Bezpieczeństwo danych
Bezpieczeństwo danych w mTrip
Bezpieczeństwo danych w mTrip obejmuje hosting w Amazon Web Services, kontrolowany dostęp, szyfrowanie, kopie zapasowe, płatności kartą i usuwanie danych. Niezależna firma testuje platformę i aplikacje mobilne co najmniej raz w roku, a mTrip co najmniej raz w roku przegląda swoje polityki bezpieczeństwa.
Certyfikat Cyber Essentials
Ważny do 30 października 2027. Zobacz certyfikat
Trust Center
Klienci: dokumenty dotyczące bezpieczeństwa znajdą Państwo w Trust Center
Trust Center mTrip jest przeznaczone dla klientów mTrip. Zawiera polityki i dokumenty dotyczące bezpieczeństwa, dlatego warto od niego zacząć przy weryfikacji dostawcy.
Certyfikacja
Certyfikat Cyber Essentials
mTrip Inc posiada certyfikat Cyber Essentials, czyli program wspierany przez rząd Wielkiej Brytanii, który chroni przed najczęstszymi cyberatakami. Konsorcjum IASME certyfikowało mTrip 30 października 2026, a certyfikat jest ważny do 30 października 2027. Obejmuje on całą organizację. Ten poziom Cyber Essentials opiera się na samoocenie.
Najważniejsze informacje
Bezpieczeństwo danych w czterech punktach
Hosting w AWS, bez dostępu pracowników do serwerów
Dane klientów europejskich są hostowane we Frankfurcie, a przesłane pliki w Londynie. Dane pozostałych klientów są hostowane w Północnej Wirginii. Pracownicy mTrip nie mają fizycznego dostępu do infrastruktury.
Szyfrowanie w transmisji i w spoczynku
Ruch sieciowy korzysta z TLS 1.2 lub nowszego. Bazy danych, magazyn plików i kopie zapasowe są szyfrowane algorytmem AES-256, a aplikacja dodatkowo szyfruje najbardziej wrażliwe dane podróżnych.
Codzienne kopie zapasowe, odtwarzanie testowane co roku
Produkcyjne bazy danych są kopiowane codziennie, z możliwością odtworzenia stanu z dowolnego momentu w ciągu 7 dni. Kopie są replikowane do drugiego regionu AWS i zabezpieczone przed usunięciem.
Coroczne testy niezależnej firmy
Niezależna firma testuje platformę i aplikacje mobilne co najmniej raz w roku, a mTrip co najmniej raz w roku przegląda swoje polityki bezpieczeństwa.
Ochrona wielowarstwowa
Warstwy ochrony, od krawędzi sieci po kopię zapasową
Infrastruktura
Bezpieczeństwo danych: hosting i kopie zapasowe
Hosting
Hosting w Amazon Web Services
AWS · Frankfurt · Londyn · Północna Wirginia
- Platforma mTrip działa w Amazon Web Services (AWS).
- Dane klientów z Europy są hostowane we Frankfurcie w Niemczech, a przesłane przez nich pliki są przechowywane w Londynie w Wielkiej Brytanii.
- Dane pozostałych klientów są hostowane w Północnej Wirginii w Stanach Zjednoczonych.
- AWS posiada certyfikaty SOC 1, SOC 2, SOC 3, ISO 27001 i PCI DSS (zob. zgodność AWS).
- Te certyfikaty należą do AWS. Pracownicy mTrip nie mają fizycznego dostępu do infrastruktury.
Kopie zapasowe
Codzienne szyfrowane kopie zapasowe, testowane co roku
Codziennie · odtwarzanie z 7 dni · Drugi region AWS
- mTrip codziennie tworzy kopie zapasowe produkcyjnych baz danych i umożliwia odtworzenie danych z dowolnego momentu z ostatnich 7 dni.
- Kopie są szyfrowane, kopiowane do drugiego regionu AWS i chronione przed usunięciem.
- Odtworzenie danych z kopii jest testowane co najmniej raz w roku.
Dostęp
Dostęp, logowanie i szyfrowanie
Dostęp
Kontrolowany dostęp i monitorowanie
SSO · MFA · Zapora aplikacji internetowych
- Dostęp do środowiska produkcyjnego odbywa się przez jednokrotne logowanie (SSO) z uwierzytelnianiem wieloskładnikowym, a mTrip rejestruje każdą czynność administracyjną.
- Ruch publiczny przechodzi przez zaporę aplikacji internetowych z limitowaniem liczby żądań i regułami chroniącymi przed typowymi atakami.
- Wykrywanie zagrożeń działa w sposób ciągły na koncie produkcyjnym.
Logowanie
Logowanie administratorów i hasła
bcrypt · Limitowanie prób · Blokada po 5 próbach
- Konta administratorów na platformie internetowej mTrip logują się za pomocą jednorazowego kodu wysyłanego e-mailem lub przez własne jednokrotne logowanie (SSO) klienta. mTrip przechowuje hasła w postaci skrótów bcrypt, limituje liczbę prób logowania i blokuje konto po 5 nieudanych próbach.
