اعتماد اور تعمیل
Ijtimaa سعودی NCA کے Essential Cybersecurity Controls، ISO/IEC 27001 اور SOC 2 کے ساتھ کس حد تک ہم آہنگ ہے۔
یہ ہمارا اپنا خود جائزہ ہے۔ Ijtimaa کے پاس ISO/IEC 27001 سرٹیفکیشن نہیں ہے اور ابھی تک کسی آڈیٹر کی SOC 2 رپورٹ بھی نہیں۔ اپنا جائزہ تیار کرتے وقت یہ دیکھنے کے لیے اس پیج کو استعمال کریں کہ سافٹ ویئر کیا کرتا ہے، اور آپ کو اپنی طرف سے کیا کرنا ہوگا۔
آپ کا ڈیٹا کہاں رکھا جاتا ہے
- میٹنگز، ریکارڈنگز، AI نوٹس اور کیپشنز ہمارے اپنے سرورز پر پروسیس ہوتے ہیں اور کبھی بیرونی AI سروسز کو نہیں بھیجے جاتے۔
- ہر ورک اسپیس کو سرگرمی کا لاگ، قابلِ تبدیلی ریٹینشن مدت اور پرنٹ کے قابل تعمیل رپورٹ ملتی ہے (ایڈمن › تعمیل)۔
- Ijtimaa میں شامل
- اس پر منحصر ہے کہ سرور کیسے چلایا جاتا ہے (آپ یا آپ کا ہوسٹنگ فراہم کنندہ)
- ابھی نہیں ہوا: ہماری فہرست میں شامل ہے
NCA Essential Cybersecurity Controls (ECC)
ECC کے چار بنیادی شعبے اس جیسی سروس پر لاگو ہوتے ہیں۔ ہم ہر ایک کے لیے بتاتے ہیں کہ Ijtimaa کیا کرتا ہے۔
| گورننسشعبہ 1 | سیلف ہوسٹڈ: ڈیٹا بیس، ریکارڈنگز اور بیک اپس آپ کے منتخب کردہ سرور پر رہتے ہیں، اور اگر آپ مملکت میں ہوسٹ کریں تو مملکت ہی میں۔ صارفین کو دکھائی جانے والی ڈیٹا لوکیشن آپ طے کرتے ہیں۔ پالیسیاں، رسک رجسٹر اور جائزے بدستور آپ کی تنظیم کی ذمہ داری ہیں۔ | مشترکہ |
|---|---|---|
| شناخت اور رسائیشعبہ 2 | پاس ورڈز scrypt کے ذریعے ہیش کیے جاتے ہیں؛ ریکوری کوڈز کے ساتھ دو مرحلہ سائن اِن (آتھنٹیکیٹر ایپ)؛ Microsoft، Google یا کسی بھی SAML شناختی فراہم کنندہ (ADFS، Okta، Entra ID) کے ذریعے کمپنی سائن اِن؛ صارفین کی خودکار شمولیت اور اخراج (SCIM)؛ ورک اسپیس رولز (ایڈمن، ممبر)؛ ورک اسپیس ممبرز کے لیے کمپنی سائن اِن لازمی کر سکتی ہے۔ | شامل |
| منتقلی کے دوران اور محفوظ شدہ ڈیٹا کا تحفظشعبہ 2 | ہر جگہ HTTPS (خودکار سرٹیفکیٹس)؛ میٹنگ کی آڈیو اور ویڈیو منتقلی کے دوران انکرپٹڈ (DTLS-SRTP)؛ محفوظ کیے گئے راز جیسے میل پاس ورڈز، اسٹریم کیز اور کیلنڈر ٹوکنز AES-256-GCM سے انکرپٹڈ؛ اختیاری اینڈ ٹو اینڈ انکرپٹڈ میٹنگز، جن میں ویڈیو سرور بھی میٹنگ کو نہ دیکھ سکتا ہے نہ سن سکتا ہے۔ | شامل |
| ڈسک انکرپشن اور ہارڈننگشعبہ 2 | سرور ڈسک کی انکرپشن، فائر وال رولز اور آپریٹنگ سسٹم اپ ڈیٹس سرور پر کیے جاتے ہیں۔ ہماری سیٹ اپ اسکرپٹ فائر وال اور خودکار سیکیورٹی اپ ڈیٹس آن کر دیتی ہے۔ | مشترکہ |
| مانیٹرنگ اور واقعات پر ردِعملشعبہ 2 | ایک بلٹ اِن واچ ڈاگ ایپ، ڈیٹا بیس، ویڈیو سرور، ڈسک اور بیک اپس کو چیک کرتا ہے اور مالک کو ای میل کرتا ہے۔ اونر پورٹل کے سائن اِنز اور تبدیلیاں لاگ کی جاتی ہیں۔ واقعات سے نمٹنے کا عمل آپ کی ٹیم چلاتی ہے۔ | مشترکہ |
| لچک اور بیک اپسشعبہ 3 | رات کے ڈیٹا بیس بیک اپس کو ایک ٹیسٹ ڈیٹا بیس میں بحال کر کے ثابت کیا جاتا ہے کہ وہ کام کرتے ہیں؛ ریکارڈنگز کے اسنیپ شاٹس لیے جاتے ہیں؛ سرور سے باہر کاپی آن کی جا سکتی ہے۔ 14 دن تک محفوظ رکھے جاتے ہیں۔ | شامل |
| تھرڈ پارٹیز اور کلاؤڈشعبہ 4 | کوئی بیرونی AI، کیپشن یا ویڈیو سروس نہیں: اسپیچ ٹو ٹیکسٹ، خلاصے اور ترجمہ اسی سرور پر چلتے ہیں۔ بیرونی سروسز صرف تب استعمال ہوتی ہیں جب آپ انہیں جوڑیں (آپ کا ای میل سرور، کیلنڈرز، SMS)۔ | شامل |
ISO/IEC 27001:2022، Annex A
Annex A کے وہ کنٹرولز جو میٹنگ اور بکنگ سروس خود سافٹ ویئر کے اندر پورے کر سکتی ہے۔
| رسائی کنٹرول اور تصدیقA.5.15, A.5.17, A.8.5 | ہر ورک اسپیس میں رول کی بنیاد پر رسائی؛ دو مرحلہ سائن اِن؛ کمپنی سائن اِن (SSO)؛ سیشنز کی میعاد ختم ہوتی ہے اور انہیں سائن آؤٹ کیا جا سکتا ہے؛ سائن اِن پر ریٹ لمٹس۔ | شامل |
|---|---|---|
| کلاؤڈ سروسز اور سپلائرزA.5.19, A.5.23 | آپ کے اپنے سرور پر چلتا ہے؛ جب تک آپ کسی فراہم کنندہ کو نہ جوڑیں، کوئی ڈیٹا دوسرے فراہم کنندگان کو نہیں بھیجا جاتا۔ | شامل |
| پرائیویسی اور ذاتی ڈیٹاA.5.34 | مہمانوں کا ڈیٹا صرف بکنگ کے لیے استعمال ہوتا ہے؛ ہر ورک اسپیس طے کرتی ہے کہ ریکارڈنگز، چیٹ، کیپشنز، فائلیں اور AI نوٹس کتنی دیر رکھے جائیں؛ ایڈمنز سب کچھ ایکسپورٹ کر سکتے ہیں، اور ہر فرد اپنا ڈیٹا ڈاؤن لوڈ یا ڈیلیٹ کر سکتا ہے۔ | شامل |
| بیک اپسA.8.13 | ہر رات، بحالی کے ذریعے جانچے جاتے ہیں؛ سرور سے باہر کاپی اختیاری۔ | شامل |
| لاگنگ اور مانیٹرنگA.8.15, A.8.16 | مالک کی کارروائیاں لاگ ہوتی ہیں اور سرور کی نگرانی ہوتی ہے۔ ایسا مکمل ایکٹیویٹی لاگ جسے ورک اسپیس ایڈمنز تلاش کر سکیں، ابھی نہیں بنا۔ | ابھی نہیں |
| کرپٹوگرافیA.8.24 | ویب اور ویڈیو کے لیے TLS؛ محفوظ شدہ رازوں کے لیے AES-256-GCM؛ دعوت ناموں کے لیے سائنڈ لنکس۔ | شامل |
