بيان الأمان

يصف بيان الأمان هذا التدابير التقنية والتنظيمية التي تطبقها Kapsule Group Limited (KapsuleHost) لحماية البيانات المستضافة على منصتنا. يتم الرجوع إليه بموجب اتفاقية معالجة البيانات ويتم تحديثه من وقت لآخر ليعكس التحسينات على موقفنا الأمني.

مبدأنا الأساسي هو الدفاع المتعمق: نقوم بتطبيق طبقات متعددة من الضوابط المستقلة بحيث لا يؤدي أي فشل واحد إلى الكشف عن بيانات العملاء.

نحافظ على سياسات موثقة لأمن المعلومات والخصوصية، يتم مراجعتها سنويًا على الأقل وتحديثها عند حدوث تغييرات جوهرية على المنصة أو المشهد التهديدي.

يتولى مسؤول الخصوصية المعين المسؤولية عن الامتثال لحماية البيانات. يتم إسناد مسؤوليات الأمن إلى أفراد محددين في فريق البنية التحتية.

يتلقى جميع الموظفين تدريبًا على الخصوصية والأمن عند الانضمام وسنويًا بعد ذلك. يخضع الموظفون الذين لديهم حق الوصول إلى أنظمة الإنتاج لفحوصات الخلفية حيثما سمحت به القانون.

يتم تسجيل حوادث الأمن والحالات التي يكاد تحدث، وتراجعها، واستخدامها لتحسين الضوابط على أساس مستمر.

يخضع الوصول إلى الأنظمة الإنتاجية وبيانات العملاء لضوابط وصول صارمة قائمة على الأدوار، مبنية على مبادئ الحد الأدنى من الامتيازات: يُمنح الموظفون فقط الوصول الذي يحتاجونه لأداء دورهم المحدد.

يتم فرض المصادقة الثنائية الإلزامية (2FA) لجميع الموظفين الذين لديهم وصول إلى البنية الأساسية الإنتاجية، وجهة التحكم بالاستضافة، وكود المصدر، وأجهزة التحكم في موفر الخدمات السحابية.

يتم مراجعة حقوق الوصول بشكل دوري وإلغاؤها على الفور عند تغيير الدور أو المغادرة. يتم تسجيل أحداث الوصول وتصعيدات الامتيازات.

يتم فصل البيئات الإنتاجية وغير الإنتاجية بصرامة. يتم عزل بيئات العملاء منطقياً عن بعضها البعض داخل منصة الاستضافة.

جميع الوصول الإداري إلى خوادم الإنتاج يتم المصادقة عليه عبر أزواج مفاتيح SSH؛ تم تعطيل المصادقة القائمة على كلمة المرور في SSH.

يتم تشفير جميع البيانات أثناء النقل بين العملاء ومنصتنا باستخدام TLS 1.2 أو إصدار أحدث. يتم إصدار شهادات TLS تلقائياً وتجديدها قبل انتهاء صلاحيتها.

يتم تشفير النسخ الاحتياطية خارج الموقع باستخدام restic مع AES-256. يتم تخزين مفاتيح التشفير بشكل منفصل عن بيانات النسخة الاحتياطية والاحتفاظ بها في نسخ احتياطية دون اتصال. فقدان المفتاح يجعل بيانات النسخة الاحتياطية غير قابلة للاسترجاع، وهذا هو السبب في الاحتفاظ بالمفاتيح في عدة مواقع آمنة دون اتصال.

يتم تخزين النسخ الاحتياطية المشفرة لدى مزوّد تخزين كائنات مستقل بمنطقة أوقيانوسيا، مما يوفر فصلاً جغرافياً عن بنيتنا الأساسية للاستضافة.

يتم تخزين أسرار التطبيق ومفاتيح API وبيانات الاعتماد في ملفات ذات أذونات مقيدة على الخوادم التي تستخدمها، ولا يمكن الوصول إليها إلا من قبل حساب الخدمة الذي يحتاجها، ولا تُدرج أبداً في كود المصدر أو تُحفظ في نظام التحكم بالإصدارات. تتم حماية أسرار البنية التحتية والنسخ الاحتياطي بشكل إضافي باستخدام SOPS مع تشفير age.

