Безопасность и защита данных в HRlink

HRlink работает с электронными подписями, персональными данными, юридически значимыми документами. Компания обеспечивает защиту персональных данных на уровне инфраструктуры, архитектуры сервиса, управления доступами, процессов разработки программного обеспечения. Меры безопасности реализованы в соответствии с требованиями законодательства Российской Федерации и внутренними политиками информационной безопасности.

Защита персональных данных в системе реализована в соответствии с требованиями:

• Федерального закона №152-ФЗ «О персональных данных» от 27.07.2006 г.;
• Постановления Правительства РФ №1119 от 01.11.2012 «Об утверждении требований к защите персональных данных при их обработке в ИСПДн»;
• Приказа ФСТЭК России №21 от 18.02.2013 (ред. от 14.05.2020).

Выполнение мер защиты информации подтверждено аттестатами соответствия:

• №2362.00006.2026 — на ИСПДн «Система электронного кадрового документооборота HRlink», выдан 2 марта 2026 года органом по аттестации ООО «ГСКС "ПРОФИ"»;
• №Л024-00107-00/00580503.00191.2025 — на информационную систему «Аттестованная облачная платформа АО "Селектел"», выдан 19 ноября 2025 года.

Аттестат соответствия подтверждает выполнение требований по защите информации в информационной системе персональных данных, установленных нормативными документами ФСТЭК России. Информационная система персональных данных HRlink имеет аттестат соответствия на второй уровень защищенности персональных данных (УЗ-2). Это значит, что вы можете не переживать о защите чувствительной информации.

Предлагаем решения для компаний с самыми строгими требованиями к безопасности. Система может использоваться в облачной инфраструктуре или устанавливаться на серверах заказчика (on-premise). При использовании облачной версии данные размещаются в дата-центрах «Селектел», где обеспечиваются:

• контроль физического доступа к оборудованию;
• контроль сетевого доступа к инфраструктуре;
• наличие средств сетевой фильтрации и сегментации инфраструктуры;
• мониторинг инфраструктуры безопасности.

При использовании версии on-premise данные хранятся и обрабатываются на серверах заказчика.

Для защиты учетных записей пользователей и управления доступом применяются:

• двухфакторная аутентификация;
• технология единого входа (SSO);
• интеграция с корпоративными каталогами пользователей (например, Active Directory).

Система поддерживает гибкую настройку прав доступа — по юридическим лицам, подразделениям, типам документов и операциям. Для административных ролей могут применяться дополнительные ограничения доступа, например, по сетевым адресам (IP). Также используются механизмы контроля пользовательских сессий и их автоматического завершения при отсутствии активности. Это позволяет выстраивать прозрачные кадровые процессы и не допускать ситуаций, когда сторонние лица получают доступ к конфиденциальной информации.

Для защиты данных применяются криптографические механизмы. Используются следующие меры:

• пароли пользователей не хранятся в открытом виде — применяется криптографическое хеширование с использованием современных алгоритмов хранения паролей;
• передача данных между пользователями и системой осуществляется по защищенному протоколу TLS;
• при необходимости могут использоваться криптографические алгоритмы, соответствующие требованиям российских стандартов.

Могут применяться средства криптографической защиты информации (СКЗИ), включая решения класса ViPNet или их аналоги. Дополнительно используются безопасные HTTP-заголовки и актуальные версии библиотек безопасности. Такой комплексный подход помогает минимизировать риск утечки данных пользователей.

Действия пользователей и технические операции фиксируются в журналах событий. Они передаются в систему SIEM, где выполняется централизованный сбор, хранение и анализ событий. Инфраструктура также подключена к внешнему центру мониторинга безопасности (SOC). Это решение позволяет 24/7 контролировать создание, изменение и статусы кадровых документов, повышая прозрачность и управляемость процессов.

Вам не придется переживать о сохранности данных, поскольку в системе используется резервное копирование, которое выполняется по защищенным каналам передачи информации.

Инфраструктура и программное обеспечение регулярно тестируются на наличие уязвимостей. Проверки проводятся на протяжении жизненного цикла системы. Это позволяет выявлять потенциальные проблемы безопасности и устранять их до того, как они могут быть обнаружены и использованы злоумышленниками.

В компании применяются практики безопасной разработки программного обеспечения (Secure Software Development Lifecycle, SSDLC).
В рамках процесса используются:

• статический анализ кода (SAST) — автоматическая проверка исходного кода на наличие ошибок и потенциальных уязвимостей;
• динамический анализ (DAST) — тестирование приложения во время выполнения для выявления возможных уязвимостей;
• фаззинг-тестирование — проверка устойчивости системы к некорректным или специально сформированным входным данным.

Благодаря этому новые и уже реализованные технические возможности работают стабильно, а операции с документами и кадровыми процессами — подписание документов, настройка интеграций, корректировка графика отпусков — регулярно проверяются, что снижает риск возникновения ошибок.

При разработке используются сторонние библиотеки и зависимости. Для проверки их безопасности применяется анализ состава программного обеспечения (Software Composition Analysis). Сканирование выполняется при загрузке кода в репозиторий, ежедневно и в другие моменты, определенные регламентом разработки. Используются инструменты Dependency Track, Trivy и Gemnasium Dependency. Эти шаги обеспечивают стабильную и безопасную работу HRlink с персональными данными.

Для дополнительной проверки безопасности проводится независимый анализ защищенности инфраструктуры и приложения. В рамках таких проверок выполняются:

• анализ архитектуры безопасности;
• пентесты (penetration testing);
• контроль устойчивости системы к распространенным типам атак и уязвимостей.

Такие проверки осуществляются специализированными командами по анализу защищенности на регулярной основе. Вы можете быть уверены, что система устойчива к угрозам.

Для защиты данных в HRlink используются технические и организационные меры на нескольких уровнях: надежная инфраструктура, механизмы аутентификации и разграничения доступа, криптографическая защита передачи данных, логирование действий пользователей, мониторинг событий безопасности, лучшие практики безопасной разработки и регулярный анализ уязвимостей. Эти меры применяются для всего жизненного цикла системы — от разработки до эксплуатации. Процессы выстроены так, чтобы данные компании и сотрудников были под надежной защитой.