| محفوظ ڈیولپمنٹ اور ٹیسٹنگA.8.25, A.8.28, A.8.29 | ہر تبدیلی پر ہمارے اینڈ ٹو اینڈ ٹیسٹ سویٹس (سینکڑوں جانچیں) چلتے ہیں، جن میں ورک اسپیسز کے درمیان رسائی کی جانچ بھی شامل ہے۔ | شامل |
| آزادانہ ٹیسٹنگA.5.35, A.8.8 | ہماری اپنی سیکیورٹی ٹیسٹنگ ہر تبدیلی پر چلتی ہے (ڈیپنڈنسی آڈٹ، اسٹیٹک اینالیسس، اور ہر API پر حملہ آزمائش: سائن اِن، کراس سائٹ ریکویسٹس، ورک اسپیس آئسولیشن، انجیکشن، SSRF، ٹوکن میں چھیڑ چھاڑ)۔ کسی بیرونی فرم سے پینیٹریشن ٹیسٹ ابھی نہیں ہوا۔ | ابھی نہیں |
SOC 2 Trust Services Criteria
سافٹ ویئر ہر معیار کی کیسے معاونت کرتا ہے۔ SOC 2 رپورٹ کے لیے ضروری ہے کہ کوئی آڈیٹر ایک مدت تک آپ کے آپریشنز کی جانچ کرے۔
| سیکیورٹی: منطقی رسائیCC6.1–CC6.3 | رولز، دو مرحلہ سائن اِن، SSO، اور ہر ڈیٹا بیس کوئری میں نافذ ورک اسپیس آئسولیشن۔ | شامل |
|---|---|---|
| سیکیورٹی: منتقلی کے دوران ڈیٹاCC6.7 | HTTPS اور انکرپٹڈ میڈیا؛ ویب ہُکس صرف https:// ایڈریسز پر، اور کبھی نجی نیٹ ورکس پر نہیں۔ | شامل |
| سیکیورٹی: آپریشنزCC7.1–CC7.3 | واچ ڈاگ اور الرٹس بلٹ اِن ہیں؛ ان کا جائزہ لینا اور ردِعمل دینا آپ کا عمل ہے۔ | مشترکہ |
| تبدیلی کا انتظامCC8.1 | اپ ڈیٹس ایک کمانڈ سے ہوتی ہیں اور صاف طریقے سے واپس لی جا سکتی ہیں؛ تبدیلیوں کی منظوری آپ کا عمل ہے۔ | مشترکہ |
| دستیابیA1.2, A1.3 | خودکار ری اسٹارٹس، ہیلتھ چیکس، جانچے ہوئے بیک اپس اور بحالی کی اسکرپٹ۔ | شامل |
| رازداریC1.1, C1.2 | ریکارڈنگز اور نوٹس صرف میٹنگ ہوسٹ کے لیے؛ مدت کی حدیں پرانا ڈیٹا ہٹا دیتی ہیں۔ | شامل |
| پرائیویسیP1–P8 | پرائیویسی نوٹس، ڈیٹا رکھنے کی حدیں اور خود ڈیلیٹ کرنے کی سہولت بلٹ اِن ہیں؛ آپ کی پرائیویسی پالیسی اور رضامندی کا عمل آپ کی ذمہ داری ہیں۔ | مشترکہ |
آپ کی ذمہ داری کیا ہے
- سرور ڈسک کو انکرپٹ کریں اور آپریٹنگ سسٹم اپ ڈیٹ رکھیں۔
- ہر ایڈمن کے لیے دو مرحلہ سائن اِن، اور عملے کے لیے کمپنی سائن اِن (SSO) آن کریں۔
- سرور سے باہر بیک اپ کاپی رکھیں، اور اس کی بحالی کی جانچ کریں۔
- تحریری طور پر طے کریں کہ ریکارڈنگز تک کس کی رسائی ہوگی اور آپ انہیں کتنی دیر رکھیں گے۔
اپنے جائزے کے لیے مزید معلومات چاہییں؟
ہم آرکیٹیکچر نوٹس شیئر کر سکتے ہیں اور سیکیورٹی سوالنامے پُر کر سکتے ہیں۔
ہم سے رابطہ کریں