Szyfrowanie
Szyfrowanie danych przesyłanych i przechowywanych
TLS 1.2+ · AES-256 · Na poziomie pól
- Ruch do platformy internetowej mTrip i jej interfejsów API korzysta z TLS 1.2 lub nowszego. mTrip szyfruje bazy danych, magazyn plików i kopie zapasowe algorytmem AES-256.
- Aplikacja szyfruje też najbardziej wrażliwe dane podróżnych, takie jak adres e-mail, numer telefonu, data urodzenia i numery rezerwacji.
Ludzie
Pracownicy, urządzenia i przeglądy dostępów
Pracownicy
Świadomość zagrożeń i poufność
Podpisywana polityka
- Pracownicy podpisują politykę cyberbezpieczeństwa mTrip.
- Obejmuje ona dane poufne, dane klientów, urządzenia prywatne, bezpieczeństwo poczty e-mail, hasła i przesyłanie danych.
- Przestrzega jej każdy, kto ma dostęp do systemów mTrip, także dostawcy i partnerzy, a jej naruszenie skutkuje postępowaniem dyscyplinarnym.
Urządzenia
Bezpieczeństwo urządzeń
Zapora macOS · Ochrona przed złośliwym oprogramowaniem · Blokada po 15 minutach
- Pracownicy mTrip pracują na laptopach Mac.
- Zapora macOS jest włączona, wbudowana ochrona Apple przed złośliwym oprogramowaniem (XProtect i Gatekeeper) również, a każde urządzenie blokuje się hasłem po co najwyżej 15 minutach bezczynności.
Kontrola dostępu
Dostęp oparty na rolach i przeglądy dostępów
Minimalne uprawnienia · Przeglądy co 6 miesięcy · Przegląd kont administratorów dwa razy w roku
- mTrip przyznaje dostęp zgodnie z zasadą minimalnych uprawnień.
- Każdy wniosek o dostęp zatwierdzają dział IT oraz przełożony wnioskującego, a każde konto jest indywidualne i ma własne dane logowania.
- Dostęp jest odbierany, gdy ktoś odchodzi z firmy, a mTrip przegląda dostępy co najmniej raz na sześć miesięcy.
- Konta administratorów są przeglądane dwa razy w roku, a administratorzy do zadań administracyjnych używają osobnego konta.
- Uwierzytelnianie wieloskładnikowe jest obowiązkowe dla wszystkich użytkowników usług chmurowych mTrip (Google Workspace, AWS, Asana i Pipedrive).
Weryfikacja
Testy, wdrożenia i reagowanie na incydenty
Weryfikacja
Niezależne testy i przeglądy polityk
Niezależna firma · Co najmniej raz w roku
- Niezależna firma testuje platformę i aplikacje mobilne co najmniej raz w roku. mTrip przegląda swoje polityki bezpieczeństwa co najmniej raz w roku.
Bezpieczeństwo wdrożeń
Ocena podatności przed wdrożeniem
OWASP Testing Guide · OWASP Top Ten
- Polityka bezpieczeństwa aplikacji internetowych mTrip wymaga oceny bezpieczeństwa przed uruchomieniem nowej lub dużej wersji, zgodnie z OWASP Testing Guide.
- Mniejsze wersje przechodzą co najmniej automatyczne skanowanie pod kątem ryzyk z OWASP Top Ten. mTrip naprawia luki wysokiego ryzyka od razu lub ogranicza ekspozycję przed wdrożeniem, a luki średniego ryzyka umieszcza w harmonogramie.
Zarządzanie zmianami
Bezpieczne tworzenie oprogramowania i zarządzanie zmianami
Kontrola zmian · Terraform · CI/CD
- Zmiany przechodzą przez udokumentowany proces kontroli zmian i system kontroli wersji. mTrip definiuje infrastrukturę jako kod w Terraform, a aplikacja działa w kontenerach, które mTrip przebudowuje i ponownie wdraża w potoku CI/CD przy każdej wersji.
Reagowanie na incydenty
Reagowanie na incydenty i sposób ich zgłaszania
Zespół reagowania · Pisemna procedura
- mTrip ma pisemną procedurę zarządzania incydentami i reagowania na nie oraz zespół reagowania na incydenty.
- Procedura obejmuje zgłaszanie, powstrzymanie incydentu, zabezpieczenie dowodów, przywrócenie działania i przegląd po incydencie.
- Aby zgłosić podejrzenie incydentu bezpieczeństwa, prosimy napisać na adres [email protected].
- Wiadomość powiadamia zespół wsparcia i staje się pierwszym zapisem incydentu.
- Gdy incydent dotyczy klientów, mTrip ich o tym informuje.
Dane
Ciągłość działania, usuwanie danych i płatności kartą
Ciągłość działania
Ciągłość działania i odtwarzanie po awarii
Plan ciągłości działania · Plan odtwarzania
- mTrip prowadzi plan ciągłości działania oraz plan odtwarzania po awarii.
- Wszyscy pracownicy pracują zdalnie, więc nie ma potrzeby przenoszenia biura, a krytyczne systemy mTrip działają w chmurze.