تُحمى كل واجهة إنتاجية، بما فيها موقعنا التسويقي، ولوحة تحكم العملاء، وواجهة برمجة التطبيقات API الخاصة بنا، ومواقع العملاء المستضافة، بواسطة جدار حماية تطبيقات الويب (ModSecurity مع OWASP Core Rule Set) الذي يعمل على بنيتنا التحتية الخاصة. ويحظى موقعنا التسويقي بحماية إضافية من جدار حماية تطبيقات ويب عند حافة شبكة CDN الخاصة بنا، يعمل في وضع الحظر. وتشمل الحماية على مستوى الحافة مواقع العملاء المستضافة التي تُقدَّم عبر شبكة CDN الخاصة بنا. ولا تمتد هذه الحماية إلى لوحة تحكم العملاء أو واجهة برمجة التطبيقات API الخاصة بنا.

مواقع العملاء معزولة عن بعضها البعض وعن خدمات المنصة المشتركة على مستوى الشبكة، وليس فقط عبر حسابات وعمليات نظام ملفات منفصلة. تحظر قواعد جدار حماية على مستوى النواة (nftables)، المرتبطة بحساب النظام الخاص بكل عملية وليس بمنطق التطبيق، أي عملية غير إدارية، بما في ذلك كود التطبيق الخاص بكل موقع عميل، من الوصول إلى منفذ قاعدة البيانات المشتركة أو منفذ خادم التطبيق الخاص بأي موقع آخر. تم التحقق من ذلك عبر تنفيذ محاولات اتصال فعلية من داخل سياق التنفيذ الحي لموقع فعلي، في كلا الاتجاهين: محظورة لعملية موقع عادية، ومسموح بها للإدارة النظامية. تحظر الآلية نفسها أيضًا الوصول غير الإداري إلى نقاط نهاية خدمة البنية التحتية السحابية الداخلية التي لا ينبغي لعملية الموقع الوصول إليها أبدًا. ولا تمتد بعد إلى كل خدمة مشتركة: خدمة التخزين المؤقت المشتركة الخاصة بالمنصة محمية ببيانات اعتماد خاصة بكل موقع ومقصورة على بيانات ذلك الموقع، لكنها غير محظورة بعد إضافيًا على مستوى الشبكة بالطريقة التي يُحظر بها منفذا قاعدة البيانات وخادم التطبيق؛ وتوسيع نفس حماية جدار الحماية لتشملها هو تحسين مخطط له في برنامج الأمان لدينا.

يتم تصحيح أنظمة التشغيل والبرامج الأساسية والمكتبات على أساس دوري منتظم. يتم تطبيق تحديثات الأمان تلقائيًا عبر unattended-upgrades، عادةً في غضون يوم واحد من الإصدار. بالنسبة للتصحيحات الأمنية الحرجة، بما في ذلك تلك التي تتطلب تدخلاً يدويًا مثل إعادة التشغيل، أو التي لم تصبح بعد متاحة عبر التحديثات التلقائية، فإن السقف الزمني الذي نلتزم به هو 7 أيام من تاريخ الإصدار. تتم مسح البنية التحتية الموجهة للإنترنت عن الثغرات الأمنية المعروفة على أساس منتظم.

تقيد قواعد جدار الحماية الوصول الداخل إلى الحد الأدنى من المنافذ والخدمات الضرورية. يتم تعطيل الخدمات غير الضرورية بشكل افتراضي.

يتم إجراء اختبارات الاختراق الدورية من قبل محاختبرين مستقلين ومؤهلين. يتم معالجة النتائج المهمة وإعادة اختبارها.

