Sigurnosna politika
Posljednje ažuriranje: 18. ožujka 2025.
Kokafya (u daljnjem tekstu: "mi", "nas" ili "naša platforma") posvećen je zaštiti sigurnosti podataka svojih korisnika, partnera i poslovnih subjekata koji koriste naše usluge analize financijskih tržišta temeljene na umjetnoj inteligenciji. Ova Sigurnosna politika opisuje mjere, postupke i standarde koje primjenjujemo kako bismo osigurali povjerljivost, integritet i dostupnost informacija koje obrađujemo.
1. Opseg primjene
Ova politika primjenjuje se na sve sustave, infrastrukturu, aplikacije i procese koji su dio platforme Kokafya, uključujući web sučelje dostupno na domeni kokafya.pro, pozadinske usluge, baze podataka, API sučelja te sve kanale komunikacije s korisnicima. Politika se odnosi na sve zaposlenike, suradnike, dobavljače i treće strane koje imaju pristup našim sustavima ili podacima.
2. Načela sigurnosti
Naš pristup sigurnosti temelji se na sljedećim temeljnim načelima:
Povjerljivost - podaci su dostupni isključivo ovlaštenim osobama i sustavima koji imaju legitimnu potrebu za pristupom.
Integritet - podaci se čuvaju od neovlaštenih izmjena, oštećenja ili gubitka, a sve promjene se bilježe i mogu se pratiti.
Dostupnost - usluge i podaci dostupni su korisnicima u skladu s dogovorenim razinama usluge, uz minimiziranje prekida rada.
Odgovornost - sve aktivnosti unutar sustava su evidentirane i vezane uz odgovornu osobu ili proces.
3. Zaštita infrastrukture
3.1. Mrežna sigurnost
Platforma Kokafya koristi višeslojnu mrežnu arhitekturu koja uključuje vatrozide, sustave za otkrivanje i sprječavanje upada te segmentaciju mreže. Promet između korisnika i naših sustava šifriran je korištenjem TLS protokola verzije 1.2 ili novije. Pristup internim mrežnim resursima ograničen je i kontroliran putem politika minimalnih privilegija.
3.2. Fizička sigurnost
Naši poslužiteljski resursi smješteni su u podatkovnim centrima koji primjenjuju stroge fizičke kontrole pristupa, uključujući nadzor video kamerama, biometrijsku autentifikaciju, kontrolu pristupa karticama te neprekidno praćenje objekata. Pristup fizičkoj infrastrukturi ograničen je isključivo na ovlašteno tehničko osoblje.
3.3. Upravljanje ranjivostima
Provodimo redovite procjene ranjivosti i testove penetracije naših sustava. Otkrivene ranjivosti klasificiraju se prema razini rizika i otklanjaju u skladu s definiranim rokovima: kritične ranjivosti rješavaju se u roku od 24 sata, visoko rizične u roku od 7 dana, a ostale prema planiranom rasporedu održavanja.
4. Kontrola pristupa
4.1. Autentifikacija korisnika
Pristup korisničkim računima zaštićen je sustavom autentifikacije koji podržava višefaktorsku provjeru identiteta. Lozinke se pohranjuju u hashiranom obliku korištenjem kriptografski sigurnih algoritama. Neuspješni pokušaji prijave bilježe se i mogu rezultirati privremenim blokiranjem pristupa radi zaštite od automatiziranih napada.
4.2. Upravljanje privilegijama
Pristup internim sustavima dodjeljuje se prema načelu minimalnih privilegija - svaki korisnik ili proces dobiva isključivo ona prava koja su nužna za obavljanje dodijeljenih zadataka. Administrativni pristup podliježe dodatnim kontrolama i redovitim revizijama. Prava pristupa pregledavaju se i ažuriraju pri svakoj promjeni uloge ili prestanku suradnje.
4.3. Upravljanje sesijama
Korisničke sesije automatski istječu nakon određenog razdoblja neaktivnosti. Sve aktivne sesije mogu se pregledati i prekinuti putem korisničkih postavki računa. Istodobne sesije s različitih lokacija bilježe se u revizijskim zapisima.
5. Šifriranje podataka
Svi osjetljivi podaci šifriraju se i u prijenosu i u pohrani. Za šifriranje podataka u pohrani koristimo industrijski standardne algoritme s ključevima odgovarajuće duljine. Ključevi za šifriranje upravljaju se putem namjenskih sustava za upravljanje ključevima i rotiraju se prema definiranom rasporedu. Sigurnosne kopije podataka također su šifrirane i pohranjuju se na geografski odvojenim lokacijama.
6. Praćenje i revizija
6.1. Zapisivanje aktivnosti
Svi pristupi sustavima, promjene konfiguracije, administrativne radnje i sigurnosni događaji bilježe se u centraliziranom sustavu za upravljanje zapisima. Zapisi se čuvaju u skladu s internim politikama zadržavanja podataka i zaštićeni su od neovlaštenih izmjena.
