Polityka Bezpieczeństwa Platformy

Ostatnia aktualizacja: 12 lipca 2026 r.

1. Wprowadzenie i zakres

HardbanRecords Lab zobowiązuje się do zapewnienia najwyższego możliwego poziomu bezpieczeństwa wszystkich komponentów platformy, obejmujących usługi licencjonowania muzyki komercyjnej CMLP, platformę WordPress zintegrowaną z systemem, API backendowe, bazę danych, system przechowywania mediów oraz wszystkie powiązane mikroserwisy. Niniejsza Polityka Bezpieczeństwa określa zasady, procedury oraz środki bezpieczeństwa stosowane przez HardbanRecords Lab w celu ochrony danych, infrastruktury oraz użytkowników przed zagrożeniami cybernetycznymi, naruszeniami poufności, nieautoryzowanym dostępem oraz innymi formami ataków. Polityka ta obowiązuje wszystkie osoby fizyczne i prawne korzystające z platformy, w tym klientów B2B, użytkowników Panelu B2B, subskrybentów newslettera, gości strony internetowej oraz pracowników i współpracowników HardbanRecords Lab.

2. Architektura bezpieczeństwa

Infrastruktura HardbanRecords Lab opiera się na wielowarstwowej architekturze bezpieczeństwa obejmującej: warstwę perymetryczną Nginx jako reverse proxy z certyfikatem SSL/TLS, rate limiting, blokada złośliwego ruchu; warstwę aplikacyjną Express.js z middlewarem autoryzacji, walidacją danych, sanitizacją wejścia; warstwę danych PostgreSQL z szyfrowaniem w spoczynku, backupami, replikacją; warstwę przechowywania Docker volumes z ograniczeniami dostępu, szyfrowanie plików audio; oraz warstwę monitoringu Sentry, Uptime Kuma, logi Nginx, logi aplikacji, alerty Slack i Discord. Wszystkie połączenia wewnętrzne między mikroserwisami są szyfrowane za pomocą TLS 1.3. Dostęp do Panelu B2B wymaga uwierzytelnienia dwuskładnikowego MFA/TOTP. Hasła użytkowników są hashowane algorytmem bcrypt z solą losową i trudnością parametru 12. Sesje użytkowników wygasają automatycznie po 2 godzinach nieaktywności.

3. Szyfrowanie danych

Wszystkie dane transmitujace się między klientem a serwerem są szyfrowane za pomocą protokołu TLS 1.3 z certyfikatami SSL wydawanymi przez Let’s Encrypt. Minimalna wersja TLS wymagana do połączenia to TLS 1.2. Starsze wersje protokołów SSL 3.0, TLS 1.0, TLS 1.1 są blokowane na poziomie Nginx. Dane przechowywane w bazie danych PostgreSQL są szyfrowane w spoczynku za pomocą szyfrowania transparentnego dostępnego w wersji Enterprise lub za pomocą triggerów szyfrujących dla wrażliwych pól danych płatności, hasła. Pliki audio przechowywane na serwerach są chronione za pomocą mechanizmu X-Accel-Redirect, który zapobiega bezpośredniemu dostępowi do plików MP3 i WAV z zewnątrz. Wszystkie backupy baz danych są kompresowane i szyfrowane przed wysłaniem do zewnętrznego magazynu.

4. Kontrola dostępu i autoryzacja

Dostęp do systemów i danych jest regulowany przez zasady least privilege. Wszyscy użytkownicy Panelu B2B muszą przejść proces uwierzytelnienia dwuskładnikowego MFA/TOTP przed otrzymaniem dostępu do funkcji administracyjnych. Hasła muszą spełniać wymagania: co najmniej 8 znaków, w tym wielka litera, mała litera, cyfra oraz znak specjalny. Hasła są przechowywane jako hashe bcrypt, nigdy w formie jawnej. Administratorzy systemu mają dostęp do logów audytowych i mogą przeglądać historię działań użytkowników. Wszyscy pracownicy HardbanRecords Lab podpisują umowę o nieujawnianiu informacji poufnych NDA przed otrzymaniem dostępu do danych klientów. Dostęp zdalny do infrastruktury jest możliwy wyłącznie przez VPN z certyfikatem klucza publicznego lub przez protokół SSH z kluczem ed25519 bez autoryzacji hasłem.

5. Monitoring i detekcja zagrożeń

HardbanRecords Lab stosuje ciągłe monitorowanie infrastruktury za pomocą narzędzi takich jak Uptime Kuma do monitorowania dostępności, Sentry do monitorowania błędów aplikacji, Nginx access i error logs do analizy ruchu, Prometheus i Grafana do metryk systemowych oraz custom reguły detekcji anomalii. System monitoruje: próby ataków na panel logowania WordPress brute force, nieprawidłowe zapytania API SQL injection, XSS, path traversal, podejrzane wzorce ruchu sieciowego port scanning, masscan, nikto, nieprawidłowe użycie tokenów API, nieoczekiwane wzorce używania licencji wykorzystanie poza zakresem. W przypadku wykrycia zagrożenia, system automatycznie generuje alert dla zespołu bezpieczeństwa, który następnie podejmuje odpowiednie działania: blokowanie adresów IP, wycofanie skompromitowanych tokenów, izolacja dotkniętych systemów, powiadomienie używanych podmiotów prywatnych.

