Máme vytvorený inventár a riadenie informačných aktív (zariadenia koncových používateľov vrátane prenosných a mobilných, sieťových zariadení a serverov pripojených k infraštruktúre fyzicky, virtuálne, na diaľku a v cloudových prostrediach).

Máme vynútenie používania len autorizovaného softvéru, a proces detekcie a odstraňovania nelegálneho alebo nepovoleného softvéru.

Potrebné primárne (procesy a informácie) a podporné informačné aktíva (technické a programové vybavenie, aplikácie, externé služby, mobilné zariadenia, pracovné stanice, servery apod.) sú vyhodnotené na dohodnutej stupnici 1 - 4 z hľadiska nárokov na dôvernosť (verejné, interné, chránené a prísne Chránené), dostupnosť a integritu (nízka, stredná, vysoká a kritická). Aktíva hodnotené stupňom 3 a vyššie musia podliehať pravidelnej analýze rizík najmenej raz ročne.

Existuje Používanie nástrojov a procesov na bezpečnú deštrukciu dát. Používame riešenie správy mobilných zariadení (MDM) pre všetky relevantné prenosné počítače a smartfóny.

Je zavedená bezpečná konfigurácia informačných aktív a softvéru vrátane bezpečnej konfigurácie prenosných zariadení, mobilných zariadení, operačného systému na serveroch a pracovných staniciach, bezpečnej konfigurácie používaných aplikácií. Štandardy bezpečnej konfigurácie sa hodnotia v nástrojoch ako sú OpenSCAP alebo CIS CAT benchmark, prípadne podľa odporúčaní vendora alebo podľa výsledkov relevantných skenov zraniteľností (napr. OpenVAS, Nessus). Všetky výrobcom predvolené heslá musia byt zmenené alebo účty deaktivované.

Udržiavame bezpečnosť počítačov/notebookov prostredníctvom preukázateľného patch manažmentu a pravidelne aktualizovaného antivírového programu. Pracovné stanice sú vybavené antivírusom, zapnutým automatickým časovým zámkom vyžadujúcim autentifikáciu, úplným šifrovaním pevných diskov, zapnutým systémom EDR a HIDS, a filtrovaním webového obsahu a bránou firewall.

Zabezpečuje sa, aby sa na prenos a ukladanie informácií používali len schválené pamäťové médiá (USB, externé disky).

Máme vypracovanú, zdokumentovanú a implementovanú politiku šifrovania a kryptografických kontrol. Politika definuje šifrovanie údajov počas ich ukladania a prenosu. Šifrovanie platí aj pre externé pamäťové média ako sú USB kľúče a pevné disky. PZS používa iba aktuálne bezpečné šifrovacie algoritmy a pravidelne ich kontroluje.

Žiadna elektronická komunikácia, ktorou sa vymieňajú interné, dôverné a prísne tajné informácie spoločnosti externe, sa nesmie uskutočňovať v otvorenom texte, nepoužívame protokoly, ktoré nepodporujú bezpečné šifrovanie (ako napríklad Telnet, HTTP, SMTP), namiesto nich sa musia používať bezpečné šifrované protokoly, ako napríklad SFTP, IMAPS, SSH, HTTPS, TLS, SMTPS, alebo sa musia šifrovať samotné súbory (napríklad emailové prílohy). Spoločnosť nesmie používať zastarané protokoly a kryptografické algoritmy, ktoré nie sú bezpečné podľa súčasných šifrovacích štandardov (napríklad nepoužívať TLS1.0).

Máme nastavenú politiku že Oprávnené osoby nesmú používať súkromný e-mail na pracovné účely ani ukladať informácie na neautorizovaných internetových úložiskách. Prílohy emailov obsahujúce citlivé informácie musia byt šifrované. Heslá používané na súkromné účely sa nesmú používať na pracovné účely.

PZS má zavedené nasledujúce postupy kontroly prístupu:

• opatrenia na obmedzenie elektronického prístupu iba na oprávnený personál;

• všetci zamestnanci, ktorí majú prístup k aktívu, sú jednoznačne identifikovaní a overení.

• tvorenie silného hesla

• bezpečné ukladanie hesiel.

