Bảo mật

Hồ sơ vật nuôi, nhật ký điều trị và lịch sử các chuyến xe là dữ liệu trọng yếu đối với hoạt động kinh doanh. Trang này mô tả cách Mule bảo vệ các hệ thống mà Mule xây dựng và vận hành. Khách hàng nhận được đầy đủ các biện pháp trong DPA của mình và có thể đặt câu hỏi về bảo mật bất kỳ lúc nào.

1. Nguyên tắc

• Dữ liệu của bạn, theo quy tắc của bạn. Hệ thống của khách hàng được lưu trữ tại EU hoặc Hoa Kỳ, theo lựa chọn của khách hàng. Mule Portal chạy tại EU (Frankfurt) trên một cơ sở dữ liệu dùng chung, trong đó mọi thao tác đọc và ghi đều được ứng dụng giới hạn trong tổ chức của khách hàng.
• Quyền truy cập tối thiểu cần thiết. Nhân sự và người dùng chỉ được cấp quyền truy cập mà vai trò của họ cần. Quyền hạn được kiểm tra trên máy chủ ở mọi yêu cầu, không chỉ trong giao diện.
• Hồ sơ có thể chứng minh. Các hồ sơ quan trọng như chuyến xe, điều trị và chữ ký chỉ được ghi bổ sung (append-only), kèm thời gian thiết bị và thời gian máy chủ, nên mọi thay đổi đều để lại dấu vết.

2. Truy cập

• Xác thực đa yếu tố cho mọi tài khoản nhân sự Mule và cho các vai trò chủ sở hữu và thanh toán của khách hàng trong Portal.
• Quyền truy cập vào môi trường vận hành chính thức (production) được ghi nhật ký và được thu hồi trong vòng 1 ngày làm việc kể từ khi thay đổi vai trò.
• Không có tài khoản dùng chung.

3. Bảo vệ dữ liệu

• TLS 1.2 trở lên cho mọi lưu lượng; mã hóa khi lưu trữ do các nhà cung cấp dịch vụ lưu trữ và cơ sở dữ liệu của chúng tôi thực hiện.
• Thông tin bí mật được lưu trong kho quản lý chuyên dụng, không bao giờ nằm trong mã nguồn hoặc tin nhắn trò chuyện.
• Bản sao lưu được mã hóa hằng ngày, với việc khôi phục được kiểm thử ít nhất 6 tháng một lần.
• Các ứng dụng dùng tại trại có khả năng hoạt động ngoại tuyến lưu một hàng đợi cục bộ được mã hóa và đồng bộ khi có lại kết nối.

4. Xây dựng phần mềm

• Rà soát mã nguồn cho mọi thay đổi, quét các thư viện phụ thuộc và quét thông tin bí mật, tách biệt môi trường staging và production.
• Không sử dụng dữ liệu cá nhân production chưa được che trong môi trường phát triển.
• Các bản cập nhật bảo mật cho framework và thư viện phụ thuộc được áp dụng hằng tháng, và các bản vá nghiêm trọng được áp dụng sớm nhất có thể trên thực tế, theo mọi gói phí duy trì hằng tháng (retainer).

5. Trang web

• Các header bảo mật nghiêm ngặt, bao gồm Content Security Policy, HSTS và bảo vệ chống nhúng khung (frame protection).
• Không có tập lệnh tùy chọn nào của bên thứ ba được tải trước khi có sự đồng ý.

6. Sự cố

Mule duy trì một kế hoạch ứng phó sự cố bằng văn bản. Khách hàng được thông báo về vi phạm dữ liệu cá nhân ảnh hưởng đến dữ liệu của mình không chậm trễ quá mức và trong vòng 48 giờ kể từ khi Mule biết được vi phạm đó.

7. Chứng nhận

Hiện tại Mule chưa có chứng nhận ISO 27001 hoặc SOC 2. Chúng tôi chỉ công bố một chứng nhận tại đây sau khi chứng nhận đó được cấp.

8. Báo cáo lỗ hổng

Xem Công bố lỗ hổng có trách nhiệm và tệp security.txt của chúng tôi.