Sicurezza fisica
La sicurezza fisica influisce sui server nei nostri data center. Per i nostri clienti in Europa, la posizione del server è Meppel, Paesi Bassi.
Centro dati e server
I nostri server si trovano nei data center di Serverius e il backup viene eseguito in strutture separate in Microsoft Azure Clouds. QuestionPro limita l'accesso ai data center ai dipendenti senior in base al principio del privilegio minimo. I data center sono monitorati 24 ore su XNUMX. I visitatori vengono registrati e scortati dal personale del data center. Tutti i visitatori devono indossare badge identificativi. I centri utilizzano guardie di sicurezza, dispositivi di accesso elettronico, dispositivi di accesso biometrico, sistemi di allarme antincendio e sorveglianza CCTV.
Monitoraggio del server
QuestionPro utilizza strumenti di monitoraggio come Nagios, CloudFlare e OSSEC insieme alle capacità di registrazione di Apache Logs, Linux var/log/audit/audit.log e MySQL Statistics. Gli amministratori di sistema possono selezionare eventi specifici da controllare a qualsiasi livello del sistema, inclusi l'accesso interno al sistema, tentativi di autenticazione non riusciti e altri eventi verificabili. Inoltre, questi strumenti consentono il timestamp di tutte le azioni verificabili e la creazione di log di audit.
Conformità del data center
Conformità al data center: Serverius, il data center principale di QuestionPro, è sottoposto a regolari audit ISO 27001. I report di questi audit confermano l'impegno di Serverius nella protezione contro l'accesso non autorizzato e nel garantire la disponibilità continua dei dati. La struttura di backup di QuestionPro, MS Azure, è regolarmente soggetta a audit SSAE 16 SOC 2. Le relazioni di queste due istituzioni possono ovviamente essere visualizzate su richiesta in qualsiasi momento.
.
Accesso e account utente
La sicurezza a livello di account utente descrive le misure per garantire la sicurezza dell'account utente su QuestionPro
Autenticazione utente
Single Sign-On: Single Sign-On (SSO) consente agli utenti QuestionPro di accedere con le credenziali di una intranet aziendale esistente. SAML, Multipass/Token o SSO basato su cookie possono essere utilizzati con i più diffusi sistemi di autenticazione come Active Directory o LDAP per determinare se un utente finale è autenticato.
Doppia verifica opt-in e reCaptcha
QuestionPro offre la possibilità di richiedere la verifica di reCaptcha durante la registrazione dell'utente. reCaptcha impedisce agli script automatici di creare account falsi, il che aumenta notevolmente la sicurezza degli account utente.
Autenticazione del personale
Tutti gli accessi ai server QuestionPro richiedono l'autenticazione a più fattori: chiavi SSH e passphrase. L'accesso all'ambiente di staging è limitato agli sviluppatori, l'accesso all'ambiente di produzione agli amministratori di sistema e l'accesso ai database agli amministratori di sistema senior.
Restrizioni di accesso basate sulla posta elettronica
Con la licenza QuestionPro Academic, i clienti universitari possono limitare la registrazione dell'account utente a persone con domini di indirizzi e-mail universitari, il che facilita l'accesso aumentando la sicurezza dall'uso non autorizzato.
Sicurezza amministrativa
La sicurezza amministrativa riguarda la costituzione di ulteriori conti principali e secondari nonché l'attribuzione di diritti e ruoli
Nome utente e password
Le password devono contenere almeno 8 caratteri e una combinazione di lettere minuscole, maiuscole, numeri e caratteri speciali. Le password facili da indovinare non devono essere utilizzate. I titolari di account devono cambiare le password ogni novanta giorni. Qualsiasi utente connesso viene automaticamente disconnesso dopo 15 minuti di inattività. Tutti i nomi utente non utilizzati vengono disattivati automaticamente dopo sei mesi di inattività.
Principio del minimo privilegio
QuestionPro utilizza il principio del privilegio minimo. I dipendenti qualificati di QuestionPro possono accedere ad aree privilegiate del sistema solo se questo accesso è richiesto per il funzionamento delle funzioni aziendali di QuestionPro, come nel caso del supporto o dei servizi commissionati. L'accesso al sistema è consentito solo a dipendenti adeguatamente qualificati affinché possano svolgere compiti essenziali.
Gestione dell'account utente
QuestionPro offre diritti molto finemente granulati e gestione degli account utente basata sui ruoli per account multiutente. Ciò significa che solo gli amministratori di sistema (proprietari degli account utente principali) possono creare nuovi account principali o secondari e assegnare diritti e ruoli corrispondenti. I diritti e i ruoli degli account secondari possono essere personalizzati, modificati, eliminati o l'accesso limitato in qualsiasi momento..
Sicurezza del server e dell'ambiente di sistema
I nostri server sono protetti in modo ottimale da attacchi esterni (attacchi di hacker) e da accessi non autorizzati. Eseguiamo regolarmente anche scansioni di vulnerabilità e utilizziamo la crittografia SSL, TLS, SSH e SCP
firewall
Tutte le connessioni esterne al sistema QuestionPro finiscono su un firewall iptables/Linux configurato con una regola predefinita "nega tutto". Il traffico in uscita non avviato è limitato alle API esterne e all'SMTP. Il firewall utilizza punti di accesso gestiti non predefiniti per il traffico HTTP, il traffico HTTP crittografato con SSL e il traffico SMTP in uscita.
