— ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ БЕЗОПАСНОСТИ (TOMs)

Шифрование при передаче (TLS 1.3 + HSTS), при хранении (диски/снимки/R2 SSE), выборочное шифрование полей (pgcrypto).

Контроль доступа: принцип наименьших привилегий, MFA для персонала, разделение ролей.

Защита API-учётных данных (согласно Meta Platform Conditions §6.a.iv): Все токены, секреты приложений и ключи доступа сторонних API (включая системные токены Meta/WhatsApp, App Secret и Business Integration Tokens) хранятся в зашифрованном виде (SOPS + age), никогда не фиксируются в системе контроля версий, ротируются при подозрении на компрометацию и доступны только авторизованным сервисам по принципу минимально необходимого доступа.

RLS изоляция мульти‑тенант, централизованное логирование, SAST/DAST, управление уязвимостями (критичные ≤72ч).

Бэкапы/DR (RPO ≤24ч; RTO ≤8ч), WAF/rate‑limiting, реагирование на инциденты (уведомление ≤72ч).

Ежегодный внешний пентест, ежеквартальные внутренние обзоры, политика устройств (полное шифрование диска, авто‑блокировка, VPN/SSO).