6. Backup i odzyskiwanie po awarii

HardbanRecords Lab prowadzi regularne kopie zapasowe wszystkich krytycznych danych. Strategia backupów obejmuje: backup całej bazy danych PostgreSQL co 6 godzin, kopie przyrostowe co godzinę, backup plików audio i mediów codziennie, kopie konfiguracji serwerów i containerów co tydzień. Wszystkie backupy są przechowywane w co najmniej dwóch geograficznie oddalonych lokalizacjach VPS w Polsce oraz zewnętrzny serwis backupowy. Kopie zapasowe są weryfikowane co miesiąc pod kątem integralności i możliwości odzyskania. W przypadku awarii, proces recovery obejmuje: przywrócenie bazy danych z najnowszego backupu, przywrócenie plików audio i mediów, weryfikację spójności danych, przeprowadzenie testów funkcjonalnych, powiadomienie klientów o awarii i przewidywanym czasie przywrócenia usług. Średni czas odzyskania RTO wynosi 4 godziny, maksymalny 24 godziny. Punkt odzyskiwania RPO wynosi 6 godzin.

7. Zgłoś bezpieczeństwo

Jeśli odkryłeś lukę w zabezpieczeniach platformy, możesz skontaktować się z nami w celu odpowiedniej reakcji. Wszystkie zgłoszenia są traktowane poważnie i rozpatrywane w ciągu 24 godzin. W celu zgłoszenia luki prosimy wysłać szczegółowy opis do adresu [email protected], zawierający: typ luki, kroki do powtórzenia, potencjalny wpływ, proponowane rozwiązanie jeśli dotyczy. HardbanRecords Lab zobowiązuje się do niepodejmowania kroków prawnych przeciwko badaczom bezpieczeństwa, którzy zgłaszają luki w dobrej wierze, zgodnie z zasadami responsible disclosure. W ramach programu bug bounty, nagradzamy w wysokiej wartości osoby odkrywające krytyczne luki bezpieczeństwa.

8. Zasady raportowania incydentów

W przypadku wystąpienia incydentu bezpieczeństwa, HardbanRecords Lab stosuje następujący protokół: Faza 1 wykrycie i sklasyfikowanie incydentu w ciągu 1 godziny od wykrycia. Faza 2 izolacja dotkniętych systemów, wstrzymanie niebezpiecznych operacji. Faza 3 analiza przyczyn, zakresu i wpływu incydentu przez zespół bezpieczeństwa. Faza 4 powiadomienie użytkowników i odpowiednich organów w ciągu 72 godzin, jeśli incydent dotyczy danych osobowych lub ma istotny wpływ na usługi. Faza 5 naprawa luk i przywrócenie normalnego funkcjonowania systemu. Faza 6 audyt post-incidentowy i wdrożenie poprawek zapobiegających powtórzeniu. Wszystkie incydenty są dokumentowane w systemie zarządzania bezpieczeństwem, co umożliwia śledzenie trendów i ciągłe doskonalenie polityki bezpieczeństwa.

9. Polityka haseł i autoryzacji

HardbanRecords Lab stosuje ścisłe zasady dotyczące haseł i autoryzacji dostępu do systemów. Wszystkie hasła użytkowników muszą spełniać wymagania minimalne: co najmniej 8 znaków, w tym wielka litera, mała litera, cyfra oraz znak specjalny. Hasła są przechowywane jako hashe bcrypt z losową solą i parametrem trudności 12, co czyni je odpornymi na ataki brute force. Dostęp do Panelu B2B wymaga uwierzytelnienia dwuskładnikowego TOTP, który użytkownik skonfiguruje podczas pierwszej rejestracji lub w ustawieniach konta. Sesje użytkowników wygasają automatycznie po 2 godzinach nieaktywności, co minimalizuje ryzyko nieautoryzowanego dostępu do pozostawionych urządzeń. Administratorzy systemu mają dostęp do logów audytowych i mogą przeglądać historię działań użytkowników w celu wykrywania podejrzanych aktywności.

10. Szkolenia i świadomość pracowników

Wszyscy pracownicy HardbanRecords Lab przechodzą obowiązkowe szkolenia z zakresu bezpieczeństwa informacji i ochrony danych osobowych przy rozpoczęciu współpracy, a następnie co najmniej raz na kwartał w formie aktualizacji dotyczących nowych zagrożeń, zmian w polityce bezpieczeństwa oraz najlepszych praktyk. Pracownicy podpisują umowę o nieujawnianiu informacji poufnych NDA oraz zgodę na przetwarzanie danych osobowych w zakresie niezbędnym do świadczenia usług. HardbanRecords Lab prowadzi również symulacje phishingu wewnętrznego w celu podniesienia świadomości pracowników i testowania reakcji na ataki socjotechniczne. Wyniki szkoleń i testów są monitorowane przez zespół bezpieczeństwa, a pracownicy, którzy nie osiągną wymaganego poziomu wiedzy, otrzymują dodatkowe szkolenia indywidualne.