Usuwanie danych
Usuwanie danych po zakończeniu umowy
Procedura zakończenia współpracy
- Po zakończeniu umowy mTrip usuwa dane klienta zgodnie z procedurą zakończenia współpracy z klientem.
Płatności kartą
Dane kart płatniczych obsługuje dostawca z certyfikatem PCI DSS
PCI Booking · Conferma · Tylko token
- Numery kart są wprowadzane bezpośrednio w bezpiecznym formularzu karty PCI Booking, dostawcy z certyfikatem PCI DSS. mTrip przechowuje wyłącznie token oraz zamaskowany numer karty (pierwsze sześć i ostatnie cztery cyfry).
- mTrip nigdy nie przechowuje pełnych numerów kart ani kodów zabezpieczających.
- Karty wirtualne wydane przez Conferma mogą być wyświetlane podróżnym w aplikacji.
- Obrazy kart dostarcza Conferma, a mTrip nie przechowuje danych kart.
Pytania zespołów ds. bezpieczeństwa
Najczęściej zadawane pytania
Hosting i certyfikacja
Co mTrip robi dla bezpieczeństwa danych?
mTrip hostuje platformę w Amazon Web Services, szyfruje przesyłane i przechowywane dane, kontroluje i rejestruje dostęp administracyjny, codziennie wykonuje kopie zapasowe produkcyjnych baz danych, a numery kart powierza dostawcy z certyfikatem PCI DSS. Niezależna firma testuje platformę i aplikacje mobilne co najmniej raz w roku.
Gdzie mTrip hostuje dane klientów?
W Amazon Web Services. Dane klientów z Europy są hostowane we Frankfurcie w Niemczech, a przesłane pliki są przechowywane w Londynie w Wielkiej Brytanii. Dane pozostałych klientów są hostowane w Północnej Wirginii w Stanach Zjednoczonych.
Jakie certyfikaty obowiązują?
mTrip Inc posiada certyfikat Cyber Essentials, wydany przez IASME Consortium 30 października 2026 r. i ważny do 30 października 2027 r. Obejmuje on całą organizację (w trybie samooceny). AWS posiada certyfikaty SOC 1, SOC 2, SOC 3, ISO 27001 i PCI DSS dla infrastruktury, na której działa mTrip. Numery kart obsługuje PCI Booking, dostawca z certyfikatem PCI DSS. W Trust Center klienci mTrip znajdą polityki i dokumenty dotyczące bezpieczeństwa.
Ochrona danych
Czy dane są szyfrowane?
Tak. Ruch do platformy i jej API korzysta z TLS 1.2 lub nowszego. mTrip szyfruje bazy danych, przestrzeń na pliki i kopie zapasowe w spoczynku algorytmem AES-256, a aplikacja dodatkowo szyfruje adres e-mail, numer telefonu, datę urodzenia i numery rezerwacji.
Czy mTrip przechowuje numery kart kredytowych?
Nie. Numery kart trafiają bezpośrednio do bezpiecznego formularza karty PCI Booking, dostawcy z certyfikatem PCI DSS. mTrip przechowuje wyłącznie token i zamaskowany numer karty, a pełnych numerów kart ani kodów zabezpieczających nie zapisuje nigdy.
Jak często wykonywane są kopie zapasowe i czy testuje się ich odtwarzanie?
mTrip codziennie wykonuje kopie zapasowe produkcyjnych baz danych, z możliwością odtworzenia stanu z dowolnego momentu z ostatnich 7 dni. Kopie są szyfrowane, kopiowane do drugiego regionu AWS i chronione przed usunięciem. mTrip testuje odtwarzanie danych co najmniej raz w roku.
Co dzieje się z naszymi danymi po zakończeniu umowy?
mTrip usuwa dane klienta zgodnie z procedurą zakończenia współpracy z klientem.
Dostęp, testy i reagowanie
Jak administratorzy logują się do platformy internetowej mTrip?
Za pomocą jednorazowego kodu wysyłanego e-mailem lub przez własne logowanie jednokrotne (single sign-on) klienta. mTrip blokuje konto po 5 nieudanych próbach logowania.
Czy mTrip jest testowany przez niezależną firmę?
Tak. Niezależna firma testuje platformę i aplikacje mobilne co najmniej raz w roku, a mTrip przegląda swoje polityki bezpieczeństwa co najmniej raz w roku.
Jak zgłosić mTrip incydent bezpieczeństwa?
Prosimy napisać na adres [email protected]. Wiadomość powiadamia zespół wsparcia i staje się pierwszym zapisem incydentu.
Czy mTrip ma plan reagowania na incydenty i plan odtwarzania po awarii?
Tak. mTrip ma pisemną procedurę zarządzania incydentami i reagowania na nie, z zespołem reagowania na incydenty, a także plan zapewnienia ciągłości działania i plan odtwarzania po awarii.
Proszę sprawdzić szczegóły i porozmawiać z zespołem
Trust Center jest przeznaczone dla klientów mTrip i zawiera polityki oraz dokumenty dotyczące bezpieczeństwa. W pozostałych sprawach prosimy zapytać podczas demo. Proszę zobaczyć też politykę prywatności.