אבטחת מידע

חברת פספורטכארד-לאבס, כחלק מקבוצת פספורטכארד, רואה חשיבות ומחוייבות רבה באבטחת הרציפות התפעולית של מערכות הארגון ובהגנה על נתוני לקוחותיה בסטנדרטים הגבוהים ביותר. החברה מספקת שירותי IT, ניהול תשתיות, ניהול משתמשים ופיתוח מערכות ואתרים לחברות בקבוצה.

פספורטכארד לאבס (להלן “פספורטכארד”) מוסמכת על פי תקנים בינלאומיים ושיטות עבודה מומלצות בתעשייה ISO 27001, ISO 27799

לצפייה בהסמכה שלנו

כיצד אנו מאבטחים את הנתונים שלכם

פיתוח מאובטח

פספורטכארד מקפידה על פיתוח מכוון אבטחה על פני מספר רב של שכבות, כולל שכבת האפליקציה. אפליקציית פספורטכארד מפותחת על פי עקרונות OWASP Top 10, כל הקוד עובר ביקורת קוד קפדנית (Code review) לפני העברה לייצור.

תהליך ה-CI/CD המבוקר שלנו כולל ניתוח קוד סטטי, הערכת פגיעות, בדיקות מקצה לקצה ובדיקות המתייחסות להיבטי הרשאה והיבטים אחרים. מפתחי פספורטכארד עוברים הדרכה לפיתוח מאובטח תקופתית כדי להתעדכן בשיטות העבודה המומלצות לפיתוח מאובטח.

אבטחת תשתית

מעגל אבטחה קריטי נוסף הנה תשתית הרשת הארגונית שלנו. אנו משתמשים במספר מנגנוני הגנה, בין השאר:

• חומות אש לאכיפת רשימת היתרים של IP וגישה דרך יציאות אך ורק למשאבי רשת מאושרים
• חומת אש של אפליקציות אינטרנט (WAF) לחסימת תקיפה דינמית מבוססת תוכן
• הפחתת DDoS (מתקפות מניעת שירות מבוזרות) והגבלת שיעור
• חיישני IDS/IPS לזיהוי נסינות תקיפה
• תצורת ניתוב מתקדמת
• רישום מקיף של תעבורת רשת, פנימית וחיצונית

הצפנת מידע

פספורטכארד מיישמת הצפנות מתקדמות, הן בתקשורת והן נתונים ב”מנוחה”:

• כל הממשקים הפנימיים והחיצוניים מוצפנים באמצעות TLS 1.3 עם חבילת צופן מתקדמת, התומכת ב-TLS 1.2 לפחות.
• נתוני המשתמשים מוצפנים במצב מנוחה בכל התשתית שלנו באמצעות AES-256 ומעלה.
• נתוני משתמשים מוצפנים באמצעות פונקציית hash מתקדמת.

סקרי סיכונים ומבדקי חדירה

הערכת סיכונים ע”י צד שלישי בלתי תלוי חיונית לקבלת הבנה מדויקת וחסרת פניות על מצב האבטחה. פספורטכארד מבצעת בדיקות חדירה שנתיות וסקרי סיכונים הן ברמת האפליקציה והן ברמת התשתית, המבוצעות על ידי מבקרים חיצנויים בלתי תלויים בעלי מומחיות ונסיון בתחום.

בנוסף, פספורטכארד עוברת ביקורת חיצונית כחלק מביקורת SOX, ביקורות 27001 ISO וביקורות חיצוניות אחרות.

אבטחת שרשרת אספקה

אנו מודעים לסיכוני האבטחה הנשקפים מספקים חיצוניים ומספקי המשנה שלהם. כל ספק עובר סקר סיכונים, חותם על הסכמי סודיות וחוזה התקשרות כולל נספח דרישות אבטחת מידע. כמו כן, אנו עורכים סקרי ספקים תקופתיים עבור כל הספקים הקריטיים.

אבטחה פיזית

כל אתרי הקבוצה מוגנים באמצעי אבטחה פיזית לרבות בקרת כניסה לעובדי החברה, מצלמות אבטחה בטלויזיה במעגל סגור ומערכות אזעקה. חדרי השרתים והתקשורת מוגנים אף הם באמצעי אבטחה.

גיבוי נתונים והתאוששות מאסון

פספורטכארד מתחייבת לספק שירות רציף וללא הפרעות לכל לקוחותיה. אנו מגבים נתונים באופן עקבי ורציף. כל הגיבויים מוצפנים ומאוחסנים במספר מיקומים.

תוכנית ההמשכיות העסקית שלנו (BCP) עוברת בדיקות ותרגולים שנתיים כדי להעריך את יעילותה ולהבטיח את מוכנותנו למקרה של הפרעה בשירות.

אבטחה במשאבי אנוש

פספורטכארד מודעת לנקודות התורפה הקשורות לגורם האנושי. לכן, כל עובדינו עוברים הכשרה יסודית למודעות לאבטחת מידע במהלך הקליטה, הן באמצעות לומדות והן בהדרכות פרונטליות. כל העובדים עוברים מבדק אמינות מקוון בתהליך הקליטה. עובדים בתפקידים רגישים עוברים מבחן אמינות נוסף בתשאול מומחה חיצוני. הדרכות אבטחה ותרגילים להגברת המודעות מפני איומי פישינג נערכים על בסיס קבוע. בנוסף, כל העובדים נדרשים לחתום על מסמכי סודיות ומדיניות אבטחת המידע הארגונית.

בקרת גישה

אנו מודעים לחשיבות הרבה של ניהול המשתמשים והרשאותיהם. אנו מבצעים ביקורות משתמשים באופן קבוע ועורכים סקירת הרשאות להבטיח את עיקרון הצורך לדעת על פי התפקידים בארגון. חשבונות המשתמשים והרשאותיהם מתעדכנים ונמחקים מיידית במקרה של שינויים בהעסקה.

אימות לקוחות באיזור האישי

גישה של לקוחות לאזור האישי לצורך שירות עצמי או גישה לניהול האתר מחייבת אימות דו-שלבי (2FA).

למידע נוסף, ניתן לפנות ל-CISO שלנו (מנהל אבטחת מידע) בכתובת ciso-q@passportcard.co.il