Документація на власному сервері для регульованих галузей

Якщо ви працюєте в охороні здоров’я, обороні, фінансах або будь-якій галузі, де важлива резидентність даних, ви вже мали цю розмову: «Чи можемо ми використовувати цей SaaS-інструмент, чи він повинен пройти шестимісячний аудит безпеки?» Для більшості хмарних платформ документації відповідь — аудит, і він часто закінчується словом «ні».

Справа не в тому, що хмарні інструменти небезпечні. Більшість із них компетентні в безпеці. Справа в контролі. Регульовані середовища повинні довести, де зберігаються дані, хто має доступ, як вони зашифровані та що відбувається, коли щось іде не так. З SaaS-платформою ви довіряєте їхнім відповідям. З розгортанням на власному сервері ви можете перевірити самі.

Чому документацію ігнорують при комплаєнсі

Команди безпеки аудитують бази даних, репозиторії коду та інструменти комунікації. Платформи документації часто проскакують, бо їх сприймають як «просто документи» — внутрішні вікі з нотатками нарад та посібниками з адаптації.

Але документація часто містить:

• Діаграми архітектури з мережевою топологією та діапазонами IP
• Специфікації API з потоками автентифікації та форматами токенів
• Ранбуки з обліковими даними, рядками підключення та процедурами ескалації
• Документацію для клієнтів із можливостями продукту, що підлягають експортному контролю
• Звіти про інциденти з деталями вразливостей

Це чутливий матеріал. Якщо він зберігається на сторонньому сервері в юрисдикції, яку ви не контролюєте, ви можете порушувати комплаєнс, не усвідомлюючи цього.

Контрольний список комплаєнсу

При оцінці інструментів документації для регульованих середовищ ось необхідні вимоги:

Резидентність даних

Де дані фізично зберігаються? Для інструментів на власному сервері відповідь проста: на вашій інфраструктурі, у вибраному вами регіоні. Для SaaS-інструментів потрібно перевірити розташування центрів обробки даних провайдера та будь-яких сторонніх субпроцесорів.

За GDPR передача персональних даних за межі ЄС вимагає конкретних правових механізмів. Якщо ваша документація містить будь-які персональні дані (імена співробітників, інформацію про клієнтів, дослідження користувачів), місце хостингу має значення.

Автентифікація та контроль доступу

Хто може отримати доступ до документації і як це довести? Регульовані середовища зазвичай вимагають:

• Багатофакторну автентифікацію — лише паролів недостатньо
• Рольовий контроль доступу (RBAC) — не всі повинні бачити все
• Управління сесіями — автоматичні тайм-аути, обмеження конкурентних сесій
• Журнал аудиту — хто отримав доступ до чого, коли, звідки

Шифрування

Дані повинні бути зашифровані при передачі та у стані спокою. «Ми використовуємо HTTPS» покриває передачу. У стані спокою — складніше питання: чи зашифрована база даних? Чи зашифровані вкладені файли? Який алгоритм і довжина ключа?

Журнал аудиту

Фреймворки комплаєнсу вимагають доказів. Коли аудитор запитує «хто отримав доступ до цього документа 15 березня», вам потрібна відповідь. Журнали аудиту повинні фіксувати:

• Ідентичність користувача (не просто «хтось»)
• Виконану дію (читання, запис, видалення, експорт)
• Позначку часу
• IP-адресу або ідентифікатор сесії
• Успіх або невдачу

Портативність даних

Якщо потрібно змінити інструменти — або якщо регулятор вимагає експорт даних — чи можете ви отримати контент у стандартному форматі? Пропрієтарні формати створюють прив’язку до постачальника та ризик для комплаєнсу.

Що надає Valoryx

Ось як Valoryx відповідає кожній вимозі. Це не маркетингові заяви — це деталі реалізації, які ви можете перевірити в документації з безпеки та вихідному коді.

Автентифікація

Valoryx підтримує автентифікацію WebAuthn/passkey та традиційну парольну автентифікацію. Паролі хешуються за допомогою Argon2id — переможця Password Hashing Competition, розробленого для стійкості до GPU та ASIC атак. Argon2id є поточною рекомендацією OWASP для зберігання паролів.

