Security

Řízení přístupů

• Všechny entity v systému mají přidělený jedinečný identifikátor, díky kterému lze veškeré aktivity s danou entitou spárovat.
• Na úrovni aplikace lze řídit oprávnění prostřednictvím org.jednotek, rolí a kompetencemi (skupinami rolí), případně lze do aplikace role importovat přímo z AD.
• TAS podporuje AD pro synchronizaci a autentizaci uživatelů.
• Nastavení hesel se řídí nastavenými pravidly v AD, případně lze pravidla konfigurovat pro interní systém autentizace.
• Každý uživatel a administrátor má přidělená pouze nezbytná přístupová práva, tzn. je oddělené právo pro zadavatele, schvalovatele, apod.

Software

• Není v rozporu s provozuschopností aplikace nainstalovat agenta pro detekci a odstranění škodlivých programů, který bude nejméně jednou denně aktualizován
• Standartní cyklus vydávání hlavních verzí je 3 měsíce. V případě kritických oprav jsou přednostně vydávány releasy v týdenním cyklu
• TAS je prověřitelný z hlediska možných zranitelností
• Vzdálené spuštění kódu ze zdroje mimo jeho prostředí není možné

Všechny vysoké a kritické zranitelnosti (dle CVE score) přednostně řešíme. Aktuálně však nelze například vyřešit zranitelnosti některých používaných závislostí, neboť aktualizace s opravou nejsou kompatibilní s aplikací.

Důvěrnost a integrita

• Databázovou vrstvu aplikace TAS zajišťuje MSSQL server, který nativně zajišťuje důvěryhodnost a integritu dat např. pomocí autentizace, autorizace, transakčnímu zpracování a šifrování
• Aplikace TAS podporuje MSSQL s šifrovanou komunikací
• Důvěrnost a integrita dat i při zálohování a archivaci, a to jak při vlastním procesu, tak i následně vzhledem k médiím, na nichž jsou zálohy a archivní data uloženy vyjma zásahů a úprav realizovaných administrátory DB, je řešená na úrovni databázového serveru

Auditovatelnost a nepopiratelnost

• Všechny změny v procesech a datech lze auditovat v rámci aplikační vrstvy
• Aplikace obsahuje volitelnou automatizaci exportu logů do SIEM
• Je logován start aplikace a ukončení vícero úrovních (aplikační, OS log)
• Je logováno přihlášení a odhlášení uživatelů a administrátorů, a to včetně neúspěšných pokusů

Záznamy o činnosti systému jsou řešeny na několika úrovních a každá vrstva řeší danou problematiku odlišně. Zajištění principů (integrita, prokazatelnost, nepopiratelnost) není stoprocentně naplněno na každé úrovni

Kryptografické prostředky

• V současné době aplikace podporuje pouze šifrování kryptografickou metodou na úrovni přikládaných datových souborů uživateli systému, nikoliv pro všechny zpracovávaná data

Zálohování a obnova

• TAS umožňuje průběžné i dávkové zálohování všech dat, která jsou dotčena užíváním, tedy nejen těch, která jsou uložena v databázi ale současně i dalších nastavení a konfigurací, která vznikají a jsou modifikována v průběhu užívání.

Lze zálohovat konfigurace, data na úrovni DB serveru a přiložené datové soubory.