Политика ИБ

Политика информационной безопасности

Правила защиты платформы ГРАД: доступ, аутентификация, журналирование, хостинг и реагирование на инциденты.

Обновлено: 29.08.2026 ООО «ГЕТЕРИЯ»

1. Область применения

Политика обязательна для сотрудников, подрядчиков и администраторов, имеющих доступ к продуктивному контуру ГРАД. Она дополняет политику конфиденциальности и паспорт программного продукта.

2. Управление доступом

Ролевая модель: пользователь, сотрудник CRM, администратор с матрицей разделов, суперадмин.
Админка и CRM недоступны без авторизации; права проверяются на каждый POST.
Белый список IP для staff: пустой список — переходный режим; после своего хостинга доступ только с указанных адресов/CIDR.
Сессия администратора и CRM привязана к IP; смена адреса завершает сессию.
Таймаут неактивности staff задаётся в настройках безопасности.

3. Аутентификация и пароли

Двухфакторная аутентификация

Администраторы, владельцы и сотрудники CRM подтверждают вход одноразовым кодом на email. Пользователи могут включить 2FA в профиле.

Пароли

Хранение только в виде password_hash. Устаревшие открытые записи перехешируются при успешном входе. Политика сложности и лимит попыток входа включены.

Cookies сессии: httponly, SameSite=Lax, Secure на HTTPS, имя SECURE_SESSION, use_strict_mode.
CSRF-токены на формах и JSON API.
Коды 2FA живут 10 минут, хранятся как SHA-256, не более 5 попыток.

4. Защита данных и журналы

Транспорт: TLS. Заголовки: HSTS, CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy.
Загрузка файлов фильтруется; исходники, .env, дампы и служебные каталоги закрыты на веб-сервере.
Исходящие URL проверяются анти-SSRF.
События безопасности пишутся в security_audit_log (вход, 2FA, блокировки по IP, таймаут).
Действия администраторов фиксируются в журнале админки.

5. Хостинг и сеть

Производственный контур на выделенном/собственном хостинге с ограничением доступа по IP для администраторов.

Наружу — только 80/443; СУБД, Redis и панели не публикуются.
После переезда на свой сервер заполните белый список IP в админке и включите привязку сессии для пользователей при необходимости.
Резервные копии и секреты (ключи ЮKassa, SMTP) хранятся вне публичного каталога.

6. Инциденты

При подозрении на компрометацию: отозвать сессии (смена пароля), проверить журнал security_audit_log, при необходимости ужесточить whitelist IP и уведомить субъектов ПДн в сроки 152-ФЗ.

Контакт оператора: support@gradstroyinvest.ru.

Паспорт продукта Конфиденциальность