يتم تسجيل محاولات المصادقة والتغييرات على الحساب والإعدادات والإجراءات التي يتخذها موظفونا على حسابات العملاء في سجل تدقيق مركزي في قاعدة بيانات لا يمكن تعديله، ويتم الاحتفاظ به لمدة لا تقل عن 90 يوماً. أما سجلات البنية التحتية والنظام (سجلات خادم الويب وجدار الحماية ونظام التشغيل) فيتم الاحتفاظ بها محلياً على كل خادم إنتاج، ولا يمكن الوصول إليها إلا للموظفين المخولين، كما تُرسل كل ساعة إلى مخزن مستقل خارج الموقع بنظام الكتابة لمرة واحدة، مع قفل احتفاظ مدته 90 يوماً: فبمجرد كتابة أرشيف السجل، لا يمكن لأي جهة، بما في ذلك نحن، حذفه أو الكتابة فوقه خلال تلك المدة، بحيث لا يستطيع خادم مخترق محو أي دليل على ما جرى عليه.

يتم مراقبة صحة المنصة والإشارات الأمنية على مدار الساعة طوال أيام الأسبوع. يتم توجيه التنبيهات إلى موظفي الخدمة في الدوام لإجراء التحقيق الفوري.

نحافظ على خطة موثقة للاستجابة للحوادث تتضمن مستويات خطورة محددة ومسارات تصعيد وإجراءات اتصال. يتم مراجعة الخطة واختبارها مرة واحدة على الأقل سنوياً.

في حالة حدوث خرق إخطار للخصوصية مؤكد يؤثر على معلومات العميل الشخصية، سنخطر العملاء المتأثرين في غضون 72 ساعة من الوعي به، كما هو مطلوب بموجب Privacy Act 2020 واتفاقية معالجة البيانات.

يتم استخدام Sentry لتتبع الأخطاء في الوقت الفعلي ومراقبة أداء التطبيقات عبر كامل مكدس المنصة.

يتم عمل نسخة احتياطية يومية لملفات الموقع الخاص بالعميل وقواعد البيانات وبيانات البريد الإلكتروني إلى تخزين كائنات خارجي (منطقة أوقيانوسيا) باستخدام restic. تكون النسخ الاحتياطية مشفرة أثناء الراحة باستخدام AES-256.

الحد الأدنى لاحتفاظ النسخة الاحتياطية هو 30 يوماً على جميع الخطط المدفوعة. تحتفظ الخطط الأعلى بالنسخ الاحتياطية لفترة أطول: 90 يوماً، أو سنة واحدة، أو 7 سنوات، حسب الفئة المشتراة. راجع اتفاقية مستوى الخدمة للحصول على تفاصيل الاحتفاظ الخاصة بكل خطة.

تم توثيق إجراءات الاستعادة في كتيبات التشغيل الداخلية لدينا واختبارها بشكل دوري. يجري فريق المنصة تدريبات استعادة للتحقق من سلامة النسخة الاحتياطية.

يتم عمل نسخة احتياطية يومية لقاعدة رمز منصة KapsuleHost (بما في ذلك البرامج النصية للتكوين والإنشاء) في مستودعات GitHub خاصة بمؤسسة kapsulenz، مما يوفر مسار استعادة مستقل للمنصة نفسها.

تم توثيق إجراءات استعادة الكوارث لكل مكون من مكونات البنية التحتية بوقت استعادة مستهدف خاص بذلك المكون: حتى 8 ساعات لخادم الاستضافة، حسب حجم بيانات العميل المطلوب استعادتها؛ من 2 إلى 4 ساعات لمنصة البريد؛ و4 ساعات لبوابة العميل.

جميع الموظفين الذين لديهم حق الوصول إلى بيانات العملاء ملزمون بالتزامات السرية، إما بموجب العقد أو بموجب القانون.

نحتفظ باتفاقيات معالجة بيانات مكتوبة مع جميع المعالجين الفرعيين. تتطلب هذه الاتفاقيات من المعالجين الفرعيين تطبيق حماية لا تقل حماية عن تلك الواردة في اتفاقية معالجة البيانات الخاصة بنا، بما في ذلك التزامات السرية والأمان ومعالجة الأغراض المحدودة.

