Kebijakan Keamanan

Ini adalah Kebijakan Keamanan Mitra untuk Estimojo. Aplikasi dibangun di Atlassian Forge: berjalan sepenuhnya di dalam situs Atlassian Cloud Anda, tidak meminta izin egress sama sekali, dan Bomdisoft tidak mengoperasikan server apa pun yang menerima atau menyimpan data Anda. Halaman ini menjelaskan cara kami mengamankan aplikasi serta proses yang membangun dan merilisnya.

Arsitektur dan hosting

Semua kode Estimojo berjalan di runtime Forge milik Atlassian, di dalam situs Jira Anda. Data berada di Forge Key-Value Storage pada infrastruktur Atlassian, dienkripsi saat transit dan saat diam oleh Atlassian. Bomdisoft tidak mengoperasikan server, basis data, atau layanan pihak ketiga yang menyentuh data pelanggan; situs web ini adalah situs pemasaran terpisah dan tidak menyimpan apa pun.

Detail platform

Estimojo menyimpan data secara berbeda di setiap platform tempatnya berjalan. Semua platform yang didukung Estimojo tercantum di sini, mana pun yang Anda pakai.

Keamanan data dan isolasi penyewa

Penyimpanan Forge dibatasi per pemasangan, sehingga setiap situs pelanggan diisolasi oleh platform itu sendiri. Bomdisoft tidak punya mekanisme untuk membaca data situs Anda: tanpa pintu belakang admin, tanpa telemetri, tanpa salinan di luar Atlassian. Apa yang disimpan dan cara menghapusnya terdokumentasi di kebijakan privasi.

Kebijakan Privasi →

Kontrol akses

Menerapkan dan mengelola aplikasi melalui konsol developer Atlassian dan pipeline CI kami dibatasi untuk insinyur Bomdisoft yang ditunjuk, dengan autentikasi multifaktor di akun mereka. Rilis mencapai produksi hanya melalui pipeline itu; tidak ada seorang pun di Bomdisoft yang memegang akses tetap ke situs pelanggan atau data mereka.

Pengembangan aman

Setiap perubahan berada dalam kontrol versi dan harus lulus pemeriksaan tipe otomatis, analisis statis, dan seluruh rangkaian uji di CI sebelum dirilis. Dependensi dipatok oleh lockfile. Rilis melewati lingkungan pengembangan dan staging terpisah sebelum produksi.

Manajemen kerentanan

Dependensi dipindai terus-menerus: Snyk menganalisis perubahan menuju rilis, Dependabot mengusulkan pembaruan dengan irama bulanan, dan kami memantau advisori keamanan. Setiap platform host menambal runtime-nya sendiri. Begitu kami mengonfirmasi kerentanan, target kami:

• Tingkat kritis: perbaikan atau mitigasi dalam 7 hari.
• Tingkat tinggi: perbaikan dalam 30 hari.
• Tingkat sedang dan rendah: perbaikan dalam 90 hari atau rilis terjadwal berikutnya.

Insiden keamanan

Jika kami mengetahui insiden keamanan, kami melakukan triase dan penahanan, menyelidiki akar penyebab, dan menutup dengan tinjauan pascainsiden. Pelanggan yang datanya terdampak diberi tahu tanpa penundaan yang tidak semestinya, paling lambat 72 jam setelah kami mengonfirmasi insiden, beserta apa yang terjadi dan apa yang kami lakukan. Insiden tingkat platform ditangani berkoordinasi dengan Atlassian.

Melaporkan kerentanan

Menemukan sesuatu? Email support@bomdisoft.com dengan "Security" pada subjek dan kami akan mengonfirmasi dalam dua hari kerja. Kami menyambut riset dengan iktikad baik dan tidak akan menuntut peneliti yang melapor secara bertanggung jawab; mohon hindari mengakses data yang bukan milik Anda dan beri kami waktu wajar untuk memperbaiki sebelum diungkap.

Tanggung jawab bersama

Atlassian mengamankan platform Forge: infrastruktur, sandbox runtime, penyimpanan, dan enkripsi, di bawah program keamanannya sendiri. Bomdisoft mengamankan yang kami kendalikan: kode aplikasi, izinnya, dan proses yang membangun serta merilisnya. Desain nol-egress mengikat keduanya sehingga data Anda tidak pernah meninggalkan situs Anda.

Kontak

Ada pertanyaan tentang kebijakan ini? Email support@bomdisoft.com.