Czy Gamfi People Platform jest bezpieczna?

Oto kroki, które podjęliśmy by zadbać o bezpieczeństwo:

1️⃣ Dwuskładnikowe uwierzytelnienie (2FA)

Funkcja dot. logowania do Panelu administratora i jest opcjonalna. możliwe w przypadku logowania do panelu administratora. Jak to działa? Administrator loguje się np. mailem i hasłem, po czym otrzymuje SMS-em dodatkowy kod autoryzacyjny (kod z SMS jest ważny 10 min i można go pomylić 10 razy).

Jeśli chcesz skorzystać z tej funkcji - skontaktuj się z Opiekunem Gamfi People Platform.

2️⃣ Manualne i automatyczne usuwanie kont

Możliwe jest usunięcie konta manualne, np. gdy mija termin przetwarzania danych osobowych, lub automatyczne po upływie wskazanej liczby dni od uwolnienia ostatniej akcji w workflow - zasadne jest użycie tej funkcji w przypadku workflow offboardingowego.

3️⃣ Automatyczne wygaszanie sesji użytkownika i wylogowywanie

W Panelu administratora w Ustawieniach aplikacji można ustawić dwie wartości:

Automatyczne wygaszanie sesji (Inactivity Timeout) - to czas, po którym wyloguje Użytkownika w momencie jego bezczynności.
Maksymalny czas życia sesji (Absolute Timeout) - to maksymalny czas życia sesji, niezależnie od aktywności Użytkownika.

☝🏻	Zalecane wartości wg OWASP dla naszej aplikacji - to odpowiednio 30 minut oraz 8h. Dowiedz się więcej 👉🏻 tutaj.

4️⃣ Polityka haseł

Minimalna długość hasła w Gamfi People Platform wynosi 12 znaków.

☝🏻	Jeżeli ktoś posiadał dotychczas 8-znakowe hasło - nadal może z niego korzystać. Natomiast podczas aktywacji nowego konta lub resetu hasła - wymagane będzie już ustawienie hasła o długości 12 znaków.

Tymczasowa blokada konta po pięciu nieudanych próbach wprowadzenia hasła przez użytkownika - blokada zostanie automatycznie zniesiona po 15 minutach.

5️⃣ Content Security Policy (CSP)

Jest to mechanizm bezpieczeństwa wbudowany w przeglądarki, który pozwala aplikacji określić, z jakich źródeł mogą być ładowane zasoby takie jak skrypty, style, obrazy czy ramki. Dzięki temu ograniczamy ryzyko wstrzyknięcia i uruchomienia złośliwego kodu (np. ataków XSS).

☝🏻

CSP pozwala również wymusić używanie tylko zaufanych domen i protokołów, co utrudnia wyciek danych do nieautoryzowanych serwisów. Silna polityka CSP zwiększa zaufanie użytkowników, zmniejsza ryzyko ataków i jest elementem zgodności z regulacjami bezpieczeństwa (np. ISO 27001, SOC 2).
Na ten moment w Gamfi People Platform dopuszczamy wyłącznie serwisy typu Vimeo, YouTube, itp.

6️⃣ Inne zabezpieczenia zgodne z OWASP Application Security Verification Standard (ASVS)

Blokowanie możliwości enumeracji kont użytkowników w logowaniu przez “Imported ID”;
Blokowanie ważności kodów MFA w przypadku (upłynięcia czasu ważności / błędnego wpisania kodu);
Zabezpieczenia dot. edycji kont administratora w panelu - administrator nie może zmieniać danych na koncie innego administratora. Takie dane może zmieniać user z flagą "Gamfi Admin" (to wewnętrza Rola Gamfi People Platform, której nie widzi administrator po stronie klienta);
Blokady umożliwiające edycję kont administratora poprzez dodawanie nowego usera do aplikacji lub startowanie procesu (i dodawanie nowego usera).

Każdy klient ma także prawo przeprowadzić własne testy w celu weryfikacji stosowanych przez nas parametrów bezpieczeństwa. Więcej informacji na temat bezpieczeństwa znajdziesz w naszym Trust Center.