يتم مراجعة قائمة المعالجين الفرعيين لدينا مرة واحدة على الأقل سنويًا لتقييم ملاءمتها المستمرة. يتم تقييم المعالجين الفرعيين مقابل متطلبات الأمان الدنيا لدينا قبل التعاقد معهم.

يتم نشر القائمة الحالية للمعالجين الفرعيين على kapsulehost.com/legal/sub-processors.

تُشغَّل خوادم الإنتاج في مراكز بيانات تابعة لأطراف ثالثة. نحن لا نملك ولا نُشغّل مركز بيانات، وبالتالي فإن الأمن المادي والضوابط البيئية وتكرار مصادر الطاقة وأنظمة إخماد الحرائق هي من مسؤولية مُشغّل المرفق، كما أن اتفاقياتنا مع المعالجين الفرعيين للبنية التحتية تشترط حمايات لا تقل عن تلك المنصوص عليها في اتفاقية معالجة البيانات الخاصة بنا. نحن لا ننشر الدولة التي توجد فيها خوادم الإنتاج الفردية: فسعتنا تتحرك مع إضافتنا لمناطق جديدة، والموقع الذي يُنشر مرة واحدة يصبح خاطئاً في اليوم الذي يتغير فيه دون أن يقوم أحد بتحديثه. المعالجون الفرعيون الذين نتعامل معهم مدرجون في kapsulehost.com/legal/sub-processors.

الوصول المادي إلى أجهزة الخادم مقصور على موظفي مركز البيانات المصرح لهم. لا يتمتع موظفو KapsuleHost بوصول مادي روتيني إلى أجهزة الإنتاج؛ يتم تنفيذ جميع الوصول الإداري عن بُعد عبر قنوات مشفرة.

يتم مسح وسائط التخزين المستبعدة بشكل آمن أو تدميرها وفقاً لإجراءات مشغّل مركز البيانات قبل إعادة الاستخدام أو التخلص منها.

يتم تخزين أسرار التطبيق ومفاتيح API وقيم التكوين الحساسة في ملفات ذات أذونات مقيدة على الخوادم التي تستخدمها، ولا تُحفظ أبداً في مستودعات كود المصدر. تُدار أسرار البنية التحتية والنسخ الاحتياطي بشكل منفصل باستخدام SOPS مع تشفير age.

يتضمن الاختبار قبل الإصدار اختبارات وظيفية واختبارات الانحدار واختبارات موجهة نحو الأمان. التغييرات المتعلقة بتدفقات المصادقة أو الدفع أو معالجة البيانات تتلقى مراجعة إضافية.

يتم التحقق من صحة وتنظيف مدخلات المستخدم في جميع حدود التطبيق. نطبق الحماية القياسية ضد مخاطر OWASP Top 10 بما في ذلك حقن SQL والبرامج النصية عبر المواقع والطلبات المزيفة عبر المواقع.

مصادقة KPanel: كلمات المرور يتم تجزئتها باستخدام Argon2id (مقاومة للذاكرة، مقاومة للكسر بواسطة GPU). يتم فحص كلمات المرور الجديدة مقابل قاعدة بيانات Have I Been Pwned عبر البحث عن البادئة بحماية k-anonymity قبل القبول. تدعم المصادقة المصادقة الثنائية المستندة إلى TOTP وأكواد لمرة واحدة عبر الرسائل النصية القصيرة و مفاتيح الأجهزة (WebAuthn/FIDO2). يتم دعم OAuth للمصادقة عبر Google و GitHub و Apple Sign In و Discord. يتم التحقق من Google و Apple Sign In مقابل نقطة نهاية JWKS الخاصة بالمزود نفسه؛ GitHub و Discord لا ينشران نقطة نهاية JWKS لمصادقة OAuth، لذلك يتم التحقق من هاتين بدلاً من ذلك بالاتصال مباشرة بـ واجهة حساب المزود الخاصة به مع رمز الوصول الذي يصدره. يتم تحديد معدل محاولات المصادقة لكل عنوان IP، وتؤدي محاولات الفشل المتكررة ضد حساب واحد إلى الحظر لفترة من الوقت. رموز الجلسة عبارة عن أرقام عشوائية من الناحية التشفيرية وموقعة تشفيراً، وتنتهي صلاحيتها بعد 30 يوماً من عدم النشاط.

