Tietoturvakäytäntö
Ukussa tietoturva on perusperiaate – ei jälkikäteen lisätty asia. Kaikki selaimesi ja Ukun välillä siirtyvä tieto suojataan alan standardien mukaisella salauksella. Käytämme yritystason pilvi-infrastruktuuria Euroopan unionissa, ja valvomme, auditoimme ja parannamme tietoturvaamme jatkuvasti.
Palvelinten fyysinen turvallisuus
Ukun tuotantoinfrastruktuuri sijaitsee Akamai Cloud Computingin palvelimilla Frankfurtissa, Saksassa – tiukasti Euroopan unionin sisällä, jotta tietojen sijaintia EU:ssa koskevat vaatimukset täyttyvät.
Akamai on luotettu alikäsittelijämme, jolla on yritystason sertifioinnit ja tiukat vaatimustenmukaisuuden standardit. Voit tarkistaa sen tietoturvan, tutustua sen jaetun vastuun malliin (Shared Responsibility Model) ja lukea yksityiskohtaiset auditointiraportit suoraan Akamai Trust Centeristä ja sen Privacy & Compliance Hubista.
- SOC 2 Type II – Service Organization Control
- ISO/IEC 27001 – tietoturvallisuuden hallintajärjestelmä
- PCI DSS – Payment Card Industry Data Security Standard
- GDPR – EU:n yleisen tietosuoja-asetuksen täysi noudattaminen
- EU-US Data Privacy Framework (DPF) ja vakiosopimuslausekkeet (SCC) – oikeudellisesti hyväksytyt mekanismit turvallisiin kansainvälisiin tiedonsiirtoihin, jotka kattavat mahdolliset rajatut siirrot Akamain Yhdysvalloissa rekisteröidylle yhtiölle.
Muiden henkilötietojen käsittelijöiden käyttö
Kaikkia ulkopuolisia henkilötietojen käsittelijöitä käytetään tiukkojen tietojenkäsittelysopimusten mukaisesti. Tunnistautuminen ja pääsynhallinta varmistavat, että rekisterinpitäjä hallitsee henkilötietoja täysin kaikkina aikoina.
Arvioimme jokaisen alikäsittelijän tietoturvan, sertifioinnit ja tietojen käsittelytavat ennen yhteistyön aloittamista. Täydellinen luettelo alikäsittelijöistä on saatavilla pyynnöstä.
Tietoturva ja salaus
Kaikki siirrettävä tieto salataan TLS 1.3 -protokollalla ja SHA-256withRSA-varmenteella. Näin jokainen yhteys selaimesi ja Ukun palvelinten välillä on kokonaan salattu ja todennettu.
Käyttäjien salasanat tiivistetään SHA-512-algoritmilla, ja jokaisella tilillä on oma satunnainen suola. Salasanoja ei koskaan tallenneta selkokielisinä, eikä niitä voi palauttaa näkyviin – ainoastaan vaihtaa.
Sovelluksemme on suojattu yleisiä hyökkäystapoja vastaan, kuten cross-site scripting (XSS), SQL injection ja cross-site request forgery (CSRF). Kaikki käyttäjän syötteet puhdistetaan ja tarkistetaan sekä selaimessa että palvelimella.
Sovelluksen tietoturva
Ukun palvelimia suojaa UFW-palomuuri, jonka oletuskäytäntö estää kaiken. Vain nimenomaisesti tarvittavat portit ja palvelut ovat avoinna. SSH-pääsy on rajattu valtuutetulle henkilöstölle, ja se edellyttää aina avainpohjaista tunnistautumista.
Testi- ja tuotantoympäristöt pidetään tiukasti erillään. Arkaluonteiset konfiguraatiotiedot salataan symmetrisellä AES-256-salauksella ja avaintenvaihdossa käytetään epäsymmetristä RSA 2048-bit -salausta.
Kaikki julkaisut käyvät läpi koodikatselmoinnin ja automaattisen tietoturvaskannauksen ennen tuotantoon siirtymistä.
