Az Impediment Ledger for Jira biztonsági szabályzata és incidenskezelési terve

Utolsó frissítés: 2026-10-12

1. A szabályzat hatálya

Ez a szabályzat az Impediment Ledger for Jira Atlassian Forge-alkalmazásra (a továbbiakban: „Alkalmazás”), valamint az építéséhez és kiadásához használt fiókokra, munkaállomásra és tárolókra vonatkozik. A szabályzatot Kozma Árpád (egyéni vállalkozó), PR Flow márkanéven (a továbbiakban: „Kiadó” vagy „mi”) tartja karban.

A PR Flow egyszemélyes vállalkozás. A szabályzat a ténylegesen működő védelmi intézkedéseket és azokat a lépéseket rögzíti, amelyeket hiba esetén követünk. Elfogadásának napja 2026-10-13; legalább évente egyszer, valamint minden biztonsági incidens után felülvizsgáljuk.

Az adatkezelést az adatvédelmi tájékoztató ismerteti; az ügyfelekkel szembeni biztonsági kötelezettségeket a végfelhasználói licencszerződés 11. pontja tartalmazza.

Ez a szabályzat angol nyelven készült, és az angol nyelvű változat az irányadó. Ez a fordítás kizárólag a könnyebb tájékozódást szolgálja.

2. Sérülékenység bejelentése

A sérülékenységeket ne nyilvános csatornán jelentsd, hanem bizalmasan, a(z) [email protected] címre. Ez az Alkalmazás Marketplace-oldalán megadott biztonsági kapcsolattartó is.

3. Fiókok és hozzáférés

  • Az Alkalmazáshoz használt minden fiókon többfaktoros hitelesítés van: GitHub, Google Workspace, az Atlassian-fiók és a weboldal tárhelyfiókja.
  • A jelszavak egyediek, és jelszókezelőben vannak.
  • A forráskódhoz, a Forge-alkalmazáshoz, a Developer Space-hez és a Marketplace-partnerfiókhoz csak a tulajdonos fér hozzá. A hozzáféréseket negyedévente felülvizsgáljuk (közreműködők, Developer Space-tagok, GitHub-munkatársak, telepítési tokenek), és ami nem szükséges, azt megszüntetjük.
  • A Forge telepítési token csak egy védett GitHub-környezetben van tárolva. Évente, illetve kiszivárgás gyanúja esetén azonnal lecseréljük.

4. Munkaállomás

  • A fejlesztői munkaállomáson teljes lemeztitkosítás, automatikus operációs rendszer- és alkalmazásfrissítés, valamint kártevővédelem működik.
  • Fejlesztéshez és telepítéshez nem használunk már nem támogatott operációsrendszer-verziót.

5. Fejlesztés és változáskezelés

  • Minden változtatás a feltöltés előtt átmegy a típusellenőrzésen, a lintelésen (biztonsági és titokészlelő szabályokkal), az egység-, tulajdonságalapú és rendszertesztkészleteken, valamint a függőségek auditján. A hosszabb ellenőrzések (mélytesztek, teljes mutációs futtatás, auditok) minden kiadás előtt lefutnak.
  • Éles telepítés csak a fő ág egy verziócímkéjéből, automatizált telepítési folyamattal történik.
  • Az Alkalmazás fenyegetésmodelljének alapja az OWASP Top 10 és az OWASP Application Security Verification Standard (ASVS) 5.0.
  • A függőségeket csak zárolófájlból telepítjük, az új csomagokra minimális kiadási életkort írunk elő. A frissítéseket a Renovate és a Dependabot kezeli, a CI megáll, ha az Alkalmazással szállított függőségekben magas vagy súlyosabb besorolású ismert sérülékenység van, és minden kiadáshoz CycloneDX szoftveranyagjegyzék (SBOM) készül.
  • Az Alkalmazásnak nincs szüksége saját titkos adatokra; a kódban és a tárolóban nincs ilyen.

6. Adatok

  • Az Alkalmazás külső adatforgalom (external egress) nélkül fut az Atlassian Forge-on. Az ügyféladatok az ügyfél Atlassian-webhelyének Forge-tárhelyén maradnak; a Kiadó nem fér hozzájuk.
  • A felhasználó által az Alkalmazásban végzett műveletek az ő Jira-jogosultságaival futnak, és minden neki megjelenített eredményt aszerint szűrünk, amit megtekinthet.
  • A naplók nem tartalmaznak személyes adatot, hitelesítő adatot vagy tokent; csak engedélyezett, strukturált mezők kerülnek naplózásra.
  • A forráskódot és annak előzményeit a GitHub tárolja; az Alkalmazás bármely kiadási címkéből újraépíthető és újratelepíthető.

7. Incidenskezelés

Az Atlassian app security incident management guidelines iránymutatását követjük:

  • Észlelés és rögzítés. Feljegyezzük, mit és mikor észleltünk, és mit érinthet (az Alkalmazás, fiókok, tokenek, ügyfél-webhelyek).
  • Elszigetelés. Visszavonjuk vagy lecseréljük a kiszivárgott tokeneket és jelszavakat, letiltjuk az érintett funkciót vagy visszaállunk az utolsó jó kiadásra, és a telepítéseket felfüggesztjük, amíg az ok ismertté nem válik.
  • Értesítés. Az ügyfeleket vagy adataikat érintő incidensről a tudomásszerzéstől számított 48 órán belül értesítjük az Atlassiant a Developer and Marketplace támogatási portálon, az érintett ügyfeleket pedig indokolatlan késedelem nélkül, az Atlassian incidenskommunikációs sablonjával.
  • Javítás és ellenőrzés. Kijavítjuk az okot, regressziós tesztet írunk, és a szokásos ellenőrzéseken át kiadjuk a javítást.
  • Utólagos értékelés. Leírjuk, mi történt és mi változik, és frissítjük ezt a szabályzatot.

A tervet évente egyszer asztali gyakorlaton végigvesszük, egy kiszivárgott token és egy sérülékenységi bejelentés forgatókönyvével.

8. Folytonosság

  • Az Alkalmazás az Atlassian Forge-on fut; nincs visszaállítandó PR Flow-szerver.
  • A munkaállomás elvesztése esetén a kódot a GitHubról állítjuk vissza, a fiókokat offline tárolt többfaktoros helyreállítási kódokkal szerezzük vissza, a telepítési tokent pedig lecseréljük.

9. Kapcsolat

Biztonsági bejelentések: [email protected]. Egyéb kérdések: támogatás.