يتم عزل بيانات العميل بشكل منطقي على مستويات الاستضافة وقواعد البيانات والتطبيقات. يتم عزل ملفات كل عميل وقواعد بياناته بموجب حسابات نظام منفصلة، دون إمكانية الوصول بين العملاء.

يُعزل البريد الإلكتروني ويُحمى بضوابط خاصة به. كل صندوق بريد هو حساب مستقل، معزول بواسطة ضوابط الوصول في خادم البريد لدينا، ويسجّل الدخول ببيانات اعتماد خاصة به. لا تقبل خوادم البريد لدينا إلا TLS 1.2 وTLS 1.3: إذ يُرفض TLS 1.0 و1.1 على كل منفذ بريد، عبر IPv4 وIPv6 على حد سواء. لا نوفّر IMAP أو POP3 غير مشفّرين على الإطلاق، ولا تُعرض أي طريقة لتسجيل الدخول من أي نوع قبل تشفير الاتصال. ولا يوفّر منفذ البريد المخصّص للتبادل بين الخوادم أي تسجيل دخول على الإطلاق. تؤدي خمس محاولات فاشلة لتسجيل الدخول خلال خمس دقائق إلى حظر عنوان IP المتصل لمدة ساعة، كما يحظر خادم البريد بشكل مستقل عناوين IP التي تصدر عنها اتصالات مسيئة متكررة. تُخزَّن بيانات صناديق البريد على وحدات تخزين مشفّرة (AES-256-XTS)، كما أن النسخ الاحتياطية للبريد مشفّرة. يحصل كل نطاق نستضيف بريده على مفاتيح توقيع DKIM خاصة به، بخوارزميتي RSA وEd25519 معاً، إلى جانب سجل SPF. ينشر نطاقنا الخاص، kapsulehost.com، سياسة DMARC بقيمة reject وسياسة SPF تنتهي بـ -all، بحيث ترفض الخوادم المستقبِلة التي تتحقق من DMARC أي بريد ينتحل هذا النطاق. كما ينشر سياسة MTA-STS مُطبَّقة مع تقارير TLS، توجّه الخوادم المرسِلة إلى تسليم البريد إلينا عبر اتصال مشفّر بشهادة موثّقة فقط.

عند إنهاء العميل لخدماته، يتم إتاحة بيانات العميل الشخصية للتصدير لمدة 30 يوماً، ثم يتم حذفها بشكل دائم من الأنظمة المباشرة. يتم حذف نسخ النسخ الاحتياطية المشفرة في دورة التدوير المجدولة التالية، في غضون 30 يوم من حذفها من الأنظمة المباشرة.

تضمن إجراءات حذف البيانات الموثقة إزالة البيانات من جميع الأنظمة ذات الصلة، بما في ذلك قواعد البيانات المباشرة والذاكرة المؤقتة وتخزين التطبيقات، وليس فقط مستودع البيانات الأساسي.

يتم توثيق واختبار الإجراءات الخاصة بمعالجة طلبات صاحب البيانات (الوصول والتصحيح والحذف). تتيح أدوات تصدير KPanel للعملاء استرجاع بيانات حساباتهم في أي وقت خلال فترة الخدمة.

إذا كان لديك أسئلة حول ممارساتنا الأمنية، أو إذا كنت ترغب في الإبلاغ عن ثغرة أمنية مشبوهة، يرجى الاتصال بنا على privacy@kapsulehost.com.

Kapsule Group Limited، نيوزيلندا.