Bezpečnostní politika

Bezpečnost a ochrana soukromí uživatelů je základním pilířem projektu Šepot. Tento dokument popisuje bezpečnostní opatření, která přijímáme k ochraně služby, dat a infrastruktury.

Naše bezpečnostní opatření vycházejí z principů:

• NIS2 — Směrnice (EU) 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti, transponovaná zákonem o kybernetické bezpečnosti (nZKB, účinný od 1. 11. 2025)
• ISO/IEC 27001 — Mezinárodní standard pro systémy řízení bezpečnosti informací (ISMS)
• GDPR — Nařízení (EU) 2016/679, zejména čl. 25 (ochrana osobních údajů záměrnou a standardní ochranou) a čl. 32 (zabezpečení zpracování)

Jako open source projekt umožňujeme komunitě nezávisle ověřovat naše bezpečnostní tvrzení.

Na organizační úrovni přijímáme následující opatření k zajištění bezpečnosti:

• Bezpečnostní politika — tento dokument je závazný pro všechny osoby podílející se na vývoji a provozu služby
• Princip minimálních oprávnění — přístup k systémům je omezen na nezbytné minimum
• Oddělení prostředí — vývojové, testovací a produkční prostředí jsou striktně oddělena
• Code review — veškeré změny kódu procházejí recenzí před začleněním
• Řízení změn — nasazení nových verzí probíhá kontrolovaným procesem s možností rollbacku
• Dokumentace — bezpečnostní postupy jsou zdokumentovány a pravidelně přezkoumávány

Technická bezpečnostní opatření jsou jádrem ochrany služby Šepot:

Šepot využívá následující kryptografické algoritmy a protokoly, které splňují doporučení NÚKIB a odpovídají aktuálním mezinárodním standardům:

Veškeré kryptografické operace jsou implementovány pomocí auditovaných knihoven (NaCl/libsodium). Vlastní kryptografické algoritmy nepoužíváme.

Přístup k serverové infrastruktuře a produkčním systémům je řízený následujícími opatřeními:

• Vícefaktorová autentizace (MFA) — povinná pro přístup k produkčním systémům
• SSH klíče — přístup výhradně prostřednictvím SSH klíčů, přihlášení heslem je zakázáno
• Princip nejmenšího oprávnění — každý přístup je omezen na minimum nezbytné pro danou roli
• Audit log — veškeré přístupy k infrastruktuře jsou zaznamenávány
• Pravidelná revize — přístupová oprávnění jsou pravidelně přezkoumávána a nepotřebná revokována

V souladu s požadavky NIS2 (směrnice 2022/2555) a nového zákona o kybernetické bezpečnosti (nZKB) máme zaveden proces řízení bezpečnostních incidentů:

V případě porušení zabezpečení osobních údajů budou dotčení uživatelé informováni bez zbytečného odkladu dle čl. 34 GDPR. Vzhledem k zero-knowledge architektuře je dopad na obsah komunikace minimální i v případě kompromitace serveru.

Pro zajištění dostupnosti služby a odolnosti vůči výpadkům přijímáme následující opatření:

• Zálohování — pravidelné automatizované zálohy serverové konfigurace a metadat (obsah zpráv na serveru neuchováváme)
• Disaster recovery — dokumentované postupy pro obnovu služby z zálohy
• Monitoring — nepřetržitý monitoring dostupnosti a výkonu služby
• Geografická redundance — infrastruktura s možností přepnutí na záložní lokaci
• Testování obnovy — pravidelné testování postupů disaster recovery

Díky decentralizované povaze E2E šifrování jsou zprávy uloženy primárně na zařízeních uživatelů. Výpadek serveru tedy neznamená ztrátu historických zpráv.

V souladu s požadavky NIS2 na řízení bezpečnosti dodavatelského řetězce:

• Závislosti — pravidelný audit a aktualizace softwarových závislostí (automatizované nástroje pro detekci zranitelností)
• Open source — preferujeme auditované open source knihovny s aktivní komunitou
• SBOM — udržujeme Software Bill of Materials pro transparentní přehled o všech komponentách
• Hosting — serverová infrastruktura provozovaná v České republice pod vlastní správou
• Minimalizace závislostí — používáme co nejmenší počet externích služeb a závislostí

Všechny osoby podílející se na vývoji a provozu Šepotu procházejí:

• Bezpečnostní školení — základy kybernetické bezpečnosti, bezpečný vývoj software
• OWASP awareness — znalost nejčastějších zranitelností webových aplikací
• Kryptografické minimum — principy šifrování, správa klíčů, bezpečné protokoly
• Incident response — znalost postupů při bezpečnostním incidentu
• GDPR a ochrana dat — principy zpracování osobních údajů

Bezpečnostní opatření podléhají pravidelnému přezkoumání:

• Interní audit — pravidelné přezkoumání bezpečnostních opatření a jejich účinnosti
• Penetrační testy — pravidelné testování odolnosti služby vůči útokům
• Code audit — bezpečnostní revize zdrojového kódu, usnadněná open source povahou projektu
• Vulnerability scanning — automatizované skenování zranitelností infrastruktury
• Aktualizace politiky — tento dokument je přezkoumáván a aktualizován minimálně jednou ročně

Výsledky bezpečnostních auditů relevantní pro uživatele budou zveřejňovány na webu.

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) je regulátorem kybernetické bezpečnosti v České republice. V souladu s požadavky NIS2 a nZKB:

• Hlásíme významné bezpečnostní incidenty v zákonem stanovených lhůtách
• Spolupracujeme při řešení kybernetických hrozeb a incidentů
• Dodržujeme vyhlášky a doporučení NÚKIB v oblasti kybernetické bezpečnosti

Pokud jste objevili bezpečnostní zranitelnost v Šepotu, prosíme o její zodpovědné nahlášení. Podrobné informace naleznete v naší politice zodpovědného hlášení.

Bezpečnostní záležitosti hlaste na: [email protected]