Senarai Semak Keselamatan
VoicePing menerbitkan senarai semak keselamatan maklumat yang terperinci. Lembaran Keselamatan VoicePing.pdf| Kategori | Item Penilaian | Penerangan | Status |
|---|---|---|---|
| Keselamatan | Status Pensijilan Awam | Perolehan ISMS, P-Mark, dll. | Pensijilan ISMS dirancang (dalam persediaan) |
| Keselamatan | Penilaian Pihak Ketiga | Penilaian langkah-langkah terhadap pencerobohan, operasi, pemerolehan data yang tidak dibenarkan | - |
| Keselamatan | Persekitaran Pengendalian Maklumat | Sekatan akses kepada data pengguna | Dihadkan kepada alamat IP tertentu melalui AWS Security Groups |
| Keselamatan | Tahap Penyulitan Komunikasi | Kekuatan penyulitan komunikasi | Hanya menggunakan TLS 1.3 |
| Keselamatan | Perlindungan Virus | Pengimbasan virus | Pengesanan berterusan aktiviti tidak dibenarkan melalui AWS GuardDuty |
| Perlindungan Data | Data Sandaran | Penyulitan, lokasi penyimpanan | AWS Tokyo Region |
| Perlindungan Data | Pengasingan Data Antara Syarikat | Pengasingan maklumat antara syarikat | Pengasingan logik melalui pangkalan data |
Perlindungan Data
Penyulitan Komunikasi
- Aplikasi dan data audio/video hanya menggunakan TLS 1.3
- Komunikasi HTTPS diwajibkan (dikonfigurasi melalui AWS ELB)
Sandaran
- Kitaran Sandaran: Sandaran bulanan melalui AWS Database
- Tempoh Penyimpanan: Log akses pelayan disimpan secara kekal di S3
- Langkah BCP: Penyimpanan jarak jauh berbilang wilayah di AWS Database
Sekatan Akses Data
- Akses pangkalan data dan pelayan dihadkan kepada alamat IP tertentu melalui AWS Security Groups
- Data antara syarikat diasingkan secara logik melalui pangkalan data
Ketersediaan
Masa Operasi
- Waktu Perkhidmatan: 24 jam, 365 hari secara prinsip
- SLA: 99.9% atau lebih tinggi
- Rekod Prestasi: 99.99% atau lebih tinggi (tiada masa henti pelayan melebihi puluhan minit sejak pelancaran perkhidmatan)
Respons Insiden
- Sandaran perbezaan kod sumber dan sandaran DB tersedia, membolehkan rollback (pemulihan) segera pada bila-bila masa 24/7
- Semua proses pelayan dan status sistem divisualisasikan melalui AWS CloudWatch atau sistem amaran proprietari kami
- Pemberitahuan amaran sekiranya berlaku sebarang masa henti
Penyelenggaraan Berjadual
- Kemas kini dijadualkan sekitar 21:00 setiap hari Jumaat, dengan kemungkinan gangguan sambungan beberapa saat
- Pemberitahuan masa nyata melalui E-mel atau sokongan sembang teks (Intercom) jika kemas kini diperlukan semasa waktu perniagaan
Sistem Sokongan
Pemberitahuan Insiden
- Kaedah Hubungan: Pemberitahuan melalui E-mel dan perkhidmatan sembang teks dalam aplikasi (Intercom)
Hubungan Kecemasan
- Sokongan tersedia melalui perkhidmatan sembang teks (Intercom) atau Borang Hubungan
- Respons dalam masa 5 minit semasa waktu perniagaan (9:00-18:00)
Pengurusan Pengguna
Pengurusan Akaun
- Satu akaun setiap pengguna
- Pengguna boleh memadam akaun secara fizikal semasa peletakan jawatan atau pertukaran
Pengurusan Kata Laluan
- Pengguna boleh menukar kata laluan
- Pengesahan dua faktor melalui token E-mel tersedia
Keselamatan Aplikasi Web
VoicePing melaksanakan langkah-langkah keselamatan berikut.Pencegahan SQL Injection
- Backend menggunakan ORM middleware untuk operasi pangkalan data
- Semua pembinaan pernyataan SQL menggunakan placeholder
- Kebenaran yang sesuai diberikan kepada akaun pangkalan data (akaun dengan hanya kebenaran READ, WRITE yang diperlukan)
Pencegahan OS Command Injection
- Pelaksanaan shell pada asasnya tidak dilakukan
- Apabila logik tahap shell diperlukan, pelaksanaan hanya melalui perpustakaan yang disahkan selamat
Pencegahan Path Parameter/Directory Traversal
- Data disimpan di hosting luaran atau pangkalan data
- Tiada fungsi akses fail langsung di pelayan web
- Nama fail menggunakan nama rawak, tidak dapat diramal
Pengurusan Sesi
- ID sesi menggunakan rentetan rawak yang tidak dapat diramal dan cukup panjang
- ID sesi disimpan dalam Cookie (bukan dalam parameter URL)
- Cookie untuk komunikasi HTTPS menggunakan atribut Secure
- Halaman yang memerlukan log masuk diasingkan daripada halaman yang boleh diakses awam
Pencegahan Cross-Site Scripting (XSS)
- Menggunakan perpustakaan frontend yang serasi
- HTTPS diwajibkan melalui AWS ELB
- Pengekodan aksara (charset) dinyatakan dalam medan Content-Type pengepala respons HTTP
- Atribut HttpOnly ditambah pada Cookie
Pencegahan CSRF
- Kawalan akses sisi backend melalui kaedah POST
- Pengesahan Referer
- Pemberitahuan e-mel automatik ke alamat e-mel berdaftar untuk operasi penting
Pencegahan HTTP Header Injection
- Menggunakan API output pengepala dalam middleware backend
Pencegahan Clickjacking
- Output medan pengepala X-Frame-Options
- Tidak dapat dilaksanakan tanpa sesi yang sah
- Operasi penting direka supaya tidak dapat dilaksanakan hanya dengan tetikus
Pencegahan Buffer Overflow
- Menggunakan Node.js, yang tidak membenarkan akses memori langsung
- Pemeriksaan perpustakaan berkala melalui GitHub, dengan PR dicipta untuk perpustakaan yang terdedah dan kemas kini tepat pada masanya
Kawalan Akses dan Kebenaran
- Pengesahan dua faktor dengan token E-mel tersedia untuk keistimewaan pengurus
- Kawalan kebenaran dilaksanakan selain pengesahan, menghalang pengguna yang log masuk menyamar sebagai orang lain
Seni Bina Sistem
Gambaran keseluruhan seni bina sistem VoicePing. Semua komunikasi dilindungi melalui HTTPS atau sambungan yang disulitkan.
- Aplikasi Desktop (Windows / Mac / Linux)
- Aplikasi Mudah Alih (iOS / Android)
- Aplikasi Web (Serasi Pelayar)
- Cloudflare CDN (Rangkaian Penghantaran Kandungan)
- Google Cloud Storage (Pengehosan Statik)
- Pengimbang Beban (AWS)
- Pelayan Perniagaan (Pengesahan Kunci API)
- Pelayan Terjemahan & Transkripsi (Tersedia On-Premise, Pengesahan Kunci API)
- Pangkalan Data (Google Cloud SQL / RDB)
- JSON Storage (S3) untuk data audio, transkripsi dan imej
- API Luaran / Perkhidmatan Pihak Ketiga (Pengesahan Kunci API)