گواهی‌ها و انطباق امنیتی ایران‌کلاد

سه چیز را همین حالا می‌توانید خودتان بررسی کنید. نماد اعتماد الکترونیکی که نشانش در پایین همهٔ صفحه‌هاست و به سامانهٔ صادرکننده لینک دارد؛ اطلاعات ثبتی شرکت بادونو، اپراتور ایران‌کلاد، با شناسهٔ ملی ۱۰۱۰۳۶۲۰۳۴۰ و شمارهٔ ثبت ۴۳۹۲۶۵؛ و اسناد حقوقی منتشرشده که تعهدات ما را مکتوب کرده‌اند.

شناسهٔ مالیاتی شرکت طبق صفحهٔ اطلاعات قانونی هنوز در دست اقدام است. این را هم پنهان نمی‌کنیم، چون برای بعضی خریدهای سازمانی مهم است.

ایران‌کلاد امروز هیچ‌یک از گواهی‌های امنیتی رایج بین‌المللی یا ارزیابی‌های امنیتی داخلی را ندارد. اگر جایی، مثلاً در یک آگهی یا پیام، ادعای خلاف این را دیدید، معتبر نیست و خوشحال می‌شویم به ما اطلاع دهید.

نداشتن گواهی به این معنا نیست که امنیت رها شده است؛ یعنی هنوز یک نهاد مستقل آن را ممیزی نکرده است. برای بیشتر کسب‌وکارهای کوچک و متوسط، کنترل‌های بخش بعد معیار عملی‌تری‌اند؛ اما اگر قرارداد یا مقررات شما گواهی مشخصی را الزامی کرده، امروز نمی‌توانیم آن را برآورده کنیم.

این کنترل‌ها در کد و پیکربندی پلتفرم پیاده شده‌اند و بیشترشان را در پنل خودتان می‌بینید. توضیح کامل هرکدام و تقسیم مسئولیت میان ما و شما در صفحهٔ امنیت آمده است.

محدودیت‌ها را هم بدانید: ورود دومرحله‌ای با برنامهٔ احراز هویت هنوز نداریم و ورود با کد پیامکی جایگزین رمز است، نه مرحلهٔ دوم آن. بکاپ سرور ابری هم زمان‌بندی خودکار ندارد و باید آن را خودتان از پنل بگیرید. این موارد را هنگام ارزیابی ریسک در نظر بگیرید.

سرورها، دیتابیس‌ها، ذخیره‌سازی شیء و بکاپ سرویس‌های داخلی در دیتاسنتر تهران‌اند. تنها سرویسی که عمداً بیرون از ایران است، سرور خارجی است که خودتان انتخابش می‌کنید. برای سازمان‌هایی که الزام نگه‌داری داده در داخل کشور دارند، این تفکیک روشن مهم است.

اگر دادهٔ شخصی کاربران خودتان را روی ایران‌کلاد پردازش می‌کنید، توافق‌نامهٔ پردازش داده نقش‌ها، پردازشگرهای فرعی و فرایند اطلاع‌رسانی نقض امنیتی را تعریف می‌کند و سیاست حریم خصوصی توضیح می‌دهد ما چه داده‌ای از خود شما نگه می‌داریم. پیش از امضای قرارداد سازمانی، هر دو سند را با واحد حقوقی خود بخوانید.

پرداخت در ایران‌کلاد فقط از درگاه بانکی داخلی انجام می‌شود. شما به صفحهٔ درگاه هدایت می‌شوید، اطلاعات کارت را آنجا وارد می‌کنید و پس از بازگشت، سیستم ما نتیجهٔ تراکنش را مستقیم از درگاه استعلام می‌کند تا بازگشت جعلی به صفحهٔ پرداخت نتواند موجودی بسازد. شماره و رمز کارت هرگز به سرورهای ما نمی‌رسد.

