pääsy- ja hal­lin­ta­oikeus kaikkiin pal­velun osioihin ja tietoihin.
• Asiakkaan yllä­pi­tä­jillä on pääsy ja hal­lin­ta­oikeus kaikkiin heille luodun pal­velun osioihin ja tietoihin.
• Yllä­pi­täjät voivat myöntää itse jär­jes­telmään rajoi­tettuja, roo­leihin perus­tuvia käyt­tö­oi­keuksia jär­jes­telmän omilla käyt­tö­val­tuuksien hallintatoiminnoilla. 
  • Kaikki tun­nukset tehdään hen­ki­lö­koh­tai­sesti, yhteis­käyt­tö­tun­nuksia ei käytetä
• Kai­kissa jär­jes­tel­missä on käyt­tä­jä­tun­nuksiin ja sala­sa­noihin perustuva pääsynhallinta

Tietoturvaan liittyvät sopimukset

Salas­sapito (NDA)

• Apprix Oy:n ja asiakkaan välille sol­mitaan molem­min­puo­linen tie­tojen salassapitovelvollisuus
• Jokai­sella Apprixilla asia­kas­tietoja käsit­te­levän hen­kilön kanssa (omat työn­te­kijät ja ali­hank­kijat) on tehty hen­ki­lö­koh­tainen NDA-sopimus.

Hen­ki­lö­tie­tojen käsit­te­ly­so­pimus (DPA)

• Hen­ki­lö­tie­tojen osalta huo­mioidaan  Euroopan tie­to­suo­ja­di­rek­tiivi (GDPR, EU General Data Pro­tection Regulation).
• Apprix Oy:n ja Hetzner Online GmbH:n välillä on sol­mittu DPA-sopimus.
• Hen­ki­lö­tietoja käsi­tel­täessä asiak­kaiden kanssa sol­mitaan eril­liset DPA-sopimukset.

Pal­ve­lu­ta­so­so­pimus (SLA)

• Apprix Oy:n ja käyt­tä­jä­or­ga­ni­saation välille teh­dyssä pal­ve­lu­ta­so­so­pi­muk­sessa sovitaan tuki­pal­ve­lusta (mm. vas­teajat eri­lai­sissa poik­keus­ti­lan­teissa) ja mää­ri­tetään SLA-tavoitetasot.

Tuetut päätelaitteet

Apprixin jär­jes­telmät ovat käy­tet­tä­vissä moder­neilla www-selai­milla. Pal­velut tukevat seu­raavia selaimia ja versioita: