Основные механизмы защиты
Шифрование при передаче и хранении
Каждый документ передаётся по TLS и хранится с шифрованием AES-256 (ключами управляет поставщик инфраструктуры). И база данных, и хранилище зашифрованы при хранении, а доступ к файлам контролируется безопасностью на уровне строк для каждой фирмы и подписанными ссылками с ограниченным сроком действия.
ИИ и конфиденциальные данные
Формы вроде W-2, 1099 и удостоверения личности читаются с помощью AWS Textract. Файл передаётся напрямую для обработки и не хранится в нашей учётной записи AWS, а для этой записи включён отказ (opt-out), чтобы AWS не использовала содержимое клиентов для разработки и улучшения своих ИИ-сервисов. Когда текст отправляется в Claude (API Anthropic) для разбора выписок, чтения уведомлений или подготовки черновиков, SSN полностью скрываются, а длинные номера счетов сокращаются до последних четырёх цифр. SSN и TIN, считанные из документов, запечатываются алгоритмом AES-256-GCM, отображаются только в скрытом виде и раскрываются полностью лишь после двухэтапной проверки с записью в журнал аудита.
Подтверждение личности при удалённой подписи (KBA)
Только когда офис включает подтверждение личности (KBA) для удалённой подписи формы 8879, открывается окно нашего поставщика BoldSign. Клиент отвечает в нём на вопросы по кредитной истории и подписывает; BoldSign получает имя латиницей и электронную почту подписанта и документ для подписи. Ответы не проходят через серверы TaxPin, мы храним только результат (пройдено или нет) и запись о проверке. После 3 неудачных попыток подпись переносится на визит в офис или бумажный вариант.
Очистка загруженных файлов и антивирусная проверка
Фотографии и PDF, загруженные клиентами, сервер пересохраняет как новые файлы. Из фотографий удаляются данные о месте съёмки и устройстве; из PDF — JavaScript, вложения и действия при открытии. Если результат выглядит иначе, чем оригинал, оригинал сохраняется. Затем все файлы (включая отправленные офисом) проверяются на вирусы с помощью AWS GuardDuty, а файл, отправленный офисом, становится виден клиенту только после проверки. При обнаружении угрозы файл помещается в карантин, остаётся только страница с уведомлением, и офис получает сообщение.
Полная изоляция фирм (RLS)
Мультиарендная изоляция обеспечивается механизмом Row-Level Security в PostgreSQL, а не кодом приложения. Каждый запрос к каждой таблице ограничен рамками фирмы, поэтому данные другой фирмы просто не возвращаются. Не только чтение, но и запись (INSERT/UPDATE) привязана к связке фирма↔клиент.
Подписанные ссылки с истекающим сроком
Постоянных публичных URL нет. Каждый просмотр и каждое скачивание проходят через подписанную ссылку, которая истекает через несколько минут, а путь в хранилище проверяется и по сегменту фирмы, и по сегменту клиента.
Двухфакторная аутентификация (MFA · aal2)
MFA через приложение-аутентификатор доступна и налоговым специалистам, и клиентам. Суть — в базе данных, а не в интерфейсе: после подключения фактора БД требует сессию aal2, поэтому одного пароля недостаточно, чтобы добраться до каких-либо данных.
Защищённый от изменений журнал аудита
Загрузки, скачивания, удаления, изменения профиля, изменения в команде, изменения согласий и внутренние заметки записываются автоматически. Журнал работает только на добавление (append-only), и приложение не может его редактировать или стирать.
Автоматический выход
Сессия завершается после 30 минут бездействия, поэтому на общем или публичном компьютере ничего не остаётся открытым.
Никаких документов в письмах
Письма-уведомления никогда не содержат вложений — только «проверьте портал». Даже взломанный почтовый ящик не раскроет ни одного документа.
Заголовки безопасности передачи
Content-Security-Policy, HSTS, X-Frame-Options (защита от кликджекинга) и nosniff применяются на всех маршрутах. Секреты, предназначенные только для сервера (сервисные ключи, SMTP, SMS-токены), никогда не передаются в браузер.
Путь одного документа
Загрузка
Клиент делает фото; браузер отправляет его по TLS. Проверяются тип и размер файла (25MB), а путь в хранилище привязывается к этому клиенту и этой фирме.
Зашифрованное хранение
Хранится с AES-256. Публичный URL никогда не создаётся.
Уведомление
Специалист получает оповещение «новый документ» — без вложения, только ссылка на портал.
Доступ
Открыть документ могут только авторизованные пользователи — по подписанной ссылке, которая истекает через несколько минут. Просмотры и скачивания фиксируются в журнале аудита.
Удаление
После удаления документ исчезает у обеих сторон, а сам факт удаления фиксируется в журнале аудита.
Кто что может видеть
Соответствие требованиям
Как TaxPin соотносится с мерами контроля, которых требуют правила США о защите налоговых данных.
Руководство IRS для налоговых специалистов по защите данных налогоплательщиков. Система поддерживает его основные требования: шифрование, многофакторную аутентификацию, контроль доступа, автоматическую блокировку и журналирование доступа.
Требует контроля доступа, шифрования, многофакторной аутентификации, мониторинга активности и управления изменениями — это обеспечивается контролем доступа через RLS, шифрованием при передаче/хранении, MFA и журналами аудита.
Наша Политика конфиденциальности включает уведомление о конфиденциальности GLBA.
TaxPin берёт на себя технические меры контроля из письменного плана информационной безопасности (WISP) фирмы (шифрование, контроль доступа, MFA, журналирование), помогая вашей фирме составить план.
Честная граница — разделённая ответственность
Если у вас есть вопросы о безопасности или нужны материалы для due diligence, обращайтесь в любое время.