Securitate și conformitate

Securitatea este parte din definiția noastră de „gata”, nu o etapă separată la finalul proiectului. Pagina de față descrie practicile pe care le aplicăm intern și pe care le putem documenta contractual pentru clienți.

1. Dezvoltare sigură

• Analiză statică obligatorie (PHPStan la nivel maxim) și verificare de stil în fiecare pull request.
• Review obligatoriu de la un al doilea inginer; nimeni nu își aprobă propriile modificări.
• Scanarea automată a dependențelor pentru vulnerabilități cunoscute, la fiecare build și zilnic pe ramura principală.
• Teste automate pentru fluxurile critice, cu prag minim de acoperire agreat per proiect.
• Secrete gestionate exclusiv prin variabile de mediu sau seifuri criptate, niciodată în repository.

2. Infrastructură

• Trafic criptat TLS 1.3, cu HSTS activat și redirecționare forțată către HTTPS.
• Separare completă între mediile de dezvoltare, staging și producție, cu conturi distincte.
• Infrastructură descrisă ca și cod, astfel încât orice mediu poate fi recreat identic.
• Copii de siguranță zilnice, criptate, cu testare de restaurare trimestrială.
• Monitorizare și alertare 24/7 pentru disponibilitate, latență și erori aplicative.

3. Controlul accesului

• Autentificare cu factor dublu obligatorie pentru toate conturile interne.
• Principiul privilegiului minim: accesul la mediile de producție se acordă nominal și pe durată limitată.
• Jurnalizarea operațiunilor administrative și revizuirea trimestrială a drepturilor.
• Revocarea automată a accesului în ziua încheierii colaborării cu un membru al echipei.

4. Conformitate și protecția datelor

Aliniem procesele la cerințele GDPR și la controalele din ISO/IEC 27001. Pentru clienții din sectorul financiar sau medical implementăm cerințe suplimentare (PSD2, DORA, cerințe de audit intern) stabilite în faza de descoperire. Semnăm acorduri de prelucrare a datelor și acorduri de confidențialitate înainte de accesul la orice sistem al clientului.

5. Gestionarea incidentelor

Avem o procedură documentată de răspuns la incidente, cu roluri alocate, canal de comunicare dedicat și timp de răspuns de 4h pentru severitatea critică. Clienții afectați sunt notificați în maximum 24 de ore de la confirmarea unui incident de securitate, iar analiza post-incident este livrată în scris în termen de cinci zile lucrătoare.

6. Raportarea unei vulnerabilități

Dacă ai identificat o problemă de securitate în sistemele noastre sau în cele pe care le operăm, scrie-ne la contact@nextlevelsoft.ro cu subiectul „Security”. Confirmăm primirea în 24 de ore și te ținem la curent până la remediere. Îți cerem să nu accesezi date care nu îți aparțin și să ne acorzi un termen rezonabil de remediere înainte de o eventuală publicare.