11. Bezpieczeństwo fizyczne infrastruktury

HardbanRecords Lab współpracuje z dostawcami usług hostingowych, którzy zapewniają odpowiednie środki bezpieczeństwa fizycznego w swoich datacentrach, w tym kontrolę dostępu, monitoring CCTV, systemy detekcji i gaśnicze pożarowe, zasilanie awaryjne UPS oraz klimatyzację. Serwery produkcyjne znajdują się w centrach danych certified ISO 27001 i SOC 2 Type II, co gwarantuje najwyższy standard bezpieczeństwa fizycznego i operacyjnego. Dostęp fizyczny do serwerów jest możliwy wyłącznie dla upoważnionego personelu dostawcy hostingowego. HardbanRecords Lab regularnie audytuje bezpieczeństwo infrastruktury fizycznej swoich dostawców.

12. Zgłoś incydent bezpieczeństwa

W przypadku wykrycia incydentu bezpieczeństwa, użytkownicy i pracownicy zobowiązani są do niezwłocznego powiadomienia zespołu bezpieczeństwa HardbanRecords Lab pod adresem [email protected] lub przez ticket system w Panelu B2B. Zgłoszenie powinno zawierać: opis incydentu, czas wystąpienia, potencjalny wpływ, kroki już podjęte oraz proponowane rozwiązanie. Zespół bezpieczeństwa sklasyfikuje incydent w ciągu 1 godziny i podjęcie odpowiednie działania zgodnie z protokołem reagowania na incydenty. W przypadku incydentu krytycznego, administrator niezwłocznie powiadomi dotkniętych użytkowników oraz odpowiednie organy nadzorcze zgodnie z obowiązującymi przepisami prawa.

13. Kontakt w sprawach bezpieczeństwa

W sprawach dotyczących bezpieczeństwa platformy, zgłaszania luk, incydentów lub pytań dotyczących polityki bezpieczeństwa, prosimy o kontakt pod adresem [email protected]. Administrator udziela odpowiedzi w ciągu 24 godzin od otrzymania zgłoszenia. W przypadku zagrożeń krytycznych, prosimy o oznaczenie tematu jako Pilne. Dla spraw ogólnych bezpieczeństwa można również skorzystać z adresu [email protected] lub numeru telefonu +48 726 651 384.

14. Regularne audyty i testy bezpieczeństwa

HardbanRecords Lab przeprowadza regularne audyty bezpieczeństwa oraz testy penetracyjne przeprowadzane przez zewnętrznych, niezależnych ekspertów ds. bezpieczeństwa. Audyty obejmują: przegląd kodu źródłowego pod kątem luk bezpieczeństwa, testy penetracyjne infrastruktury sieciowej, testy aplikacji webowych i API, audyt konfiguracji serwerów i kontenerów, audyt polityk bezpieczeństwa oraz testy reakcji na incydenty. Wyniki audytów są analizowane przez zespół bezpieczeństwa, a zidentyfikowane luki są naprawiane zgodnie z priorytetem. Krytyczne luki są naprawiane w ciągu 24 godzin, wysokiego ryzyka w ciągu 7 dni, średniego ryzyka w ciągu 30 dni, niskiego ryzyka w ciągu 90 dni. Raporty z audytów są dostępne dla klientów Enterprise na żądanie.

15. Zgodność z normami i certyfikatami

HardbanRecords Lab dąży do utrzymania najwyższych standardów bezpieczeństwa informacji i regularnie audytuje swoje procesy pod kątem zgodności z międzynarodowymi normami i ramami regulacyjnymi. Współpracujemy z zewnętrznymi ekspertami ds. bezpieczeństwa, którzy przeprowadzają niezależne oceny infrastruktury, kodu źródłowego oraz procesów organizacyjnych. Wszystkie zidentyfikowane luki i słabe punkty są natychmiast naprawiane zgodnie z priorytetem. Regularnie aktualizujemy politykę bezpieczeństwa, aby odzwierciedlała zmiany w infrastrukturze, nowe zagrożenia oraz zmiany w przepisach prawa. Klienci Enterprise mają dostęp do raportów bezpieczeństwa i mogą żądać aktualizacji dotyczących statusu bezpieczeństwa swojej infrastruktury.

Dziękujemy za zapoznanie się z Polityką Bezpieczeństwa HardbanRecords Lab. Jesteśmy do dyspozycji i pomożemy Ci w każdej kwestii dotyczącej bezpieczeństwa platformy. Skontaktuj się z nami pod adresem [email protected] lub [email protected].