Existuje formálne riadenie používateľských účtov (vytvorenie jedinečných identifikátorov, schvaľovanie a odoberanie účtov a užívateľských práv) vrátane administrátorských a servisných účtov. Používanie silných hesiel o dĺžke najmenej 10 znakov s vynútením veľkých písmen, číslic a špeciálnych znakov. Blokovanie nepoužívaných účtov (pravidelná revízia účtov najmenej raz ročne o čom sa vyhotovuje záznam, blokovanie účtov, ktoré sa nepoužili viac ako 90 dní, blokovanie útokov hrubou silou). Oddelenie administrátorských a používateľských účtov pre každodenné činnosti.

Je uplatnená zásada najnižších privilégií pre užívateľa, princíp prístupu podľa rolí a sprístupňovania informácií podľa zásady aktuálnej potreby poznať. Používajú sa centralizované systémy riadenia identity a okamžité vynútenie zmeny predvoleného hesla pre používateľov a správcov po ich prvom prihlásení. Identita sa po uplynutí stanovenej doby nečinnosti relácie opätovne overuje.

Je nutné overovanie identity používateľa a zariadenia pred udelením prístupu. Na prístup k citlivým systémom a administratívnym účtom je nutné použiť viacfaktorovú autentifikáciu (MFA) ak je to technicky možné. Používanie viacfaktorovej autentifikácie musí byť povolené/zapnuté tam, kde je to možné, a musí byť technicky vynútené tam, kde je to možné, aby sa použitie viacfaktorovej autentifikácie používatelia nemohli vyhnúť.

Pokiaľ ide o technické možnosti a schopnosti bezpečnostných systémov, ktoré spoločnosť má, presadzujú sa princípy správy prístupu na základe bezpečnostných podmienok (na základe identity, polohy, typu zariadenia a rizikového profilu) a kontrol stavu bezpečnosti zariadení (conditional access and device health checks) a princípy nulovej dôvery (zero trust) pre prístup k sieti a/alebo aplikácii. K tomuto využíva spoločnosť technológie MS Intune a Fortinet ZTNA.

Zamestnanci pri ukončení pracovného pomeru alebo obchodného zmluvného vzťahu preukázateľným spôsobom vracajú všetky aktíva, ktoré mali zverené. O vrátení sa robí záznam.

Prístup k informáciám a aktívam Prevádzkovateľa základnej služby v rámci predmetu Zmluvy je povolený iba z firemných zariadení (manažovaných spoločnosťou), ktoré má spoločnosť pod kontrolou.

Vzdialený prístup k informačných systémom je možný len prostredníctvom VPN pripojenia alebo brány ZTNA.

Používanie zariadení BYOD na privilegovaný prístup používateľov je prísne zakázané. 2FA autentifikácia je nutná pre privilegovaný prístup, kde je technicky možné.

Na perimetre sietí spoločnosti s verejnou sieťou a ich prepojenia je zabezpečené nasadenie relevantných firewallov (NGFW), nasadenie systémov na detekciu/prevenciu narušenia (IDS/IPS) medzi sieťovými vrstvami a na perimetri siete, a nasadenie mechanizmov na zaznamenávanie, monitorovanie a ochranu perimetra siete a aplikácií. Je povolené používanie len schválených firewalov a systémov, ktoré sú nakonfigurované a spravované pomocou najlepších bezpečnostných postupov a štandardov.

Oprávnené osoby PZS musia používať len svoje prihlasovacie údaje, nesmú používať prihlasovacie údaje inej osoby a nesmú poskytnúť svoje prihlasovacie údaje iným osobám. Je zakázané používanie skupinových účtov, to znamená zdieľanie prihlasovacích údajov viacerými osobami.

Spoločnosť má opatrenia na prípadnú dočasnú izoláciu podsietí a sieťových komponentov a zariadení. Spoločnosť pravidelne vykonáva skenovanie sietí a zariadení exponovaných do verejných sietí s cieľom určiť otvorené alebo zraniteľné miesta a diagnostikovať úrovne zabezpečenia.

Všetky kritické systémy exponované a prístupné z verejnej siete (Internet) (aplikácie, webové stránky, servery, webové aplikácie a portály webových aplikácií, sieťové zariadenia, zariadenia užívateľov a perimetre siete) sa pravidelne kontrolujú na zraniteľnosti, aby sa identifikovali slabé miesta zabezpečenia. Aktualizácie bezpečnostných záplat sa aplikuje včas, aspoň do jedného mesiaca od vydania.

Tam, kde je to možné, používame automatizované mechanizmy aplikácie bezpečnostných záplat (vrátane operačných systémov a webových prehliadačov, balíku MS Office a AV signatúr), aby sa zvýšila efektívnosť a obmedzila sa ľudská chyba.