6.2. Kontinuirano praćenje
Naš tim za sigurnost kontinuirano prati infrastrukturu radi otkrivanja anomalija, neobičnih obrazaca pristupa i potencijalnih sigurnosnih prijetnji. Automatski sustavi upozorenja obavještavaju odgovorni tim o sumnjivim aktivnostima u stvarnom vremenu.
7. Upravljanje sigurnosnim incidentima
Kokafya ima uspostavljen formalni postupak upravljanja sigurnosnim incidentima koji obuhvaća otkrivanje, klasifikaciju, suzbijanje, istragu, otklanjanje i oporavak. U slučaju sigurnosnog incidenta koji bi mogao utjecati na podatke korisnika, obvezujemo se obavijestiti pogođene korisnike u razumnom roku u skladu s primjenjivim propisima. Sve incidente dokumentiramo i analiziramo radi sprječavanja ponavljanja.
8. Sigurnost u razvoju softvera
Sigurnosni zahtjevi integrirani su u sve faze razvoja naše platforme. Primjenjujemo načela sigurnog kodiranja, provodimo preglede koda s naglaskom na sigurnosne aspekte te koristimo automatizirane alate za statičku i dinamičku analizu koda. Sve izmjene prolaze kroz formalni postupak odobravanja prije uvođenja u produkcijsko okruženje.
9. Upravljanje trećim stranama
Dobavljači i poslovni partneri koji imaju pristup našim sustavima ili podacima podliježu sigurnosnoj procjeni prije uspostave suradnje. Ugovornim odredbama obvezujemo ih na primjenu odgovarajućih sigurnosnih mjera sukladnih standardima koje primjenjujemo i mi sami. Pristup trećih strana ograničen je na minimum neophodan za ispunjenje ugovornih obveza i redovito se pregledava.
10. Poslovni kontinuitet i oporavak od katastrofe
Kokafya održava planove poslovnog kontinuiteta i oporavka od katastrofe koji osiguravaju nastavak pružanja usluga u slučaju značajnih prekida. Sigurnosne kopije podataka izrađuju se automatski i redovito, a postupci oporavka testiraju se periodički kako bi se osigurala njihova učinkovitost. Ciljevi oporavka definirani su u skladu s kritičnošću pojedinih usluga.
11. Edukacija i svijest o sigurnosti
Svi zaposlenici i suradnici koji imaju pristup našim sustavima prolaze redovitu obuku iz područja informacijske sigurnosti. Obuka obuhvaća prepoznavanje phishing napada, sigurno rukovanje podacima, politike prihvatljive upotrebe te postupanje u slučaju sigurnosnih incidenata. Znanje se provjerava i osvježava najmanje jednom godišnje.
12. Usklađenost i certificiranje
Naša platforma i interni procesi oblikovani su u skladu s općeprihvaćenim standardima informacijske sigurnosti. Redovito provodimo interne i vanjske revizije kako bismo potvrdili usklađenost s ovom politikom i primjenjivim regulatornim zahtjevima. Rezultati revizija koriste se za kontinuirano unapređenje sigurnosnih mjera.
13. Odgovornost za otkrivanje ranjivosti
Kokafya podupire odgovorno otkrivanje sigurnosnih ranjivosti. Ukoliko otkrijete potencijalnu sigurnosnu ranjivost u našim sustavima, molimo vas da nas kontaktirate putem elektroničke pošte na adresu help@kokafya.pro s opisom nalaza. Obvezujemo se odgovoriti na svaki prijavljeni nalaz u razumnom roku i surađivati s istraživačima na otklanjanju potvrđenih ranjivosti.
14. Izmjene sigurnosne politike
Ova politika podliježe periodičnim pregledima i ažuriranjima kako bi odražavala promjene u tehnologiji, poslovnom okruženju i regulatornim zahtjevima. O značajnim izmjenama obavijestit ćemo korisnike putem platforme ili elektroničke pošte. Nastavak korištenja usluga Kokafya nakon objave izmjena podrazumijeva prihvaćanje ažurirane politike.
15. Kontakt
Za pitanja u vezi s ovom Sigurnosnom politikom ili sigurnošću naše platforme možete nas kontaktirati na sljedeće načine:
| Kanal komunikacije | Podatak |
|---|---|
| Elektronička pošta | help@kokafya.pro |
| Telefon | +385915202118 |
| Adresa | Ul. Šimuna Kožičića Benje, 23000, Zadar, Hrvatska |
Nastojimo odgovoriti na sve upite vezane uz sigurnost u najkraćem mogućem roku, a za hitne sigurnosne slučajeve preporučujemo kontakt putem elektroničke pošte uz jasnu naznaku hitnosti u predmetu poruke.