Безопасность HR-системы: на что стоит обратить внимание

Когда компания переходит на КЭДО, в систему попадают персональные данные, документы с ЭП, роли и права доступа. Чтобы такая система работала безопасно, нужно обеспечить сразу несколько уровней защиты — от инфраструктуры до логирования.

Команда VK HR Tek делится техническими решениями, которые позволяют обеспечить устойчивую инфраструктуру.

Отказоустойчивость и катастрофоустойчивость
VK HR Tek развернута в трех ЦОДах VK Tech (Tier III), данные реплицируются между ними в режиме реального времени. Это позволяет сохранять доступность даже при полном выходе из строя одного из дата-центров. SLA на простой — не более 1,6 часа в год. Поддерживается DR-сценарий и горячее резервирование.

Защита от DDoS и фильтрация трафика
На периметре работает Hitman — разработка VK Tech, которая фильтрует вредоносный трафик и защищает от перегрузок. Даже при DDoS-атаке система не теряет доступность и сохраняет целостность данных.

Полное логирование всех действий
Фиксируются как успешные действия, так и попытки доступа без прав. Логи хранятся весь срок действия контракта и могут использоваться для внутреннего аудита, расследования ИБ-инцидентов или аналитики.

Многоуровневая аутентификация
Вход в систему — только по HTTPS. Доступ возможен через 2FA и SSO. Пароли не хранятся в открытом виде, а шифруются. Поддерживаются парольные политики и разграничение доступа до конкретных ролей.

Гибкое управление доступом
Каждая роль имеет строго ограниченный доступ к функциям. Изменение роли автоматически влечет пересмотр прав — это снижает риск ошибок и утечек при переводах сотрудников.

Непрерывный аудит безопасности
Платформа регулярно проходит сканирование на уязвимости, внутренние аудиты, внешний пентест и автоматическую проверку через Security Gate — пайплайн с анализаторами для выявления уязвимостей. А еще VK HR Tek участвует в Bug Bounty.

Разграничение прав на уровне продакшена
Доступ к продакшен-среде есть только у сотрудников с необходимыми правами. Установлены агенты SOC, обеспечивающие мониторинг действий на серверах.

Комплексная защита HR-систем — это не один компонент, а целый набор решений. Такой подход помогает обеспечить стабильную работу с персональными данными и снизить риски для бизнеса.

@digitize_IT — мнения и управленческий опыт ИТ-лидеров
#vkhrtek #КЭДО