Biztonság és Megfelelőség

Titkosítás tároláskor (Encryption at Rest)

Minden adat AES-256 titkosítással van tárolva az adatbázisban és a backup rendszerekben.

• • AES-256-GCM: Iparági szabvány titkosítási algoritmus
• • Titkosított adatbázis: MongoDB titkosított volume-okkal
• • Titkosított mentések: Napi automatikus mentések titkosított tárolással
• • Kulcskezelés: Biztonságos kulcstároló (secrets management)

Titkosítás átvitelkor (Encryption in Transit)

Minden hálózati kommunikáció TLS 1.3 titkosítással van védve.

• • TLS 1.3: Legújabb TLS protokoll verzió
• • HTTPS: Minden webes kommunikáció HTTPS-en keresztül
• • WebSocket: Titkosított real-time kapcsolatok (WSS)
• • Harmadik féltől származó API-k: Stripe (mind TLS 1.2+)

Jelszóvédelem

Jelszavak bcrypt hash algoritmussal vannak tárolva (12 rounds).

• • Bcrypt (12 rounds): Biztonságos hash algoritmus salt-tal
• • Jelszó követelmények: Min. 8 karakter, nagy/kisbetű, szám, speciális karakter
• • Erősség ellenőrzés: Real-time jelszóerősség mutató

Szerepkör-alapú hozzáférés (RBAC)

Részletes jogosultságkezelés szerepkörök és engedélyek alapján.

• • Szerepkörök: OWNER, ADMIN, MANAGER, MEMBER, VIEWER
• • Engedélyek: Részletes engedélyek minden erőforrásra (projektek, feladatok, időbejegyzések, jelentések, számlázás)
• • Workspace szintű jogosultságok: Minden workspace külön jogosultságokkal

Kétfaktoros hitelesítés (2FA)

Opcionális 2FA az összes szolgáltatási szinten (TOTP-alapú).

• • TOTP (RFC 6238): Google Authenticator, Authy, 1Password kompatibilis
• • Backup kódok: 10 egyszeri használatos kód
• • Kényszerített 2FA: ENTERPRISE tier opcióként

Session kezelés

Biztonságos session kezelés JWT token-ekkel és device tracking-gel.

• • JWT tokens: 7 napos érvényesség
• • Device tracking: Aktív session-ök listázása és leválasztása
• • Automatikus kijelentkezés: Inaktivitás esetén
• • Login history: Sikeres és sikertelen bejelentkezések nyilvántartása

SSO és SAML (ENTERPRISE)

Single Sign-On integráció ENTERPRISE tier ügyfeleknek.

• • SAML 2.0: Kompatibilis Okta, Azure AD, Google Workspace-szel
• • LDAP: Active Directory integráció
• • Központosított hozzáférés: Egyetlen bejelentkezés több alkalmazáshoz

IP Allowlisting (ENTERPRISE)

Hozzáférés korlátozása meghatározott IP címekre.

• • Csak engedélyezett IP címekről történő hozzáférés
• • CIDR notation támogatás
• • Workspace szintű IP korlátozás

Hosting és adatközpont

Hetzner Online GmbH (Németország, EU) dedicated servereken.

• • Hely: Németország (EU), GDPR megfelelő
• • ISO 27001: Hetzner datacenter tanúsítvánnyal
• • Fizikai biztonság: 24/7 monitorozás, biometrikus hozzáférés
• • Áramellátás: Redundáns UPS és generátorok

Biztonsági mentések

Napi automatikus mentések titkosított, georedundáns S3 tárolással és 90 napos megőrzéssel.

• • Gyakoriság: Napi teljes mentés (éjjel 2:00 CET)
• • Megőrzés: 90 nap (ENTERPRISE: 1 év)
• • Titkosítás: AES-256-GCM szimmetrikus titkosítás feltöltés előtt
• • Tárolás: Wasabi S3 (eu-central-2, Frankfurt) — GDPR-kompatibilis, EU adatközpont
• • Integritás: SHA-256 ellenőrzőösszeg minden backup fájlhoz
• • Visszaállítási idő: RTO < 4 óra, RPO < 24 óra

Szerver hardening

Rendszeres biztonsági frissítések és server hardening.

• • OS frissítések: Heti automatikus biztonsági patch-ek
• • Firewall: Csak szükséges portok nyitva (443, 80)
• • Fail2ban: Brute-force védelem
• • Minimális felület: Csak szükséges szolgáltatások futnak

Hálózati biztonság

Multi-layer hálózati védelem firewall-okkal és DDoS védelemmel.

• • DDoS védelem: Hetzner automatikus DDoS mitigáció
• • Rate limiting: API rate limitek minden endpoint-ra
• • WAF: Web Application Firewall (Cloudflare Pro)

Security Headers

HTTP biztonsági headerek minden válaszban (Helmet middleware).

• • Strict-Transport-Security (HSTS): HTTPS kényszerítés 1 évre
• • X-Content-Type-Options: MIME sniffing védelem
• • X-Frame-Options: Clickjacking védelem
• • Content-Security-Policy (CSP): XSS védelem, resource loading szabályok
• • X-XSS-Protection: Böngésző XSS szűrő aktiválása

Input validáció

Szigorú input validáció minden API endpoint-on.

• • Joi validation: Schema-alapú validáció
• • Sanitization: HTML/SQL injection védelem
• • Type checking: TypeScript típusbiztonság

Audit naplózás

Részletes audit naplók minden kritikus műveletről.

• • Login/logout események (sikeres és sikertelen)
• • Adatmódosítások (create, update, delete)
• • Szerepkör változások
• • Biztonsági események (2FA, password change)
• • Megőrzés: 2 év (ENTERPRISE), 90 nap (FREE/PRO)

Dependency scanning

Rendszeres npm audit és függőség frissítések.

• • npm audit: Heti automatikus security audit
• • Dependabot: Automatikus PR-ek biztonsági frissítésekhez
• • Kritikus CVE-k azonnal javítva (< 24 óra)

Incidens válasz csapat

• • Elérhetőség: 24/7 on-call csapat
• • Válaszidő: < 1 óra (kritikus incidensek)
• • Eszkaláció: Automatikus eszkalációs mátrix

Incidens bejelentési folyamat

1. Észlelés: Automatikus monitoring + felhasználói jelentés
2. Kategorizálás: Súlyosság meghatározása (S0-S4)
3. Elszigetelés: Incidens elszigetelése és kárenyhítés
4. Értesítés: Érintett felek értesítése (< 24 óra)
5. Kivizsgálás: Root cause analysis
6. Helyreállítás: Szolgáltatás helyreállítása
7. Post-mortem: Dokumentálás és tanulságok levonása

Kommunikációs csatornák

• • Biztonsági incidensek: security@cadensa.io
• • Adatvédelmi incidensek: privacy@cadensa.io
• • Status page: status.cadensa.io

Jelentési folyamat

1. Küldjön részletes jelentést a security@cadensa.io címre
2. Várjon a megerősítésre (< 24 óra)
3. Együttműködés a javítás során
4. Publikus közzététel egyeztetése

Kizárások (Out of scope)

• • Social engineering támadások
• • Fizikai támadások
• • DDoS
• • Spam vagy phishing

Javítási SLA-k

• • Kritikus: 24 óra
• • Magas: 7 nap
• • Közepes: 30 nap
• • Alacsony: 90 nap

Bug Bounty Program

Roadmap: 2026 Q3 (HackerOne vagy Bugcrowd platformon)