Protezione extra
Oltre a un firewall, QuestionPro utilizza anche le liste nere IP per bloccare costantemente gli indirizzi IP noti per essere fraudolenti e il controllo dell'integrità OSSEC per rilevare se sono state apportate modifiche non autorizzate al sistema. Inoltre, QuestionPro utilizza il servizio di protezione dei confini CloudFlare per creare confini logici e scongiurare gli attacchi DDoS.
Codifica
Dati in transito: QuestionPro implementa la crittografia SSL, TLS, SSH e SCP per trasmettere i dati in modo sicuro. QuestionPro supporta la crittografia SSL completa e tutti i server di posta sono configurati con TLS. È possibile accedere ai server di sistema solo tramite SSH su una porta non standard. I dati vengono trasferiti al data center di backup tramite SSH con rsync. Dati a riposo: QuestionPro crittografa tutte le password dei clienti e i dati delle carte di credito archiviati nei database di sistema con un processo hash. Quando i clienti utilizzano SSO, le password non vengono archiviate ma autenticate con un token.
Pratiche di sviluppo
Come parte del processo di sviluppo, QuestionPro mantiene ambienti separati per sviluppo, staging, test e produzione in conformità con le migliori pratiche SDLC. L'accesso è riservato agli amministratori di sistema. Tutto il codice di sviluppo viene rivisto da un amministratore senior prima di entrare in produzione. QuestionPro protegge dalle iniezioni SQL attraverso istruzioni preparate, procedure archiviate, evasione dell'input dell'utente e applicazione dei privilegi minimi. QuestionPro combatte lo scripting cross-site attraverso l'escape/codifica corretti, liste nere, scansioni di vulnerabilità e altri metodi.
Configurazione e amministrazione
QuestionPro segue una metodologia di rilascio e manutenzione che include la documentazione, il test e la revisione delle modifiche al sistema. QuestionPro aggiorna prontamente i suoi sistemi operativi del server con le ultime patch e rilascia le versioni di manutenzione almeno settimanalmente. Tutte le applicazioni non essenziali verranno disabilitate per proteggere il sistema dalle minacce.
Scansioni delle vulnerabilità
QuestionPro esegue regolarmente scansioni di vulnerabilità del sistema QuestionPro su tutti i server in tutti i data center. Tutte le vulnerabilità scoperte vengono immediatamente sottoposte a una valutazione del rischio per la sicurezza e immediatamente risolte in base al risultato della valutazione. I rapporti sulla sicurezza PCI sono ovviamente disponibili per la revisione in qualsiasi momento su richiesta.
Fusibile
QuestionPro esegue continuamente backup a caldo disponibili per il ripristino entro due ore. Solo gli amministratori di sistema hanno accesso ai backup e solo ai fini del ripristino del sistema. In nessun caso i backup verranno rimossi dai server o resi accessibili a terzi.
Gruppo di continuità
Failover del server: tutti i server QuestionPro in tutti i data center in tutto il mondo sono senza eccezioni dotati di gruppi di continuità (UPS) per garantire un'alimentazione di emergenza immediata in caso di interruzione di corrente e quindi prevenire il guasto del sistema.
Conformità e conformità
Con la sua piattaforma di ricerca di mercato e gestione dell'esperienza, QuestionPro soddisfa tutti i requisiti regionali e nazionali per la sicurezza dei dati, la protezione dei dati e la conformità specifica.
Conformità al GDPR
QuestionPro è pienamente conforme alle normative sulla protezione dei dati dell'Unione Europea (GDPR) e gli utenti della nostra piattaforma possono creare e inviare sondaggi di raccolta dati conformi al GDPR. Per supportare questo processo, abbiamo messo in atto un sofisticato processo che garantisce che tutti i dati raccolti utilizzando la nostra piattaforma siano completamente conformi al GDPR, inclusa la portabilità dei dati, la privacy, il consenso e altre funzionalità di conformità.
ISO 9001 e ISO 14001
QuestionPro è un'azienda certificata ISO 27001:2013. ISO 27001 è uno standard internazionale riconosciuto a livello mondiale per la gestione dei rischi per la sicurezza delle informazioni. Abbiamo tutte le serie di requisiti standardizzati per un sistema di gestione della sicurezza delle informazioni (ISMS). Come parte di questi standard, adottiamo un approccio basato sui processi per impostare, implementare, far funzionare, monitorare, mantenere e migliorare i nostri sistemi.
Sezione 508 Conformità
Sondaggi, studi di ricerche di mercato e analisi dei punti di contatto creati con QuestionPro sono conformi alla Sezione 508 (Linee guida federali per l'accessibilità degli Stati Uniti). I sondaggi online e i questionari creati sulla piattaforma QuestionPro sono conformi per le persone con disabilità fisiche.
Conformità FERPA (si applica agli USA)
QuestionPro si impegna a rispettare le disposizioni del Family Education Rights and Privacy Act. Ci assicuriamo che tutti i nostri clienti seguano lo stesso codice di condotta. Per garantire il rispetto delle linee guida FERPA, seguiamo un rigido protocollo amministrativo e tecnico.
Le tue domande sulla sicurezza di QuestionPro
Saremo lieti di rispondere a tutte le tue domande sulle nostre misure di sicurezza per proteggere i tuoi dati e il tuo account utente come parte di una consultazione online dal vivo 1:1