PZS má zavedené: Ochranu elektronickej pošty a internetových prehliadačov. Používanie len plne podporovaných emailových klientov a internetových prehliadačov. Filtrovanie nevyžiadanej pošty. Filtrovanie nebezpečného webového obsahu.

E-mailový server má správne nastavené overovanie proti podvrhnutiu, to zahŕňa overovanie správ na základe domény (DMARK), rámec politiky odosielateľa (SPF) a doménové kľúče identifikovanej pošty (DKIM).

Zabezpečuje sa, aby všetky zariadenia vrátane serverov a mobilných osobných a firemných zariadení boli vybavené EDR a HIDS, a aktualizovaným antivírusom (s pokročilými mechanizmy detekcie založené na heuristike a správaní nie len na signatúrach), zapnutým firewallom, nástrojmi proti úniku dát (DLP) a proti škodlivému softvéru, a aktívnym šifrovaním celých disku.

Máme zavedené pravidelné Vykonávanie penetračných testov a Odstraňovanie nálezov penetračných testov najmenej raz za 2 roky. (Pravidelné vykonávanie penetračných testov certifikovanou spoločnosťou, vrátane 10 najčastejších zraniteľností zo zoznamu OWASP)

Všetky relevantné auditné, prevádzkové a bezpečnostné protokoly/logy zo všetkých relevantných informačných aktív sa zhromažďujú a korelujú prostredníctvom centrálneho systému monitorovania bezpečnostných informácií a udalostí (SIEM) a analyzujú SOC (Security Operations Centre) analytikmi. SOC musí hlásiť definované bezpečnostné udalosti, anomálie a výstrahy priamo oddeleniu IT.

Logy sú bezpečne uložené (najmenej 12 mesiacov), chránené pred neoprávneným prístupom a zabezpečené proti neoprávnenej manipulácii, aby sa zabezpečila ich spoľahlivosť. Spoločnosť má Vyhradený a centralizovaný logovací server na účely primeranej ochrany pred zmenou integrity logov a neoprávneným prístupom, ktorý je oddelený od produkčného prostredia, kde sa vytvárajú samotné logy.

Siete, informačné systémy, programové prostriedky, zariadenia a aplikácie sú monitorované z hľadiska nezvyčajného správania a sú prijaté vhodné, pokiaľ možno automatizované, opatrenia na vyhodnotenie kybernetických bezpečnostných udalostí (SIEM).

Vopred definované scenáre potenciálnych bezpečnostných incidentov alebo nežiaducich aktivít, pravidlá detekcie, výstrahy a proces klasifikácie a kategorizácie v systéme SIEM je neustále kontrolovaný a ladený (falošné pozitívne a falošné negatívne výsledky a ich oprava), a aktualizovaný (nové IoC a vektory útokov) bezpečnostným operačným centrom (SOC). Služby SOC sú externé.

PZS má zavedený formálny proces riadenia incidentov. Existujú monitorovacie mechanizmy na včasné odhalenie a identifikáciu bezpečnostných incidentov. Udržujú sa plány známych typov incidentov, v ktorých sú uvedené postupy na odhaľovanie, reakciu, obmedzenie a obnovu po incidentoch.

Sú definované a pravidelne raz ročne testované pravidlá pre izoláciu kritických komponentov sietí a informačných systémov počas kybernetického bezpečnostného incidentu.

Spoločnosť má zdokumentovaný Plán zálohovania a odsúhlasený tak, aby sa predišlo neprijateľnej strate údajov a systémov, a aby sa zabezpečilo obnovenie údajov a systémov v prijateľných lehotách podľa stratégie kontinuity činností. Existuje proces pravidelného zálohovania dát a Kontrola schopnosti obnoviť dáta zo zálohy.

Je zavedený a dodržiavaný princíp ukladania záloh do logicky, fyzicky a geograficky oddelených priestorov.

Testujeme plány kontinuity a obnovy po havárii aby neboli ohrozené aktíva a činnosti ani v prípadoch neočakávaných alebo havarijných situácií (Bod obnovy (RPO) = 4 hodiny, Čas obnovy (RTO) = 24 hodín).

