مرکز امنیت چارگون

در چارگون، امنیت اطلاعات یک قابلیت جانبی نیست؛ سنگ‌بنای اعتماد در عصر اقتصاد دیجیتال و بخشی جدایی‌ناپذیر از چرخه طراحی، توسعه، استقرار و پشتیبانی محصولات نرم‌افزاری ماست. در «مرکز امنیت و اعتماد چارگون» رویکرد ما این است که امنیت از لحظه تولد در تار و پود محصول تنیده شود، نه اینکه در لحظه آخر به آن اضافه شود. ما متعهد به حفظ محرمانگی، تمامیت و دسترس‌پذیری اطلاعات مشتریان هستیم و امنیت را در تمام تصمیمات فنی و سازمانی لحاظ می‌کنیم. در دورانی که مرزهای امنیت از خاک فراتر رفته و در فضای داده و زیرساخت‌های دیجیتال تعریف می‌شود، امنیت سایبری تنها دغدغه متخصصان فناوری نیست؛ بلکه یک ضرورت سازمانی و ملی است. این مرکز نقطه‌ای است که در آن می‌توانید رویکردها، استانداردها، کنترل‌ها و تعهدات چارگون در حوزه امنیت و اعتماد را به‌صورت شفاف مشاهده کنید.

مرکز امنیت چارگون

رویکرد و حاکمیت امنیت – Security Governance

در چارگون، امنیت اطلاعات بخشی جدایی‌ناپذیر از طراحی، توسعه و استقرار محصولات است و با هدف حفظ محرمانگی، تمامیت و دسترس‌پذیری اطلاعات مشتریان در نظر گرفته می‌شود. رویکرد امنیتی شرکت بر اساس استانداردها و چارچوب‌های معتبر و الزامات نهادهایی مانند مرکز مدیریت راهبردی افتا و OWASP شکل گرفته است. برای مدیریت این حوزه، ساختار مشخص حاکمیت امنیت شامل مدیر امنیت اطلاعات، فرآیندهای مدیریت ریسک و مدیریت رخداد در نظر گرفته شده است. همچنین با اجرای مدل «سه خط دفاعی» در توسعه، نظارت و ممیزی، تلاش می‌شود کنترل‌های امنیتی مؤثرتر اجرا شده و شفافیت و اعتماد ذی‌نفعان افزایش یابد.

انطباق‌ها و گواهی‌نامه‌ها  (Certifications & Compliance)

در چارگون، گواهی‌نامه‌های امنیتی صرفاً یک مدرک نیستند، بلکه نتیجه فرآیندی مستمر از تعهد به استانداردها، شفافیت و پاسخگویی در برابر تهدیدات امنیتی به‌شمار می‌آیند. این شرکت با دریافت و نگهداری گواهی‌های مرتبط با امنیت اطلاعات و کیفیت، پایبندی خود به کنترل فرآیندها و ممیزی‌های دوره‌ای را نشان می‌دهد. محصولات چارگون با در نظر گرفتن الزامات امنیتی نهادهای ملی و نیازمندی‌های سازمان‌های بزرگ طراحی می‌شوند و در پروژه‌ها نیز پیوست‌های امنیتی برای تعیین مسئولیت‌ها ارائه می‌شود. همچنین نسخه‌های اصلی نرم‌افزار پیش از انتشار از طریق ارزیابی‌های امنیتی مستقل مانند تست نفوذ، اسکن آسیب‌پذیری و بازبینی کد بررسی شده و نتایج آن در بهبود مستمر محصولات به‌کار گرفته می‌شود.

امنیت محصول (Product Security)

امنیت محصول در چارگون از سطح معماری نرم‌افزار تا استقرار نهایی در نظر گرفته شده و هسته پلتفرم دیدگاه زاگرس بر اساس استانداردها و پروفایل‌های امنیتی معتبر طراحی شده است. در چرخه توسعه نرم‌افزار (Secure SDLC) نیز کنترل‌هایی مانند بازبینی کد، مدیریت وابستگی‌ها و آزمون‌های امنیتی برای شناسایی و رفع آسیب‌پذیری‌ها در مراحل اولیه انجام می‌شود. محصولات چارگون مجموعه‌ای از قابلیت‌های امنیتی مانند احراز هویت چندعامله، مدیریت دسترسی مبتنی بر نقش، رمزنگاری داده‌ها، ثبت و ممیزی رویدادها و مقاومت در برابر حملات رایج را ارائه می‌دهند. همچنین برای استقرار On‑Premise، دستورالعمل‌های سخت‌سازی زیرساخت، پشتیبان‌گیری، تداوم سرویس و بازیابی بحران به مشتریان ارائه می‌شود تا امنیت در سطح زیرساخت نیز تضمین شود.