RBAC вбудований із п’ятьма ролями: Owner, Admin, Editor, Viewer та Guest. Кожна роль має явні дозволи для доступу до workspace, редагування сторінок, управління користувачами та конфігурації системи. Дозволи застосовуються на рівні API, а не лише інтерфейсу — тому навіть прямі API-виклики поважають межі ролей.

Шифрування

Усі дані у стані спокою зашифровані за допомогою AES-256-GCM. Це включає базу даних SQLite, вкладені файли та будь-який кешований контент. AES-256-GCM забезпечує як конфіденційність, так і цілісність — підроблені дані виявляються, а не просто стають нечитабельними.

При передачі Valoryx працює через HTTPS. Для інсталяцій за зворотним проксі (поширений патерн) TLS термінується на проксі. Посібник зі встановлення охоплює як пряму конфігурацію TLS, так і конфігурацію зворотного проксі.

Content Security Policy

Valoryx відправляє суворі заголовки Content Security Policy (CSP), що запобігають міжсайтовому скриптингу, клікджекінгу та ексфільтрації даних через вбудовані скрипти. Заголовки CSP налаштовані за замовчуванням — ручне налаштування не потрібне.

Журнал аудиту

Кожна значуща дія записується: перегляди сторінок, редагування, видалення, спроби входу (успішні та невдалі), зміни дозволів, операції git sync та використання API-ключів. Журнали включають ідентичність користувача, позначку часу, IP-адресу та конкретний ресурс, якого це стосується.

Журнали зберігаються локально в тій самій базі даних SQLite, що означає, що вони охоплюються тими самими політиками шифрування та резервного копіювання, що й ваш контент. Для організацій, що перенаправляють журнали в SIEM, журнал активності доступний через API адміністратора.

Портативність даних

Весь контент зберігається як стандартний markdown. Git sync означає, що ваш контент вже існує в git-репозиторії у вигляді текстових файлів. Якщо ви припините використовувати Valoryx завтра, ваша документація все ще там — у вашому репозиторії, у стандартному форматі, з повною історією.

Жодного пропрієтарного кроку експорту. Жодного обхідного шляху «завантажити як ZIP». Ваш контент завжди доступний у тому форматі, в якому ви його написали.

Порівняння: на власному сервері проти хмари для комплаєнсу

Рядок «субпроцесори» заслуговує уваги. Багато SaaS-інструментів документації використовують сторонні сервіси для пошуку (Algolia), аналітики (Segment), відстеження помилок (Sentry) та хостингу (AWS, GCP). Кожен субпроцесор — ланка в ланцюгу комплаєнсу, що потребує власної оцінки. Valoryx — це один бінарний файл на Go з нульовими зовнішніми залежностями та нульовими вихідними мережевими викликами. Ланцюга постачальників для аудиту немає.

Практичні кроки

Якщо ви оцінюєте інструменти документації для регульованого середовища:

1. Мапуйте свої дані. Що насправді міститься у вашій документації? Деталі архітектури, облікові дані, дані клієнтів? Це визначає, які фреймворки комплаєнсу застосовуються.

2. Перевірте вимоги вашого фреймворку. GDPR, SOC 2, HIPAA, ITAR та FedRAMP мають різні вимоги до резидентності даних, шифрування та контролю доступу. Знайте, які з них застосовуються до вашої організації.

3. Спочатку спробуйте на власному сервері. Встановіть Valoryx на вашій інфраструктурі, підключіть до свого провайдера ідентифікації та перевірте контролі безпеки самостійно. Community Edition безкоштовний без функціональних обмежень — та сама автентифікація, шифрування та журнал аудиту доступні в кожній інсталяції.

4. Задокументуйте свої контролі. Коли аудитор прийде, вам потрібно буде показати: де зберігаються дані, як вони зашифровані, хто має доступ і що показує журнал аудиту. Інструменти на власному сервері роблять кожну з цих відповідей підтвердженою доказами з ваших власних систем.

Прочитайте нашу політику конфіденційності та умови обслуговування для деталей про те, як Valoryx обробляє дані в нашій хмарній пропозиції. Для інсталяцій на власному сервері ваші дані ніколи не торкаються нашої інфраструктури.

Комплаєнс не повинен диктувати вибір інструментів — але часто так відбувається. Документація на власному сервері дає регульованим командам на одну річ менше для пояснення аудитору та ще одну систему повністю під власним контролем.