Identifikujú sa kritické a dôležité obchodné procesy a potrebné aktíva (BIA analýza), minimálna úroveň služieb prijateľná pre poskytovanie služieb, prijateľné ciele obnovy (RTO a RPO) a katastrofické scenáre. Sú vypracované stratégie obnovy a zdroje na splnenie prijateľných časov a bodov obnovy, ktoré sú zanesené do plánov obnovy činností súvisiacich s plnením predmetu Zmluvy.

Infraštruktúra sietí, informačných systémov a aplikácií je zriadená s dostatočnou redundanciou.

Zabezpečujeme prípravu, udržiavanie a pravidelné testovanie BCP/DR plánov, ktoré umožnia dostupnosť všetkých kritických služieb vo vzťahu k predmetu Zmluvy v prípade núdze alebo katastrofy a spÍňajú podmienky minimálnej požadovanej úrovne služieb.

Oprávnené osoby s prístupom k údajom a systémom sú preškolení z hľadiska bezpečnostných politik informačnej a kybernetickej bezpečnosti. Školenia pokrývajú aj oblasti ochrany informácií a oblasti ochrany domácich pracovísk. Podľa rolí máme pravidelné preškolenia zamestnancov v oblastiach: GDPR, Informačnej bezpečnosti, bezpečného programovania a zásad prijateľného používanie aktív.

Máme zavedené procesy a špecifické ustanovenia, pre zabezpečenie primeranej previerky personálneho pozadia pracovníkov (background checks).

V pracovných a iných pracovnoprávnych zmluvách sú uvedené zodpovednosti za kybernetickú bezpečnosť, formalizované disciplinárne procesy a povinnosť mlčanlivosti, ktorá platí aj pri ukončení pracovnoprávneho vzťahu alebo zmluvy.

Oprávnené osoby sú preukázateľne oboznámení s politikou bezpečného nakladania s aktívami a informáciami (acceptable use policy).

PZS má zavedený a dodržiava formálny proces riadenia, plánovania, a schvaľovania zmien, to zahŕňa hodnotenie bezpečnostných rizík pre zmenu, ktorá môže mať vplyv na kybernetickú bezpečnosť, a prípadne nutnosť testovania danej zmeny. Riadenie zmenových požiadaviek sa vzťahuje na všetky zmeny v informačných systémoch, infraštruktúre, aplikáciách a procesoch organizácie, ktoré by mohli ovplyvniť ich dostupnosť, integritu, alebo bezpečnosť.

Pred schválením používania nového informačného systému alebo aplikácie tretích strán sa musia v spoločnosti dohodnúť, stanoviť a posúdiť minimálne bezpečnostné požiadavky, ktoré má spoločnosť definované. V prípade potreby sa musí vykonať posúdenie rizík podľa procesu riadenia zmien a riadenia rizík spoločnosti. Vylúčenia alebo chýbajúce opatrenia sa musia posúdiť z hľadiska bezpečnostných rizík a oznámiť Manažérovi kybernetickej bezpečnosti.

Zabezpečujeme, aby nikto nemohol vykonať ucelenú množinu nebezpečných operácií relevantných na organizačnej aj technickej úrovni (Princíp oddelených právomocí, princíp 4 očí, segregácia právomocí, oddelenie kontrolných a výkonných funkcií).

PZS má zabezpečené priestory, v ktorých sa nachádzajú informačné aktíva, opatrenia na ochranu zabezpečených priestorov a bezpečnostné pravidlá pre rôzne úrovne zabezpečených priestorov sú stanovené, zdokumentované, implementované a pravidlá dodržiavané. Prístup do zabezpečených priestorov majú len pracovníci, ktorých pracovné povinnosti si vyžadujú prístup do konkrétnych zabezpečených priestorov (konkrétne budova, konkrétne kancelárske miestnosti, serverovňa, dátové centrum, archív dokumentov).

Kritické systémy sú umiestnené do zabezpečenej miestnosti s vyššími bezpečnostnými opatreniami. Prístup do zabezpečenej miestnosti je kontrolovaný a monitorovaný. Zahŕňajú dvojité zámky, kamerový systém, alarm, knihu návštev a v prípade potreby klimatizáciu, hasiace prístroje alebo požiarne senzory a zariadenia UPS. Zabezpečuje sa, aby tie časti siete a informačného systému, ktoré si vyžadujú nepretržitú prevádzku, boli chránené proti výpadku napájania elektriky a aby k takémuto výpadku nedošlo.

