सुरक्षा चेकलिस्ट
VoicePing विस्तृत सूचना सुरक्षा चेकलिस्ट प्रकाशित करता है। VoicePing सुरक्षा शीट.pdf| श्रेणी | मूल्यांकन आइटम | विवरण | स्थिति |
|---|---|---|---|
| सुरक्षा | सार्वजनिक प्रमाणन स्थिति | ISMS, P-Mark आदि का अधिग्रहण | ISMS प्रमाणन की योजना (तैयारी में) |
| सुरक्षा | तृतीय-पक्ष मूल्यांकन | अनधिकृत घुसपैठ, संचालन, डेटा अधिग्रहण के खिलाफ उपायों का मूल्यांकन | - |
| सुरक्षा | सूचना प्रबंधन वातावरण | उपयोगकर्ता डेटा तक पहुंच प्रतिबंध | AWS Security Groups के माध्यम से विशिष्ट IP पते तक सीमित |
| सुरक्षा | संचार एन्क्रिप्शन स्तर | संचार की एन्क्रिप्शन शक्ति | केवल TLS 1.3 का उपयोग |
| सुरक्षा | वायरस सुरक्षा | वायरस स्कैनिंग | AWS GuardDuty के माध्यम से अनधिकृत गतिविधियों का निरंतर पता लगाना |
| डेटा सुरक्षा | बैकअप डेटा | एन्क्रिप्शन, भंडारण स्थान | AWS टोक्यो क्षेत्र |
| डेटा सुरक्षा | कंपनियों के बीच डेटा पृथक्करण | कंपनियों के बीच सूचना अलगाव | डेटाबेस के माध्यम से तार्किक पृथक्करण |
डेटा सुरक्षा
संचार एन्क्रिप्शन
- एप्लिकेशन और ऑडियो/वीडियो डेटा केवल TLS 1.3 का उपयोग करते हैं
- HTTPS संचार अनिवार्य (AWS ELB के माध्यम से कॉन्फ़िगर)
बैकअप
- बैकअप चक्र: AWS Database के माध्यम से मासिक बैकअप
- रिटेंशन अवधि: सर्वर एक्सेस लॉग S3 में स्थायी रूप से संग्रहीत
- BCP उपाय: AWS Database पर मल्टी-रीजन रिमोट स्टोरेज
डेटा एक्सेस प्रतिबंध
- डेटाबेस और सर्वर एक्सेस AWS Security Groups के माध्यम से विशिष्ट IP पतों तक सीमित
- कंपनियों के बीच डेटा डेटाबेस के माध्यम से तार्किक रूप से पृथक
उपलब्धता
अपटाइम
- सेवा घंटे: सिद्धांत रूप में 24 घंटे, 365 दिन
- SLA: 99.9% या अधिक
- ट्रैक रिकॉर्ड: 99.99% या अधिक (सेवा शुरू होने के बाद से कई दसियों मिनट से अधिक का कोई सर्वर डाउनटाइम नहीं)
घटना प्रतिक्रिया
- स्रोत कोड डिफरेंशियल बैकअप और DB बैकअप उपलब्ध, जो किसी भी समय 24/7 तत्काल रोलबैक (रिकवरी) सक्षम करते हैं
- सभी सर्वर प्रक्रियाएं और सिस्टम स्थितियां AWS CloudWatch या हमारी प्रोप्राइटरी अलर्ट सिस्टम के माध्यम से विज़ुअलाइज़ की जाती हैं
- किसी भी डाउनटाइम की स्थिति में अलर्ट सूचनाएं
नियोजित रखरखाव
- हर शुक्रवार को लगभग 21:00 बजे अपडेट निर्धारित, कुछ सेकंड के कनेक्शन व्यवधान संभव
- व्यावसायिक घंटों के दौरान अपडेट आवश्यक होने पर ईमेल या टेक्स्ट चैट सपोर्ट (Intercom) के माध्यम से रीयल-टाइम अधिसूचना
सहायता प्रणाली
घटना सूचनाएं
- संपर्क विधि: ईमेल और इन-ऐप टेक्स्ट चैट सेवा (Intercom) के माध्यम से अधिसूचना
आपातकालीन संपर्क
- टेक्स्ट चैट सेवा (Intercom) या संपर्क फॉर्म के माध्यम से सहायता उपलब्ध
- व्यावसायिक घंटों (9:00-18:00) के दौरान 5 मिनट के भीतर प्रतिक्रिया
उपयोगकर्ता प्रबंधन
खाता प्रबंधन
- प्रति उपयोगकर्ता एक खाता
- उपयोगकर्ता इस्तीफे या स्थानांतरण पर खाते को भौतिक रूप से हटा सकते हैं
पासवर्ड प्रबंधन
- उपयोगकर्ता पासवर्ड बदल सकते हैं