امنیت عملیاتی (Operational Security)

در چارگون امنیت عملیاتی با مجموعه‌ای از فرآیندهای مشخص مدیریت می‌شود. برای مدیریت رخدادهای امنیتی، یک فرآیند رسمی وجود دارد تا در صورت شناسایی آسیب‌پذیری یا رخداد مؤثر بر محصول، تیم فنی بتواند آن را تحلیل، اولویت‌بندی و اصلاح کرده و متناسب با سطح ریسک، اطلاع‌رسانی و انتشار اصلاحیه‌ها را انجام دهد. همچنین پایش مستمر آسیب‌پذیری‌های شناخته‌شده (CVE) مرتبط با فناوری‌های مورد استفاده انجام می‌شود و در صورت شناسایی تهدید مؤثر، ارزیابی اثرپذیری صورت گرفته و در صورت نیاز وصله امنیتی یا راهکارهای کاهش ریسک ارائه می‌شود. از سوی دیگر، تمام تغییرات محصول از طریق فرآیند مدیریت تغییر کنترل می‌شوند و پیش از انتشار هر نسخه، آزمون‌های کارکردی و امنیتی انجام شده و مستندات تغییرات در اختیار مشتریان قرار می‌گیرد.

مسئولیت‌های مشترک (Shared Responsibility Model)

در مدل استقرار در محل مشتری (On‑Premise)، امنیت سامانه نتیجه تقسیم مسئولیت میان چارگون و سازمان بهره‌بردار است. چارگون مسئول طراحی و توسعه امن نرم‌افزار، ارائه اصلاحیه‌های امنیتی، مستندات سخت‌سازی و راهنمای پیکربندی ایمن است، در حالی که مشتری مسئول تأمین و ایمن‌سازی زیرساخت، شبکه، سیستم‌عامل، پایگاه داده و مدیریت دسترسی کاربران است. اجرای صحیح کنترل‌های زیرساختی توسط مشتری در کنار کنترل‌های امنیتی تعبیه‌شده در محصول، نقش مهمی در حفظ محرمانگی، تمامیت و دسترس‌پذیری اطلاعات دارد. رعایت الزامات پایه‌ای مانند استفاده از فایروال، به‌روزرسانی سیستم‌ها، اعمال سیاست‌های دسترسی، مانیتورینگ لاگ‌ها و استفاده از ابزارهای امنیتی نیز برای بهره‌برداری ایمن از سامانه ضروری است.

حفاظت از داده و حریم خصوصی

چارگون در مستندات فنی خود به مفهوم طبقه‌بندی اطلاعات توجه دارد و توصیه می‌کند سازمان‌ها داده‌های خود را بر اساس سطح حساسیت طبقه‌بندی کرده و کنترل‌های متناسب اعمال کنند.

در مدل استقرار On-Premise، داده‌های سازمان در زیرساخت خود مشتری نگهداری می‌شود و شرکت چارگون دسترسی پیش‌فرض یا دائمی به این داده‌ها ندارد. هرگونه دسترسی پشتیبانی صرفاً با درخواست رسمی مشتری و تحت کنترل و ثبت رویداد انجام می‌شود.

تمام همکاران و به‌ویژه همکاران مرتبط با استقرار، توسعه و پشتیبانی محصولات، متعهد به رعایت الزامات محرمانگی بوده و دسترسی‌ها بر اساس اصل حداقل دسترسی (Least Privilege)  تخصیص داده می‌شود. تمامی دسترسی‌های فنی قابل ردیابی و ثبت هستند.

امنیت زنجیره تأمین (Supply Chain Security)

چارگون در استفاده از کتابخانه‌ها و مؤلفه‌های نرم‌افزاری ثالث، ارزیابی‌های امنیتی انجام داده و همواره تلاش می‌کند نسخه‌های به‌روز و پشتیبانی‌شده را به کار ‌گیرد. وابستگی‌ها به‌صورت مستمر پایش شده و در صورت انتشار آسیب‌پذیری بحرانی، اقدام اصلاحی در اسرع وقت انجام می‌شود.

مرکز گزارش آسیب‌پذیری  (Vulnerability Disclosure Program)

چارگون از گزارش مسئولانه آسیب‌پذیری‌ها استقبال می‌کند. متخصصین و پژوهشگران امنیتی می‌توانند یافته‌های خود را از طریق کانال رسمی اعلام‌شده در پلتفرم‌های باگ‌بانتی و در چارچوب و قوانین تعریف‌شده در این پلتفرم‌ها ارسال کنند. تمامی گزارش‌ها بررسی شده و در صورت تأیید، در کوتاه‌ترین زمان ممکن اصلاح خواهند شد.