Sú definované a primerane presadzované pravidlá čistého stola pre listinné dokumenty a prenosné pamäťové médiá, a politika návštevníkov v budove spoločnosti (sprievod zodpovedného zamestnanca spoločnosti a nepretržitá prítomnosť oprávnenej osoby v chránenom priestore ak sa v chránenom priestore nachádzajú aj iné ako oprávnené osoby).

Prístup do priestorov kde sú poskytované služby je zabezpečený proti neoprávnenému vstupu, poškodeniu, odcudzeniu alebo zneužitiu aktív.

PZS má zdokumentované bezpečnostné konfiguračné štandardy pre všetky autorizované sieťové zariadenia (vrátane všetkých konfiguračných pravidiel, ktoré umožňujú tok dát v sieti).

V rámci siete je zavedená segregácia sieťových domén (VLAN).

PZS má zavedené používanie WAF (Web application Firewall) pre webové aplikácie.

PZS má zavedený postup na reagovanie na porušenia bezpečnosti a neobvyklé alebo podozrivé udalosti a incidenty, aby obmedzil ďalšie poškodenie informačných systémov.

Bezpečnostné kontroly siete a relevantné bezpečnostné aktualizácie (napríklad pravidlá brány firewall, štandard zabezpečenia sieťových zariadení) sa pravidelne aplikujú.

Dodávateľ sieťových služieb informuje PZS o všetkých zmenách konfigurácie a nastavení, ktoré sú relevantné pre bezpečnosť alebo majú vplyv na bezpečnosť (Zmeny v konfigurácii bezpečnostných kontrol siete podliehajú formálnemu procesu riadenia zmien).

Dodávateľ sieťových služieb má v sieťach primeraný bezpečnostný ochranný mechanizmus na kontrolu a ochranu pred neoprávneným prístupom k sieťovým zariadeniam; povoliť prístup len oprávneným používateľom a zariadeniam; a nakonfigurovať sieťové zariadenia bezpečným spôsobom.

Využívame pokročilý šifrovací štandard (AES) na šifrovanie bezdrôtových dát počas prenosu a zabezpečujeme používanie protokolov na overovanie bezpečnosti bezdrôtovej siete.

Sieťové zariadenia sú synchronizované s korektným NTP.

V zmluvách máme že Dodávateľ je zodpovedný za fyzickú bezpečnosť infraštruktúry, vrátane, ale nie výlučne: výber umiestnenia miestnosti s vybavením; zabezpečenie napájania; chladiace zariadenia; ochrana proti požiaru, vode, úrazu elektrickým prúdom a krádeži.

Vo zmluvách máme že Dodávateľ musí mať fyzické bezpečnostné mechanizmy, ako napríklad prístup na kartu, oplotenie, múry, bariéry, recepciu, kamerový systém, bezpečnostnú službu a musia byť implementované environmentálne kontroly, ako napríklad HVAC, hasenie požiarov a bezpečnostné alarmy.

V zmluvách máme že Dodávateľ je zodpovedný za bezpečnosť a životný cyklus výpočtovej techniky, úložných zariadení a sieťového hardvéru.

V zmluvách máme že Pred presťahovaním alebo presunom hardvéru, softvéru alebo údajov do externých priestorov je potrebné získať povolenie od PZS.

V zmluvách máme že Dodávateľ stanoví zásady a postupy pre bezpečné likvidovanie zariadení (podľa typu aktíva) používaných mimo priestorov organizácie. To zahŕňa použitie programu na vymazanie údajov alebo proces likvidácie, ktorý znemožní obnovenie informácií. Vymazanie spočíva v úplnom prepísaní disku, aby sa zabezpečilo, že vymazaný disk bude uvoľnený do inventára na opätovné použitie a nasadenie alebo bezpečne uskladnený, kým nebude možné ho zlikvidovať.

V zmluvách máme že Vstup a výstup do zabezpečených oblastí musí byť obmedzený a monitorovaný mechanizmami fyzickej kontroly prístupu, aby sa zabezpečilo, že prístup majú len oprávnené osoby.

V zmluvách máme že Dodávatelia musia zabezpečiť, aby nástroje alebo služby na posudzovanie bezpečnostných zraniteľností boli prispôsobené používaným virtualizačným technológiám (napr. virtualizačné technológie).

