Security without compromise

Bezpieczeństwo organizacji

Wymogi polityki bezpieczeństwa informacji Crowdin mają zastosowanie do całej organizacji Crowdin i są obowiązkowe dla wszystkich pracowników oraz osób zaangażowanych w te procesy biznesowe. System zarządzania bezpieczeństwem informacji (ISMS) opiera się na trzech filarach: ludzie, procesy i technologia, z szerokim wdrożeniem architektury Zero Trust (ZTA). Architektura Zero Trust działa na zasadzie "nigdy nie ufaj, zawsze weryfikuj", co oznacza, że dostęp do zasobów nigdy nie jest domyślnie zaufany na podstawie lokalizacji użytkownika lub urządzenia. Zamiast tego wymagana jest ścisła weryfikacja tożsamości i ciągłe uwierzytelnianie przy każdej próbie uzyskania dostępu, niezależnie od tego, czy pochodzi ona z wewnątrz, czy spoza obwodu sieci. Dyrektor ds. bezpieczeństwa informacji (CISO) jest odpowiedzialny za zapewnienie odpowiedniej ochrony zasobów informacyjnych i technologii.

Szkolenia i świadomość w zakresie bezpieczeństwa

At Crowdin, all employees complete ongoing security and awareness training throughout the year. Each new team member completes basic security training within the first month of hire. We conduct regular access audits, password updates and operate on the principle of the least privilege. Role-specific security training is also required.

Bezpieczeństwo sprzętu

Wszystkie urządzenia pracowników mają zaszyfrowane dyski twarde. Instalację, konfigurację lub modyfikację sprzętu i oprogramowania przeprowadza wyłącznie wyznaczony administrator systemu. Dostarczanie i usuwanie sprzętu do/z centrum danych jest autoryzowane, rejestrowane i monitorowane. Aby uzyskać dostęp do sprzętu, usług i aplikacji na stacjach roboczych, wymagane są poświadczenia dostępu dla poszczególnych użytkowników (np. para identyfikator użytkownika/hasło itp.).

• BYOD (Bring Your Own Device - przynieś własne urządzenie) jest ograniczone. Wrażliwe dane są przetwarzane wyłącznie na urządzeniach zarządzanych przez firmę.
• Company-managed devices are equipped with MDM, binary authorization and monitoring systems, antivirus software, and controlled software updates.
• Obowiązkowe klucze sprzętowe - dostęp do danych firmowych jest kontrolowany przez obowiązkowe sprzętowe klucze 2FA.
• Dostęp kontekstowy - dostęp do danych firmowych jest dozwolony tylko z urządzeń zarządzanych przez firmę.
• Ograniczenia dostępu oparte na lokalizacji są egzekwowane.
• Autoryzacja i monitorowanie plików binarnych - tylko pliki binarne znajdujące się na dozwolonej liście mogą być uruchamiane na urządzeniach pracowników.

Bezpieczeństwo fizyczne

Biuro Crowdin jest monitorowane i chronione systemem alarmowym oraz wyposażone w systemy sygnalizacji pożaru. Kamery z obwodem zamkniętym (CCTV) są instalowane w całym biurze i rejestrują wejścia, wyjścia i inne wyznaczone obszary. Pracownicy Crowdin nie mają fizycznego dostępu do żadnego z naszych zakładów produkcyjnych, ponieważ cała nasza infrastruktura znajduje się w chmurze. Bezpieczne obszary są chronione za pomocą kontroli wejść, więc dostęp do nich mają tylko upoważnieni pracownicy.

Bezpieczeństwo sieci

Nasza sieć wewnętrzna jest ograniczona, podzielona na segmenty, zabezpieczona hasłem, a wszystkie zdarzenia związane z bezpieczeństwem sieci są rejestrowane.

Bezpieczeństwo oprogramowania

Crowdin zatrudnia zespół specjalistów od serwerów w trybie 24/7/365, którzy dbają o aktualność naszego oprogramowania i jego zależności, usuwając potencjalne luki w zabezpieczeniach. Korzystamy z rozwiązań monitorujących, aby zapobiegać i eliminować ataki na strony.

• Lista dozwolonego oprogramowania - tylko zatwierdzone oprogramowanie i wtyczki do przeglądarek są dozwolone na urządzeniach firmowych.
• Kontrola Aplikacji OAuth - aplikacje OAuth z dostępem do danych firmowych są stale kontrolowane i monitorowane.
• Dostęp do usług w chmurze odbywa się za pośrednictwem SAML z dostępem kontekstowym.

Odpowiedź na incydenty

Crowdin wdraża protokół obsługi zdarzeń związanych z bezpieczeństwem, który obejmuje procedury eskalacji, szybkie łagodzenie i kontrole problemu. Wszyscy pracownicy są informowani o naszych zasadach.

Weryfikacja pracowników

Firma Crowdin sprawdza przeszłość wszystkich nowych pracowników, kontrahentów lub innych osób, które mają dostęp do systemów, sieci lub obiektów fizycznego centrum danych zgodnie z lokalnymi przepisami.

Bezpieczeństwo stron trzecich i dostawców

Crowdin maintains vendor risk management practices to ensure third parties are scrutinized and maintain expected levels of security controls. View our List of Sub-processors.