- ईमेल टोकन के माध्यम से दो-कारक प्रमाणीकरण उपलब्ध
वेब एप्लिकेशन सुरक्षा
VoicePing निम्नलिखित सुरक्षा उपाय लागू करता है।SQL इंजेक्शन रोकथाम
- बैकएंड डेटाबेस संचालन के लिए ORM मिडलवेयर का उपयोग करता है
- सभी SQL स्टेटमेंट निर्माण प्लेसहोल्डर का उपयोग करते हैं
- डेटाबेस खातों को उचित अनुमतियां दी गई हैं (केवल आवश्यक READ, WRITE अनुमतियों वाले खाते)
OS कमांड इंजेक्शन रोकथाम
- शेल निष्पादन मूल रूप से नहीं किया जाता
- जब शेल-स्तरीय तर्क की आवश्यकता होती है, तो केवल सत्यापित सुरक्षित लाइब्रेरी के माध्यम से निष्पादन
पाथ पैरामीटर/डायरेक्टरी ट्रैवर्सल रोकथाम
- डेटा बाहरी होस्टिंग या डेटाबेस पर संग्रहीत
- वेब सर्वर पर कोई प्रत्यक्ष फ़ाइल एक्सेस कार्यक्षमता नहीं
- फ़ाइल नाम यादृच्छिक नामों का उपयोग करते हैं, अप्रत्याशित
सत्र प्रबंधन
- सत्र ID अप्रत्याशित, पर्याप्त लंबी यादृच्छिक स्ट्रिंग का उपयोग करती हैं
- सत्र ID कुकीज़ में संग्रहीत (URL पैरामीटर में नहीं)
- HTTPS संचार के लिए कुकीज़ Secure विशेषता का उपयोग करती हैं
- लॉगिन की आवश्यकता वाले पृष्ठ सार्वजनिक रूप से सुलभ पृष्ठों से अलग हैं
क्रॉस-साइट स्क्रिप्टिंग (XSS) रोकथाम
- संगत फ्रंटएंड लाइब्रेरी का उपयोग
- AWS ELB के माध्यम से HTTPS अनिवार्य
- HTTP प्रतिक्रिया हेडर के Content-Type फ़ील्ड में वर्ण एन्कोडिंग (charset) निर्दिष्ट
- कुकीज़ में HttpOnly विशेषता जोड़ी गई
CSRF रोकथाम
- POST विधि के माध्यम से बैकएंड-साइड एक्सेस नियंत्रण
- Referer सत्यापन
- महत्वपूर्ण संचालन के लिए पंजीकृत ईमेल पते पर स्वचालित ईमेल अधिसूचना
HTTP हेडर इंजेक्शन रोकथाम
- बैकएंड मिडलवेयर में हेडर आउटपुट API का उपयोग
क्लिकजैकिंग रोकथाम
- X-Frame-Options हेडर फ़ील्ड आउटपुट
- वैध सत्र के बिना निष्पादन संभव नहीं
- महत्वपूर्ण संचालन केवल माउस से निष्पादित नहीं किए जा सकते
बफर ओवरफ्लो रोकथाम
- Node.js का उपयोग, जो प्रत्यक्ष मेमोरी एक्सेस की अनुमति नहीं देता
- GitHub के माध्यम से नियमित लाइब्रेरी जांच, कमजोर लाइब्रेरी के लिए PR बनाए जाते हैं और समय पर अपडेट
एक्सेस नियंत्रण और प्राधिकरण
- प्रबंधक विशेषाधिकारों के लिए ईमेल टोकन के साथ दो-कारक प्रमाणीकरण उपलब्ध
- प्रमाणीकरण के अलावा प्राधिकरण नियंत्रण लागू, लॉग इन उपयोगकर्ताओं को दूसरों का प्रतिरूपण करने से रोकता है
सिस्टम आर्किटेक्चर
VoicePing की सिस्टम आर्किटेक्चर का अवलोकन। सभी संचार HTTPS या एन्क्रिप्टेड कनेक्शन द्वारा सुरक्षित हैं।
- डेस्कटॉप ऐप (Windows / Mac / Linux)
- मोबाइल ऐप (iOS / Android)
- वेब ऐप (ब्राउज़र संगत)
- Cloudflare CDN (कंटेंट डिलीवरी नेटवर्क)
- Google Cloud Storage (स्टैटिक होस्टिंग)
- लोड बैलेंसर (AWS)
- बिजनेस सर्वर (API कुंजी प्रमाणीकरण)
- अनुवाद और ट्रांसक्रिप्शन सर्वर (ऑन-प्रिमाइस उपलब्ध, API कुंजी प्रमाणीकरण)
- डेटाबेस (Google Cloud SQL / RDB)
- JSON Storage (S3) ऑडियो, ट्रांसक्रिप्शन और छवि डेटा के लिए
- बाहरी API / तृतीय-पक्ष सेवाएं (API कुंजी प्रमाणीकरण)