Środki techniczne i organizacyjne — TaskLine Center

Wersja: 1.0 Obowiązuje od: 2026-10-06

Kontrola dostępu

Dostęp administracyjny jest chroniony hasłem oraz — gdy mechanizm jest aktywny — dodatkowym krokiem uwierzytelniania opartym o PIN przechowywany wyłącznie w postaci bezpiecznego skrótu. Próby logowania i dodatkowej weryfikacji podlegają limitom oraz opóźnieniom, sesje mają ograniczony czas życia, a operacje administracyjne są rejestrowane. Bieżącego mechanizmu PIN nie opisuje się jako TOTP; wdrożenie TOTP wymaga osobnej, kontrolowanej zmiany.

Integracje system-system

Komunikacja integracyjna wykorzystuje przypisane do instancji credentials, podpisy kryptograficzne, identyfikatory żądań, nonce, ochronę przed replay, limity ruchu i idempotencję.

Separacja tenantów

Powiązania tenant/workspace wynikają z jawnych identyfikatorów i bindingów. Center nie ustala własności danych na podstawie podobieństwa nazwy, e-maila, telefonu ani innych danych pośrednich.

Minimalizacja i redakcja

Telemetria i monitoring są ograniczane do danych potrzebnych diagnostycznie. Sekrety, dane kontaktowe i treści request/response są redagowane lub odrzucane, jeżeli nie są jawnie dopuszczone przez kontrakt.

Kryptografia

Sekrety i klucze prywatne nie są przechowywane w repozytorium. Transmisja produkcyjna wymaga HTTPS. Integralność aktualizacji i komunikacji jest weryfikowana kryptograficznie.

Rejestrowanie i monitoring

Center rejestruje zdarzenia bezpieczeństwa, operacje administracyjne, próby uwierzytelnienia i stan integracji w zakresie potrzebnym do wykrywania nadużyć i analizy incydentów.

Backup i odtwarzanie

Nowe pełne kopie Center są tworzone w kontrolowanym formacie szyfrowanym; klucze i sekrety recovery nie są przechowywane w repozytorium. Dostęp do kopii jest ograniczony, a procedura odtwarzania podlega testom. Historyczne kopie w starszym formacie, jeżeli istnieją, wymagają odrębnej ewidencji, ograniczenia dostępu oraz decyzji retencyjnej.

Aktualizacje i podatności

Aktualizacje są wersjonowane, podpisywane i dystrybuowane przez kontrolowany mechanizm. Krytyczne problemy bezpieczeństwa mogą powodować wstrzymanie rolloutów lub czasowe ograniczenie operacji.

Retencja

Logi i dane operacyjne podlegają ograniczonej retencji. Dowody prawne i audytowe są przechowywane zgodnie z okresem wynikającym z celu, prawa i możliwości dochodzenia roszczeń.

Dostęp personelu

Dostęp do danych jest ograniczony do osób, które go potrzebują, a działania uprzywilejowane powinny być rozliczalne.