Criptare în Repaus
Criptare managed la toate nivelurile: Postgres, S3, Redis, CloudWatch Logs
Principiu
Toate datele stocate pe platforma SSM.ro sunt criptate la repaus prin serviciile managed ale furnizorilor cloud. Nu există componente de stocare necriptate.
Criptare per Componentă
Mecanismele de stocare diferă între cele două modele de deployment, dar în ambele cazuri toate datele sunt criptate la repaus prin servicii managed.
Model Partajat (SaaS)
Model Partajat (SaaS)
Infrastructura multi-tenant rulează pe Heroku (Postgres, Key-Value Store) și AWS S3.
| Componentă | Mecanism criptare | Gestionare chei |
|---|---|---|
| Heroku Postgres | Criptare la repaus asigurată de Heroku (bazată pe AWS RDS); activată automat pe toate planurile | Managed de Heroku/AWS |
| Heroku Redis (Key-Value Store) | Criptare la repaus asigurată de Heroku | Managed de Heroku |
| Backup-uri Heroku Postgres | Criptate la repaus; stocate în cadrul platformei Heroku | Managed de Heroku |
| AWS S3 — Primary bucket | Server-Side Encryption (SSE); activat pe întregul bucket | Managed de AWS (SSE-S3) |
| AWS S3 — CRR Replica | Server-Side Encryption (SSE); identic cu bucket-ul primar | Managed de AWS |
| AWS CloudWatch Logs | Criptare la repaus; activată la nivelul log group | Managed de AWS |
Model Enterprise (Dedicat)
Model Enterprise (Dedicat)
Infrastructura dedicată per client rulează direct pe AWS: Postgres pe AWS RDS, Redis pe AWS ElastiCache, fără stratul intermediar Heroku.
| Componentă | Mecanism criptare | Gestionare chei |
|---|---|---|
| AWS RDS Postgres | Criptare la repaus prin AWS RDS (AES-256); activată la nivel de instanță | Managed de AWS KMS |
| AWS ElastiCache (Redis) | Criptare la repaus prin ElastiCache | Managed de AWS KMS |
| Backup-uri / Snapshot-uri RDS | Snapshot-uri criptate automat (moștenesc criptarea instanței) | Managed de AWS KMS |
| AWS S3 — Primary bucket | Server-Side Encryption (SSE); activat pe întregul bucket | Managed de AWS (SSE-S3) |
| AWS S3 — CRR Replica | Server-Side Encryption (SSE); identic cu bucket-ul primar | Managed de AWS |
| AWS CloudWatch Logs | Criptare la repaus; activată la nivelul log group | Managed de AWS |
Gestionarea Cheilor de Criptare
Criptarea la repaus este gestionată integral de furnizorii cloud managed (Heroku/AWS), atât în Modelul Partajat, cât și în Modelul Dedicat. Cheile sunt create, stocate și rotite automat de provider prin AWS KMS, fără intervenție manuală.
SSM.ro nu oferă opțiunea Bring Your Own Key (BYOK) — criptarea managed asigură securitatea datelor fără complexitatea operațională și riscurile de disponibilitate asociate gestionării propriilor chei de către client.
Retenție Backup și Limite
Model Partajat (SaaS)
Platforma utilizează planul Heroku Postgres Standard, care reține până la 25 de backup-uri manuale.
Pe lângă backup-urile manuale, Continuous Protection (PITR) este activat: orice modificare adusă bazei de date este backed up continuu și automat, permițând restaurarea la un punct specific în timp.
Model Enterprise (Dedicat)
În infrastructura AWS dedicată, backup-urile sunt asigurate prin snapshot-uri automate AWS RDS și Continuous Backups / PITR, cu fereastra de retenție configurabilă per client. Snapshot-urile sunt criptate automat și stocate în AWS.
Versioning S3 și Lifecycle
Bucket-ul S3 primar are configurat:
- Versioning activat — protecție împotriva ștergerii sau suprascrierii accidentale
- Lifecycle rule
expire-deleted-objects— versiunile non-curente sunt reținute maxim 100 de zile, după care sunt șterse permanent (0 versiuni non-curente sunt reținute indefinit) - Block Public Access activat pe întreg bucket-ul
Criptare în Tranzit
TLS 1.2+ enforced pe toate conexiunile; Let's Encrypt, HSTS; mTLS sau API token pentru furnizorul de semnătură electronică
Gestionarea Cheilor Criptografice
Secretele aplicației în Heroku config vars; cheile de semnătură sunt gestionate integral de furnizorul calificat extern (QTSP)