به همین دلیل گواهی PCI DSS، که برای نگه‌داری یا پردازش دادهٔ کارت لازم است، در دامنهٔ کار امروز ما قرار نمی‌گیرد. اگر خودتان روی سرور ایران‌کلاد فروشگاه راه می‌اندازید، بهترین کار این است که شما هم پرداخت را به درگاه بانکی بسپارید و دادهٔ کارت را روی سرور خود ذخیره نکنید.

پیش از خرید، فهرست الزامات خود را با وضعیت این صفحه مقایسه کنید. اگر الزام شما یک گواهی مشخص است که نداریم، بهتر است همین ابتدا بدانید. اگر الزام از جنس کنترل است، مثل محل نگه‌داری داده، رمزنگاری رمزها، گزارش فعالیت یا تعهد دسترس‌پذیری، احتمالاً پاسخش در اسناد منتشرشده هست.

حتی ارائه‌دهندگانی که همهٔ گواهی‌های رایج را دارند، فقط زیرساخت و فرایندهای خودشان را پوشش می‌دهند. روی سرور ابری با دسترسی root، به‌روزرسانی سیستم‌عامل، کاربرها و کلیدهای SSH، قواعد فایروال، امنیت کد و افزونه‌ها و بکاپ‌گیری منظم با خود شماست. بیشتر حوادث امنیتی هم از همین بخش آغاز می‌شوند، نه از زیرساخت ارائه‌دهنده.

اگر نمی‌خواهید این بار را خودتان بکشید، سرویس‌های مدیریت‌شده مثل دیتابیس مدیریت‌شده بخش بزرگی از نگه‌داری را به ما می‌سپارند. برای وب‌سایت‌ها هم Edge Proxy با گواهی SSL خودکار و فایروال برنامه یک لایهٔ محافظ جلوی سرور می‌گذارد.

این روش برای ایران‌کلاد و هر ارائه‌دهندهٔ دیگری کار می‌کند. هدف این است که لوگوی روی سایت را به یک سند قابل استعلام تبدیل کنید. اگر ارائه‌دهنده‌ای از پاسخ به این پرسش‌ها طفره رفت، همین خودش پاسخ است.

به دامنهٔ پوشش گواهی دقت ویژه کنید. یک شرکت ممکن است برای دفتر مرکزی یا یک سرویس خاص گواهی داشته باشد، اما سرویسی که شما می‌خرید خارج از آن دامنه باشد. همچنین گواهی تاریخ اعتبار دارد و باید دوره‌ای تمدید شود؛ گواهی منقضی‌شده ارزش استنادی ندارد.

اگر در جایی ادعایی دربارهٔ گواهی‌های ایران‌کلاد دیدید که با این صفحه نمی‌خواند، این صفحه مرجع است. و اگر به نظرتان کنترل امنیتی‌ای را جا انداخته‌ایم یا آسیب‌پذیری‌ای پیدا کرده‌اید، سیاست افشای مسئولانه مسیر گزارش را توضیح می‌دهد.

یکی از چیزهایی که بسیاری از سازمان‌ها در کنار گواهی‌ها می‌خواهند، تعهد مکتوب دسترس‌پذیری است. توافق‌نامهٔ سطح خدمات ایران‌کلاد برای سرور ابری، ذخیره‌سازی، بکاپ، شبکهٔ خصوصی، فایروال و DNS مدیریت‌شده تعهد ماهانهٔ ۹۹٫۹ درصد را اعلام کرده و فرمول جبران، استثناها و فرایند ثبت ادعا را هم نوشته است.

وضعیت لحظه‌ای سرویس‌ها در صفحهٔ وضعیت منتشر می‌شود و برای نگه‌داری برنامه‌ریزی‌شده، پیش از شروع کار بنری در بالای صفحه‌های سایت نمایش داده می‌شود. این‌ها جای ممیزی مستقل را نمی‌گیرند، اما چیزهایی‌اند که امروز می‌توانید ببینید و به آن‌ها استناد کنید.