Политика безопасности

1. Общие положения

Онлайн-школа Мергена Чооду (далее — Школа) уделяет первостепенное внимание безопасности персональных данных учеников и непрерывности образовательного процесса. Настоящая политика описывает меры, принимаемые Школой для защиты информации, а также обязательства по обеспечению конфиденциальности и целостности данных.

2. Защита данных учеников

2.1. Хранение паролей

Пароли учеников не хранятся в открытом виде. Для их защиты используется современный криптографический алгоритм bcrypt с солью. Это означает, что даже при получении доступа к базе данных восстановить пароль невозможно — в системе хранится только его «отпечаток» (хеш).

2.2. Защита сессий

Для идентификации ученика используется защищённая сессионная кука. Токен сессии передаётся только по защищённому каналу (HTTPS) и недоступен для чтения через браузерные скрипты. Это предотвращает кражу сессии даже при наличии вредоносного кода на странице.

2.3. Передача данных

Все данные между браузером ученика и сервером передаются по защищённому протоколу HTTPS (TLS 1.3). Это исключает перехват информации третьими лицами при передаче по сети.

3. Безопасность платформы

3.1. Защита от XSS (внедрения скриптов)

Платформа использует политику безопасности содержимого (CSP), которая разрешает выполнение только доверенных скриптов. Это блокирует попытки внедрения вредоносного кода на страницы сайта.

3.2. Защита от CSRF (подделки запросов)

Для защиты от CSRF используются токены, которые проверяются на сервере при выполнении действий, изменяющих данные. Это предотвращает несанкционированные действия от имени авторизованного пользователя.

3.3. Защита от перебора паролей

Количество попыток входа с одного IP-адреса ограничено. При многократных неудачных попытках доступ временно блокируется. Это делает невозможным автоматический подбор паролей.

3.4. DDoS-защита

Трафик основного сайта фильтруется через российский сервис защиты от DDoS-атак. Это предотвращает перегрузку сервера и сохраняет доступ к урокам даже в нештатных ситуациях.

3.5. Управление доступом

Доступ к функциям и данным платформы предоставляется в соответствии с ролью пользователя. Администраторы имеют доступ только к тем данным, которые необходимы для выполнения их обязанностей. Доступ к административной части сайта имеют только уполномоченные лица. Все действия в админ-панели логируются.

4. Безопасность видеоконференций

4.1. Доступ к урокам

Для проведения занятий используется отдельный сервер, что позволяет сохранять высокое качество трансляций и изолировать видеотрафик.

4.2. Приватность комнат

Доступ к видеоконференциям осуществляется по уникальной ссылке, которая предоставляется только авторизованным ученикам через личный кабинет. Комната создаётся для каждого урока отдельно.

4.3. Шифрование видеопотоков

Все видеопотоки шифруются при передаче по сети, что защищает их от перехвата.

4.4. Защита записей уроков

Записи занятий хранятся в защищённом облачном хранилище, доступном только авторизованным пользователям.

5. Мониторинг и реагирование

5.1. Логирование событий

Все подозрительные события (неудачные попытки входа, попытки доступа к закрытым разделам) регистрируются в системе безопасности. Это позволяет оперативно выявлять и блокировать атаки.

5.2. Автоматическая блокировка

При обнаружении аномальной активности (например, множественных неудачных попыток входа) IP-адрес автоматически блокируется на определённое время.

5.3. Резервное копирование

Резервные копии базы данных и файлов создаются ежедневно и хранятся в изолированном хранилище. Предусмотрен план восстановления после инцидентов.

5.4. Обновления

Все компоненты платформы (движок сайта, база данных, серверное программное обеспечение) регулярно обновляются для устранения выявленных уязвимостей.

6. Обработка персональных данных

Обработка персональных данных осуществляется в соответствии с Федеральным законом № 152‑ФЗ «О персональных данных» и Политикой обработки персональных данных, опубликованной на сайте Школы.

7. Технические меры защиты

7.1. Защита сервера

• Доступ к серверу осуществляется только по SSH-ключу, что исключает подбор пароля.
• Вход под суперпользователем (root) запрещён. Доступ с повышенными привилегиями предоставляется только по необходимости.
• Настроен сетевой экран (файрвол), который разрешает только необходимые для работы сервисов соединения.
• Внедрена система обнаружения вторжений, которая автоматически блокирует IP-адреса после нескольких неудачных попыток входа.

7.2. Защита от SQL-инъекций

Все запросы к базе данных используют параметризованные запросы. Это означает, что даже если злоумышленник попытается ввести вредоносный код в поле ввода, база данных воспримет его как обычные данные, а не как команду.

7.3. Валидация данных

Все данные, поступающие от пользователя (email, пароль, формы), проходят проверку на сервере перед сохранением в базу данных.

7.4. Безопасность почтовых отправлений

Для почтовых ящиков настроены записи DKIM и SPF, что снижает риск подделки писем и попадания в спам.

8. Запланированные улучшения

Школа продолжает развивать систему безопасности. В планах: перевод всех идентификаторов в базе данных на формат UUID для улучшения структуры данных и снижения предсказуемости идентификаторов.

9. Контакты

По всем вопросам безопасности и защиты данных вы можете обратиться к администрации Школы:

Email: information@mergenchoodu.ru