ISO/IEC 27001:2022
Система управления информационной безопасностью сертифицирована аудитором Bureau Veritas. Область охватывает всю платформу, включая инфраструктуру и процессы разработки.
Безопасность · Compliance
Защита данных уровня государственного банка
Statch хранит и пересылает финансовые метрики с тем же уровнем шифрования, контроля доступа и аудита, который требуется для критически важной инфраструктуры. Мы не просим доверять на слово — мы показываем, как устроена защита.
4 сертификата подтверждают соответствие требованиям регуляторов
security.posture / audit
АУДИТ
Шифрование
AES-256
в покое + в транзите
Регионы
2 DC
Москва · СПб
Аудит-лог
365 дн
полная история
ISO 27001 · PCI DSS 4.0сертифицированоQ2 2025
Федеральный закон 152-ФЗсоответствует100%
Pentest (внешний, Red Line)в работе0 критич.
Шифрование
End-to-end для всех данных
Каждый байт, который проходит через Statch, зашифрован — и на пути к серверу, и на диске, и в архиве. Мы не оставляем «слепых зон», в которых данные могли бы оказаться в открытом виде.
Ключи шифрования генерируются в HSM и ротируются автоматически каждые 90 дней. Доступ к ним имеет не более трёх человек.
Данные в транзите защищены TLS 1.3 с принудительным forward secrecy. При передаче между торговыми системами, банком и нашим кластером используются только современные алгоритмы, а устаревшие (TLS 1.0/1.1, RC4, DES) отключены на уровне сети.
В покое метрики, журналы и контрольные суммы хранятся в шифрованном виде с AES-256-GCM. Даже при физической потере носителя без ключа из HSM восстановить данные невозможно. Ключи никогда не покидают защищённое аппаратное окружение.
Соответствие стандартам
ISO 27001, PCI DSS и 152-ФЗ — не декларация, а практика
Каждый стандарт, который мы упоминаем, подтверждён независимой сертификацией и ежегодным аудитом. Ниже — список и статусы, которые вы можете запросить в виде официальных документов.
PCI DSS 4.0
Соответствие требованиям по хранению и обработке платёжных данных подтверждено ежеквартальными ASV-сканированиями и ежегодным ROC. Валидация проведена Level 1.
Федеральный закон 152-ФЗ
Персональные данные российских резидентов обрабатываются исключительно на территории РФ, с учётом требований Роскомнадзора. Ведётся реестр и журнал обработки.
SOC 2 Type II
Независимый аудит контроля безопасности, доступности и конфиденциальности за период 12 месяцев. Отчёт доступен клиентам по запросу под NDA.
185-ФЗ о персональных данных в облаке
Хостинг-провайдер и все сервисы, участвующие в обработке, аккредитованы и прошли проверку соответствия требованиям по локализации.
Внутренняя политика безопасности
Реестр угроз, матрица рисков, план реагирования на инциденты и регламенты доступа — доступны вашему compliance-команде в рамках DPA.
Показатели безопасности
Как выглядит защита в цифрах
256-bit
шифрование данных в покое (AES-256-GCM)
90дн
максимальный срок ротации ключей в HSM
0
критических уязвимостей в последнем внешнем pentest
365дн
хранение неизменяемых логов аудита
Георасположение
Данные хранятся в Москве и Санкт-Петербурге
Два собственных дата-центра в разных регионах России, с географически распределённой репликацией и автоматическим переключением при сбое.
RTO < 15 минут · RPO < 5 минут · SLA 99,98% за последние 12 месяцев.
Первичный кластер размещён в Москве (ЦОД «Технопарк», Tier III+), резервный — в Санкт-Петербурге (ЦОД «Башня на Неве», Tier III+). Данные реплицируются между ними в реальном времени, а при потере одного узла обслуживание продолжается без остановки.
Физическая безопасность включает многоуровневый контроль доступа, видеонаблюдение 24/7, биометрическую идентификацию персонала и регулярные проверки периметра. Доступ к серверным залам возможен только по аккредитации и в сопровождении.
Доступ и аутентификация
MFA, SSO и ролевые права — по умолчанию
Каждый вход в систему проходит через многофакторную аутентификацию. Права наглядно привязаны к ролям, а каждое действие фиксируется в журнале.
Обязательная MFA
Поддержка TOTP, FIDO2/WebAuthn и аппаратных ключей YubiKey. Пароль — только первый фактор, а не единственный.
SSO и SCIM
Интеграция с Okta, Azure AD, Google Workspace и Keycloak. Синхронизация пользователей и ролей через SCIM без ручного управления.
Ролевые права (RBAC)
Готовые профили — администратор, аналитик, аудитор, viewer — и гибкие кастомные роли. Принцип минимальных привилегий по умолчанию.
Just-In-Time доступ
Временные привилегии для административных задач с обязательным подтверждением и автоматическим отзывом по истечении срока.
IP-белые списки
Ограничение доступа к API и админ-панели по корпоративным диапазонам. Вне белого списка — автоматический отказ.
Сессии и токены
Короткие JWT с ограничением по времени, отзыв по устройству и принудительный выход при изменении привилегий.
Аудит
Логи всех действий в системе
Каждое действие — от входа до изменения метрики — фиксируется в неизменяемом журнале с контрольной суммой. Вы всегда можете восстановить, кто, что и когда сделал.
Журнал хранится 365 дней в активном доступе и ещё 7 лет в холодном архиве.
Аудит-лог записывает: аутентификацию (успешные и неудачные попытки), изменение прав, создание и редактирование метрик, экспорт данных, доступ к read-only ссылкам и административные операции. Каждая запись подписывается и привязывается к хэш-цепочке предыдущих —篡改 невозможен без обнаружения.
Журнал можно выгрузить в SIEM (Splunk, Microsoft Sentinel, Sumo Logic) через syslog или API. Для внешних аудиторов доступен режим read-only с полным контекстом и контрольными суммами, который они могут проверить без доступа к вашему рабочему пространству.
Частые вопросы о безопасности
Коротко о главном
Можно ли провести внешний pentest на нашей инфраструктуре?
Да. Мы проводим внешний pentest дважды в год (в последнем — команда Red Line, 0 критических и 2 низких уязвимости, обе закрыты в течение 72 часов). Отчёт доступен клиентам по запросу под NDA.
Что происходит с данными при расторжении договора?
По запросу вы получаете полный экспорт в форматах CSV/JSON/Parquet. После подтверждения удаления данные стираются из всех реплик в течение 30 дней, а ключи шифрования уничтожаются в HSM. Выдаётся сертификат об уничтожении.
Как обеспечивается доступность при сбое одного дата-центра?
Данные реплицируются между ЦОД в Москве и Санкт-Петербурге в реальном времени. При потере одного узла трафик переключается на резервный за < 15 минут, без потери данных (RPO < 5 минут). Регулярные failover-тесты подтверждаются отчётами.
Есть ли поддержка аппаратных ключей и FIDO2?
Да. Поддерживаются YubiKey 5/6, SoloKey и все совместимые с WebAuthn устройства. FIDO2-ключи можно назначить как единственный фактор для административных ролей — в этом случае пароль не требуется.
Проверьте защиту — запросите security-пакет
Whitepaper, список сертификатов, образец аудит-лога и DPA-шаблон — всё, что нужно вашей compliance-команде для оценки. Отправим в течение рабочего дня.
SOC 2 Type II · ISO 27001 · PCI DSS 4.0 · данные в РФ