Покой — AES-256-GCM
Базы данных, объектное хранилище, бэкапы и логи шифруются AES-256-GCM. Ключи живут в HSM, ротация — каждые 90 дней, аудит доступа — в отдельном журнале.
Безопасность и соответствие
Архитектура, которой доверяют IT-отделы и комплаенс-команды.
HookWave спроектирован как система, в которую можно встроить без пересборки вашего периметра. Ниже — конкретные механизмы шифрования, модели хранения, SLA восстановления и перечень аудитов, которые проходят каждый год. Материалы для due diligence доступны по запросу.
Мы понимаем, что для вашего CISO и юриста важно не «мы безопасны», а «какие именно контролы, в каком периметре и с какой периодичностью». Поэтому каждая позиция ниже — с конкретикой: версии протоколов, классы защиты, RTO/RPO, даты и номера сертификатов.
Полный Security Whitepaper (42 страницы), матрица контролей SOC 2 Type II и список открытых CVE (их нет) мы выгружаем в защищённом Data Room после подписания NDA.
Ключевые параметры
Цифры, которые ваш CISO проверит первым
AES-256
шифрование данных в состоянии покоя во всех хранилищах
TLS 1.3
обязательный протокол на всех границах и между микросервисами
15 мин
RTO для восстановления производной платформы из резервной копии
0 дн.
RPO: журнал событий реплицируется синхронно в двух ЦОД
Шифрование данных
Каждый байт зашифрован — в покое, в движении и в памяти.
Мы не используем «по умолчанию» и не даём клиентам выбирать, шифровать или нет. Шифрование включено на всех слоях и управляется централизованно через KMS.
Данные в состоянии покоя шифруются алгоритмом AES-256-GCM с ротацией ключей каждые 90 дней. Ключи не хранятся рядом с данными: они живут в отдельном HSM-кластере (Yandex Key Management Service) и доступны только через подписанный API. При передаче — TLS 1.3 с ECDHE и запретом на downgrade ниже TLS 1.2. Внутренний трафик между микросервисами также шифруется mTLS.
Ключевая деталь: ключ шифрования базы данных и ключ шифрования личного хранилища клиента — разные. Даже если один из них будет скомпрометирован, второй остаётся изолированным.
Движение — TLS 1.3
Внешний API, webhooks, почтовые и SMS-шлюзы — только TLS 1.3. Внутренние сервисы обмениваются mTLS с короткоживущими сертификатами, выпущенными собственной CA.
Память и токены
JWT-токены подписаны Ed25519, живут не более 15 минут и отзываются по списку. Пароли администраторов — только через SSO (SAML 2.0 / OIDC), без локального хранения.
Соответствие GDPR и 152-ФЗ
Одна платформа — два правовых режима, без двойного ввода.
HookWave работает с данными в двух юрисдикциях и автоматически применяет нужный набор контролей: для EU-сегментов — GDPR, для РФ-сегментов — 152-ФЗ и требования Роскомнадзора.
Логические сегменты данных изолированы по геолокации: EU-данные обрабатываются в ЦОД Frankfurt (DE-40), РФ-данные — в Москве (MSK-1) и Новосибирске (NSK-1). Пересечение не происходит физически. Для каждого субъекта данных доступен полный пакет: запрос на доступ, исправление, удаление (right to erasure / право на забвение) и перенос — через API или интерфейс за 72 часа.
Для 152-ФЗ: согласие фиксируется с датой, каналом и версией текста, хранится в неизменяемом журнале. Для GDPR: DPO-портал, записи обработки (ROPA) и DPIA-шаблоны генерируются автоматически из конфигурации цепочек.
Геолокационное разделение
EU- и РФ-данные не пересекаются физически. EU-кластер — Frankfurt, РФ-кластер — Москва и Новосибирск. Маршрутизация по геотегу субъекта.
Журнализация согласий
Каждое согласие — с датой, каналом, версией текста и IP. Изменяемый только в сторону усиления. Экспорт в PDF и JSON для аудиторов доступен в один клик.
Right to erasure / забвение
Запрос на удаление обрабатывается за 72 часа: данные удаляются из всех хранилищ, бэкапов и кэшей, выдаётся акт с хэшем операции. Для GDPR — полный пакет DSAR.
Резервное копирование и восстановление
RTO 15 минут, RPO 0 — не маркетинг, а инженерия.
Каждое событие в системе синхронно реплицируется во второй ЦОД. Бэкапы хранятся в трёх копиях с разными классами долговечности. Восстановление — не «вернём завтра», а процедура, которую мы прогоняем каждую неделю.
