Audit darajasida — dizayn bo'yicha.

Asosiy tamoyillar

Xavfsizlik — qo'shimcha funksiya emas, arxitekturaning poydevori. Biz quyidagi to'rt tamoyilga rioya qilamiz:

• Tenant izolyatsiyasi — har bir mijoz ma'lumotlar bazasi qatori va saqlash bucket darajasida ajratilgan.
• Eng kam imtiyoz — har bir xodim va xizmat faqat o'ziga zarur huquqqa ega bo'ladi.
• Doim shifrlangan — ma'lumot transport va disk darajasida shifrlanadi — istisnosiz.
• Auditga tayyor — har bir muhim amal o'zgartirib bo'lmaydigan jurnalga yoziladi.

Infratuzilma

Platforma zamonaviy bulut provayderlarida joylashgan, sertifikatlangan datacenter'larda ishlaydi.

Kirish va autentifikatsiya

Foydalanuvchi kirishi Keycloak orqali boshqariladi — sanoat standarti bo'lgan identifikatsiya server.

• Ikki bosqichli autentifikatsiya (TOTP, SMS yoki passkey).
• Sessiya tokenlari qisqa muddatli, refresh-token bilan rotatsiyalanadi.
• Brute-force va credential stuffing'ga qarshi rate-limiting.
• Korxona mijozlari uchun SSO (SAML / OIDC) Enterprise tarifida.

Multi-tenant izolyatsiya

Har bir tenant ma'lumoti boshqalardan to'liq ajratilgan. Bu — server tomonidagi qattiq qoida, frontend filtri emas.

Fayl saqlashda har bir tenant alohida bucket'ga ega. Xabar shinasidagi (RabbitMQ) marshrutlar ham tenant doirasida cheklangan.

Xavfsiz dasturlash

Kod yozishdan deploy'gacha har bir bosqichda xavfsizlik tekshiruvi:

• Har bir PR uchun majburiy code review — kamida bitta katta dasturchi.
• Avtomatik SAST va bog'liqlik skanlari (Snyk, Dependabot).
• Production sirlari .env emas, vault'da — rotatsiya har 90 kunda.
• Yiliga kamida bir marta tashqi penetration test.

Kuzatuv va jurnallar

Platformada nima sodir bo'layotganini doim bilamiz:

• Markazlashgan log agregatsiyasi — har bir API chaqiruv qayd qilinadi.
• Real-vaqt anomaliya aniqlash — odatdan tashqari kirish va yuk uchun.
• Audit jurnali o'zgartirib bo'lmaydigan storage'da — soliq tekshirgani bo'yicha 5 yil.

Hodisaga javob

Xavfsizlik hodisasi yuz bersa — quyidagi tartib bo'yicha ishlaymiz:

Muvofiqlik

Biz hozirda ISO 27001 va SOC 2 Type II sertifikatlariga tayyorgarlik ko'ryapmiz. Sertifikatlar olinishi 2026 yil 4-chorakda rejalashtirilgan.

O'zbekiston «Shaxsiy ma'lumotlar to'g'risida»gi qonun talablariga to'liq rioya qilamiz. DPA (ma'lumotni qayta ishlash shartnomasi) — Business va Enterprise tariflarida mavjud.

Zaiflik haqida xabar berish

Agar Gavkhar Office'da xavfsizlik zaifligini topsangiz — iltimos, security@gavkhar.org orqali yuboring. Javob beramiz va birga tuzatamiz.

Mas'uliyatli oshkor qilish — biz uchun qadrli. Bug bounty dasturi 2026 yil 3-chorakda ochiladi — tafsilotlar shu sahifada chiqadi.