Jak dbamy o bezpieczeństwo infrastruktury i danych
Bezpieczeństwo to nie checkbox na końcu projektu — wbudowujemy je w sposób, w jaki projektujemy, wdrażamy i utrzymujemy infrastrukturę od pierwszego dnia.
Zarządzanie sekretami
Sekrety trzymamy w dedykowanym menedżerze sekretów — nigdy w repozytorium kodu, na czacie ani w przypadkowo commitowanym pliku .env. Dostęp jest przypisany per inżynier i rotowany po zakończeniu współpracy.
Kontrola dostępu i ślad audytowy
Dostęp każdego inżyniera jest ograniczony do tego, czego wymaga zlecenie, logowany i przeglądany — bez współdzielonych kont root, bez stałego dostępu admina „na wszelki wypadek".
NDA i poufność domyślnie
Zlecenia prowadzimy pod NDA, gdy tylko jest to potrzebne — to standardowa praktyka, nie specjalna przysługa.
Infrastruktura jako kod
Każda zmiana w infrastrukturze produkcyjnej przechodzi przez system kontroli wersji i code review, więc zawsze istnieje ślad audytowy — kto, co i dlaczego zmienił.
Obsługa incydentów
W modelu retainer incydenty przechodzą przez zdefiniowany proces — triage, mitygacja, przyczyna źródłowa, pisemny post-mortem. Nic nie jest naprawiane po cichu i zapominane.
Dane w pierwszej kolejności w UE
Działamy z Polski, domyślnie zgodnie z unijnymi oczekiwaniami ochrony danych (RODO) — rezydencja danych i miejsce przetwarzania są częścią każdej rozmowy o architekturze, nie refleksją po fakcie.