Центр доверия
Всё, что мы можем рассказать о защите платформы, о том, где хранятся ваши данные, и о том, какие сертификаты у нас есть — включая те, которых у нас нет.
Стандарты, которым мы следуем или которых активно добиваемся. Текущий статус сертификации — ниже.
Хранение данных и конфиденциальность
Хранятся в Канаде, на серверах, которые мы обслуживаем сами.Основное хранилище данных
Канада 🇨🇦
Данные учётных записей, результаты сканирований и журналы хранятся в Торонто (Канада) на серверах, которые принадлежат нам и которые мы обслуживаем сами. Зашифрованные ночные резервные копии дополнительно копируются в Cloudflare R2, у которого нет фиксированного местоположения; ключ есть только у нас. Каждый субобработчик из списка ниже получает только то, что нужно для его сервиса.
Шифрование при хранении
AES-256-GCM
Секреты и сохранённые учётные данные шифруются алгоритмом AES-256-GCM. Ключ шифрования отделён от ключа подписи токенов, существует только в окружении сервера и никогда не записывается в базу данных, резервные копии или репозиторий.
Шифрование при передаче
TLS 1.3
Весь трафик API и веб-интерфейса использует TLS 1.3 с совершенной прямой секретностью. Набор шифров ограничен самыми надёжными доступными конфигурациями.
Без перехвата трафика
Никогда
Мы никогда не перехватываем и не храним сетевой трафик. То, что выдаёт сканирование, — вывод инструмента и извлечённые из него находки — сохраняется, чтобы вы могли его прочитать и построить отчёты, и удаляется через 90 дней.
Что мы храним
Принципы обработки данных
Шифрование при передаче и хранении
TLS 1.3 с совершенной прямой секретностью на каждом соединении. Секреты и сохранённые учётные данные шифруются алгоритмом AES-256-GCM ключом, который хранится отдельно от ключа подписи токенов.
Изолированное выполнение
Сканирования выполняются на сервере в выделенном контейнере, по одному процессу на задание. Команда разбивается на токены до подстановки ваших значений, поэтому оболочка не участвует, а каждый запрос ограничен вашей организацией.
Контроли, согласованные с SOC 2
Инфраструктура спроектирована по критериям SOC 2 Trust Services Criteria (безопасность, доступность, конфиденциальность, приватность). Аудит Type II ещё не завершён — таблица стандартов ниже показывает точный статус каждого.
Журнал аудита только на добавление
Привилегированные действия записываются в журнал аудита, работающий только на добавление, ограниченный вашей организацией и доступный для запросов из панели. Журналы хранятся год.
MFA, SSO и роли
Многофакторная аутентификация по TOTP с одноразовыми резервными кодами. Единый вход по SAML 2.0, OIDC и LDAP / Active Directory на тарифе Enterprise. Ролевая модель доступа применяется на сервере, а не в интерфейсе.
Поддерживаемый нами набор инструментов
Образы сканеров и их шаблоны уязвимостей пересобираем и разворачиваем мы. Вам не нужно обновлять сканер и патчить машину с Kali.
Минимизация данных
Мы храним метаданные сканирования и находки, а не сырой трафик. Срок хранения настраивается, а выгрузить или удалить данные можно в любой момент. Ст. 5(1)(c) GDPR.
Мониторинг платформы
Ограничение частоты запросов с учётом стоимости на каждой точке API, статистическое обнаружение аномалий в активности аккаунта и сторожевые службы, которые перезапускают упавший сервис, не дожидаясь человека.
security.txt (RFC 9116)
Наш файл контактов по безопасности, полностью соответствующий IETF RFC 9116. Автоматически обнаруживается поисковыми системами и исследователями безопасности.
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
Ответственное раскрытие уязвимостей
1Область действия
В области действия:
- cyber-sec-pro.com и его поддомены
- app.cyber-sec-pro.com — платформа SaaS
- api.cyber-sec-pro.com — REST API
Вне области действия:
- Социальная инженерия и фишинг
- Отказ в обслуживании (DoS/DDoS)
- Физическая безопасность
- Сторонние сервисы, которыми мы не управляем
2Канал обращения
Сообщайте об уязвимостях по адресу: security@cyber-sec-pro.com
Шаблон отчёта:
- Тема: [SECURITY] краткое описание
- Затронутый актив: URL или эндпоинт
- Тип уязвимости: XSS, SQLi, IDOR, …
- Шаги воспроизведения: 1, 2, 3 …
- Влияние: утечка данных, повышение привилегий, …
- Оценка CVSS (необязательно)
- Подтверждение концепции (PoC) или скриншоты
3SLA по реагированию
- Первый ответ: ≤ 24 hours
- Обновление статуса: ≤ 72 hours
- Исправление или исключение: ≤ 90 days
4Safe harbor
- Мы не будем предпринимать юридических действий в отношении сообщений, поданных в соответствии с этой политикой
- Личность исследователя остаётся конфиденциальной
- После устранения уязвимости имя добавляется в Зал славы
- Тестирование без письменного разрешения запрещено
Стандарты соответствия
4/10 СоответствуетЦелевые сроки реагирования на инциденты
Это целевые сроки того, как быстро мы действуем после того, как инцидент обнаружен или о нём сообщили на security@cyber-sec-pro.com. CyberSec Pro управляет один человек, поэтому время отсчитывается ежедневно с 07:00 до 23:00 по времени Торонто, а для сообщения, пришедшего ночью, отсчёт начинается в 07:00. Установленные законом сроки уведомления об утечке данных идут круглосуточно. Это целевые сроки, а не договорные обязательства. Процедура следует этапам NIST SP 800-61: обнаружение, сдерживание, устранение, восстановление, разбор.