Tuotteen tietoturva-asetukset
Ukussa on useita tietoturva-asetuksia, jotka voit määrittää tilitoimistollesi:
- Monivaiheinen tunnistautuminen (MFA) – tuki Google Authenticatorille, Microsoft Authenticatorille ja Azure Active Directorylle
- Pääsy vain kutsusta – uudet työntekijät voivat liittyä organisaatioosi vain erillisellä kutsulla
- Yksi pakollinen kirjautumistapa – voit halutessasi vaatia saman tunnistautumistavan kaikilta työntekijöiltä
- Roolipohjainen pääsynhallinta – tarkat käyttöoikeudet tiimin eri rooleille
Käytettävyys ja jatkuvuus
Uku on suunniteltu korkeaa käytettävyyttä varten: valvonta toimii ympäri vuorokauden ja hälytykset ovat automaattisia. Tiimimme reagoi kriittisiin häiriöihin kellon ympäri, jotta tilitoimistosi työ häiriintyy mahdollisimman vähän.
Meillä on kattava toiminnan jatkuvuussuunnitelma ja toipumismenettelyt häiriötilanteita varten. Säännöllisillä haavoittuvuusarvioinneilla tunnistamme ja korjaamme mahdolliset riskit ennen kuin ne vaikuttavat palvelun käytettävyyteen.
Luotettavuus ja varmuuskopiot
Uku ottaa automaattisen varmuuskopion päivittäin kaikista asiakastiedoista. Varmuuskopiot säilytetään maantieteellisesti eri paikoissa kuin ensisijainen infrastruktuuri, jotta alueelliset katkokset eivät vaaranna tietoja.
Palautustavoitteemme:
- Recovery Time Objective (RTO): alle 8 tuntia työaikana
- Recovery Point Objective (RPO): alle 4 tuntia työaikana
Varmuuskopioiden eheys tarkistetaan säännöllisesti, ja palautusmenettelyt testataan, jotta tiedot voidaan palauttaa tarvittaessa.
Tietoturva-auditoinnit
Ukulle tehdään riippumattomia tietoturva-auditointeja, jotka perustuvat OWASP Application Security Verification Standard (ASVS) 2.0 -standardiin. Auditoinnit kattavat koko sovelluspinon, mukaan lukien tunnistautumisen, istunnonhallinnan, pääsynhallinnan ja tietosuojan.
Tietoturva on osa kehitysprosessimme jokaista vaihetta – koodikatselmoinnista ja staattisesta analyysistä dynaamiseen testaukseen ennen julkaisua. Teetämme myös säännöllisesti tunkeutumistestejä pätevillä ulkopuolisilla tietoturvayrityksillä.
Luottokorttitietojen turvallisuus
Uku ei tallenna luottokorttitietoja palvelimilleen. Kaikki maksut käsittelee Braintree (PayPalin palvelu), jolla on PCI DSS Level 1 -sertifiointi – maksuturvallisuuden korkein sertifiointitaso.
Korttitiedot tokenisoidaan jo syöttövaiheessa, eivätkä ne koskaan päädy Ukun infrastruktuuriin.
Tietosuojaperiaatteet
Uku noudattaa täysin EU:n yleistä tietosuoja-asetusta (GDPR). Noudatamme seuraavia periaatteita:
- Tietojen minimointi – keräämme vain palvelun tarjoamiseen tarvittavat tiedot
- Oikeus saada pääsy tietoihin – voit milloin tahansa pyytää kopion kaikista tiedoistasi
- Oikeus tietojen poistamiseen – voit pyytää tilisi ja tietojesi poistamista kokonaan
- Oikeus siirtää tiedot – voit viedä tietosi vakiomuodoissa
- Poistokäytäntö – kun poistat tilisi, kaikki siihen liittyvät tiedot poistetaan pysyvästi 30 päivän kuluessa
Kysyttävää?
Jos sinulla on kysyttävää tietoturvakäytännöistämme tai tarvitset lisädokumentaatiota vaatimustenmukaisuutta varten, ota yhteyttä tiimiimme osoitteessa support@getuku.com.
SOC 2 -raporttimme ja muut luottamusta tukevat dokumentit löydät SOC 2 -sivultamme.
Aloita Ukun käyttö tänään.
Tehosta työtäsi Ukulla – kattavalla mutta helppokäyttöisellä tilitoimiston toiminnanohjauksella.
”Luodaan yhdessä unelma, jossa tiimi viihtyy, asiakkaista pidetään hyvää huolta ja voitot ovat reiluja.
Rain Allikvee / yksi Ukun perustajista