V zmluvách máme že Sieťové prostredia a virtuálne inštancie musia byť Dodávateľom navrhnuté a nakonfigurované tak, aby obmedzovali a monitorovali prevádzku medzi dôveryhodnými a nedôveryhodnými pripojeniami. Tieto konfigurácie sa musia prehodnocovať najmenej raz ročne a musia byť podložené zdokumentovaným odôvodnením použitia pre všetky povolené služby, protokoly, porty a kompenzačnými kontrolami.

V zmluvách máme že Multi-tenantové poskytovateľom vlastnené alebo spravované (fyzické a virtuálne) aplikácie a infraštruktúrne systémové a sieťové komponenty musia byť navrhnuté, vyvinuté, nasadené a konfigurované tak, aby bol prístup poskytovateľa a zákazníka (nájomcu) primerane oddelený od ostatných nájomcov.

V zmluvách máme že Prístup ku všetkým funkciám správy hypervízora alebo administratívnym konzolám pre systémy hosťujúce virtualizačné systémy musí byť obmedzený na personál na základe princípu minimálnych oprávnení a podporovaný prostredníctvom technických kontrol (napr. dvojfaktorová autentifikácia, logovanie auditných stop, filtrovanie IP adries, firewally a komunikácia s administratívnymi konzolami zapuzdrená v TLS).

V zmluvách máme že Dodávateľ musí mať procesy a nástroje na predloženie dôkazov na podporu potenciálnych právnych krokov podliehajúcich príslušnej jurisdikcii. Po incidente v oblasti informačnej bezpečnosti sú potrebné riadne forenzné postupy, vrátane reťazca dôkazov. Po oznámení budú mať zákazníci a/alebo iní externí obchodní partneri, ktorých sa porušenie bezpečnosti týka, možnosť zúčastniť sa forenzného vyšetrovania v rozsahu, ktorý je povolený zákonom.

V zmluvách máme že Dodávateľ je zodpovedný za vypracovanie a nácvik plánov zabezpečenia kontinuity služieb a plánov obnovy po havárii pre infraštruktúru. Zálohy sú kontrolované najmenej raz za týždeň a úplné zálohy sú uložené so 7-dňovou archiváciou. Dátové centrá disponujú záložnými generátormi elektrickej energie.

Máme definované a zavedené procesy a postupy na riadenie rizík spojených s používaním produktov, procesov alebo služieb tretích strán.

S každou treťou stranou s významným vplyvom máme uzatvorenú zmluvu, uzatvoreniu zmluvy predchádza analýza rizík a v zmluvách s dodávateľmi máme špecifikované bezpečnostné požiadavky a právo na audit.

Pravidelne hodnotíme poskytovaní služieb tretích strán a testujeme reakcie na incident a stupeň poskytovaných služieb u dodávateľov.

Dodávateľ, ktorý je zároveň i sprostredkovateľom osobných údajov z hľadiska GDPR má s nami uzavretú sprostredkovateľskú zmluvu na ochranu osobných údajov.

Rámec bezpečného vývoja (SDLC) v spoločnosti zaisťuje bezpečnosť interne vyvinutých aplikácií, bezpečnosť zdrojového kódu, bezpečné postupy kódovania a bezpečnosť vývojárskych prostredí a zariadení používaných počas vývoja aplikácií.

Počas vývoja pred nasadením do produkcie sa musia vykonávať testy integrity zdrojového kódu a testy zraniteľnosti zdrojového kódu (statická analýza kódu). To zahŕňa aj skenovanie zraniteľnosti kódu a knižníc od tretích strán. Každá aplikácia, ktorú spoločnosť vyvíja pre zákazníkov je podrobená penetračnému testovaniu pred prvým nasadením do prevádzky a napokon najmenej raz za dva roky.

Ku komunikácii medzi aplikačným serverom a webovým prehliadačom klienta dochádza pomocou zabezpečeného HTTPS protokolu (TLS 1.2, 1.3 Encryption at fly).

Webové aplikácie sú chránené pomocou WAF.

Možnosť šifrovania SQL databázy na požiadanie klienta.

Prihlasovacie heslá do aplikácií sú hašované a solené (hash and salted).

Je možné na požiadanie klienta pre prístup do aplikácie Hour nastaviť viacúrovňovú autentifikáciu MFA (meno a heslo + emailová notifikácia) a je možné nastaviť aj SSO (aktuálne len voči Entra ID).

Automatické odhlásenie užívateľa a aplikácie Hour po stanovenom čase.

Samostatne oddelené a udržiavané prostredia na vývoj, testovanie a produkciu.