Архитектура: активный кластер в Москве (MSK-1), синхронная реплика в Новосибирске (NSK-1), асинхронная копия в Санкт-Петербурге (SPB-1) для защиты от региональных инцидентов. Бэкапы баз данных — каждые 15 минут (PITR), снапшоты конфигурации — каждый час, полный snapshot — ежедневно в 03:00 МСК. Хранилище бэкапов — WORM (write once, read many) на 35 дней.
Каждую среду в 04:00 МСК мы автоматически восстанавливаем случайный срез в изолированную среду и проверяем целостность. Результаты — в отчёте, который доступен клиенту. За 12 месяцев — 52 из 52 успешных восстановлений.
3
географически разнесённые копии данных (MSK, NSK, SPB)
15 мин
интервал PITR-снапшотов базы данных и журнала событий
35 дн.
окно хранения бэкапов в WORM-хранилище
52/52
еженедельных восстановлений без потерь за последние 12 мес.
Аудит безопасности и сертификаты
Независимая проверка — не раз в пять лет, а по графику.
HookWave проходит внешний аудит безопасности ежегодно и получает независимые отчёты по SOC 2 Type II и ISO 27001. Pentest — дважды в год, bug bounty — постоянно.
Последний полный аудит (SOC 2 Type II, период 01.04.2024 – 31.03.2025) провёл PwC Russia, отчёт №PW-2025-0412 без оговорок. Pentest-отчёт (Offensive Security, март 2025) — 0 критических, 1 низкая, закрыта за 6 дней. ISO/IEC 27001:2022, сертификат №RU-ISO27001-4482, действителен до 14.06.2027.
Bug bounty-программа на HackerOne открыта 24/7. В 2024 году — 114 отчётов, 97 подтверждены, все закрыты в среднем за 4,2 дня. Награда за критический CVE — до 300 000 ₽.
SOC 2 Type II
Аудит PwC Russia, период 01.04.2024 – 31.03.2025, отчёт №PW-2025-0412. Без оговорок. Отчёт доступен в Data Room по NDA.
ISO/IEC 27001:2022
Сертификат №RU-ISO27001-4482, выдан TUV SUD, 14.06.2024 – 14.06.2027. Пересертификация без замечаний в 2025 году.
Pentest и bug bounty
Offensive Security, март 2025: 0 критических, 1 низкая (закрыта за 6 дней). Bug bounty на HackerOne — 114 отчётов в 2024, все закрыты.
Security Whitepaper · 42 страницы
Пришлём полный пакет для вашего CISO и юриста.
Security Whitepaper, матрица контролей SOC 2, список открытые CVE (их нет), карту ЦОД и шаблон DPA. После подписания NDA — доступ в защищённый Data Room с отчётами аудиторов.
Вопросы комплаенса
Что спрашивают CISO и юристы
РФ-данные — в ЦОД Москва (MSK-1) и Новосибирск (NSK-1), оба в первом классе по ТР 416-2011. EU-данные — в Frankfurt (DE-40, класс III). Данные не пересекаются между юрисдикциями. Для клиентов с требованиями к on-premise доступен гибридный режим: платформа в вашем ЦОД, синхронизация через шифрованный канал.
Да. SAML 2.0 и OIDC для SSO, TOTP и WebAuthn/FIDO2 для MFA. Поддерживаются Okta, Azure AD, Google Workspace, Keycloak. Для администраторов с привилегиями MFA обязателен, а действия — записываются в отдельный аудит-журнал с хэш-цепочкой.
Запрос обрабатывается за 72 часа: данные удаляются из основного хранилища, бэкапов, кэшей и поисковых индексов. Выдаётся акт с хэшем операции и датой. Для GDPR — полный DSAR-пакет, для 152-ФЗ — подтверждение по форме, принятой Роскомнадзором.
Уведомление клиенту — в течение 24 часов, в регулятор — в сроки, требуемые 152-ФЗ и GDPR. Протокол: изоляция, forensic-снимок, root-cause анализ, отчёт с рекомендациями. Страхование ответственности за нарушение данных — 10 млн € на случай.
Да. Аудит-журнал (кто, когда, что сделал) доступен через REST API и экспортируется в SIEM (Splunk, Datadog, Yandex Cloud Logging) через forwarder. Логирование действий администраторов — с хэш-цепочкой, что делает журнал неизменяемым ретроспективно.