| Приоритет | Реагирование | Уведомление | Устранение |
|---|---|---|---|
| P0 — Критический | до 1 часа | до 4 часов | до 24 часов |
| P1 — Высокий | до 4 часов | до 24 часов | до 72 часов |
| P2 — Средний | до 24 часов | до 72 часов | до 7 дней |
| P3 — Низкий | до 3 дней | до 7 дней | до 30 дней |
Субобработчики
Третьи стороны, обрабатывающие персональные данные по нашему поручению (ст. 28 GDPR). Каждое соглашение об обработке данных входит в условия самого поставщика и принято вместе с учётной записью; отдельно подписанных экземпляров у нас нет. Исключение — Gmail: это личная учётная запись, и Google не предлагает для неё DPA.
| Поставщик | Назначение | Расположение | DPA |
|---|---|---|---|
| Stripe, Inc. | Обработка платежей | США (SCC ЕС + DPF) | ✓ Действует |
| Cloudflare, Inc. | Защита от DDoS, WAF, CDN, терминация TLS, веб-аналитика без файлов cookie, маршрутизация входящей почты | Глобальная периферия (SCC ЕС + DPF) | ✓ Действует |
| Brevo (Sendinblue SAS) | Транзакционная почта, с отслеживанием переходов по ссылкам | ЕС (SCC ЕС) | ✓ Действует |
| Google (Gmail) | Наш входящий ящик: письма на наши адреса | США (SCC ЕС + DPF) | Нет |
| Cloudflare R2 | Внешнее хранение зашифрованных резервных копий базы данных, каждая хранится 30 дней | Автоматическое размещение, юрисдикция не задана (зашифровано; ключ только у нас) | ✓ Действует |
| Google Analytics | Агрегированная статистика использования сайта | США (SCC ЕС + DPF) | ✓ Действует |
Последнее обновление: ноябрь 2026 г. Изменения в этом списке публикуются здесь и в политике конфиденциальности в день вступления в силу. Последнее: 29 сентября 2026 г. Brevo заменил Mailjet после того, как Mailjet закрыл нашу учётную запись. 30 октября 2026 г. строка Brevo дополнена: Brevo отслеживает переходы по ссылкам, и делал это с самого начала. С 4 ноября 2026 г. Gmail больше не пересылает нашу исходящую почту и служит только нашим входящим ящиком.
Соглашение об обработке данных (DPA)
Любой клиент может заключить с нами соглашение об обработке данных по статье 28 GDPR: запросите его, и мы пришлём его вам на подпись. Персональные данные из ЕС и Великобритании поступают к нам в Канаду на основании решений об адекватности, которые оба приняли в отношении Канады, поэтому для этой передачи стандартные договорные условия не нужны. В нашей политике конфиденциальности указаны все субобработчики, их местонахождение и данные, которые они получают.
Область действия DPA
- Цели и способы обработки
- Категории персональных данных и субъектов данных
- Перечень субобработчиков и порядок одобрения новых
- Технические и организационные меры
- Уведомление об инцидентах — без неоправданной задержки и в течение 72 часов
- Международная передача данных и основание каждой передачи
Оценка воздействия на защиту данных
✓ Утверждена, ноябрь 2026В ноябре 2026 года мы провели оценку воздействия на защиту данных по статье 35 GDPR для всего сервиса, включая сканирование, идентификацию устройств и еженедельные проверки сети. Это самооценка, утверждённая нашим основателем; её не проверял ни инспектор по защите данных (он не назначен и не требуется), ни надзорный орган. Ни один остаточный риск не был оценён как высокий. Мы пересматриваем её каждый год и перед любым изменением обрабатываемых нами персональных данных. Клиенты могут запросить копию.
Проверки безопасности и аудиты
Непрерывное внутреннее тестирование безопасности с помощью собственной платформы и ручного анализа. Независимый внешний пентест запланирован; сводные отчёты будут доступны клиентам Enterprise по NDA после его проведения.
Nuclei 3.11 + Wapiti 3.2, run against production
Область: https://app.cyber-sec-pro.com — TLS, заголовки, CORS, шаблоны ошибок конфигурации и раскрытия данных, а также проверки XSS, SQLi и открытых редиректов
Результаты: 0 критических, 0 высоких, 0 средних, 14 информационных. Wapiti: 0 уязвимостей.
CyberSec Pro Security Team (internal)
Область: Аутентификация, авторизация, работа с секретами, API-ключи, MFA, SSO и управление сессиями по всему репозиторию
Результаты: Несколько механизмов защиты оказались неработающими в продакшене и были переписаны; защищаемые ими секреты были заменены. Каждое исправление закреплено регрессионным тестом.
Зал славы по безопасности
Мы благодарим исследователей, сообщающих об уязвимостях в соответствии с нашей политикой ответственного раскрытия.
Сообщив об уязвимости, вы можете стать первым исследователем в нашем Зале славы.
Сообщить об уязвимостиКонтакт по безопасности
Безопасность: security@cyber-sec-pro.com
Юридические вопросы/DPA: legal@cyber-sec-pro.com
Конфиденциальность: privacy@cyber-sec-pro.com
Центр доверия обновлён: сентябрь 2026 г. · Версия политики: 2.2.0 · Следующий пересмотр: март 2027 г.