Як YPA Finance захищає дані про твої гроші — і як ми це збудували саме так

Більшість застосунків кажуть, що твоя безпека — їхній пріоритет. Ось що це насправді означає на практиці — архітектура, партнери, стандарти й рішення, які ми ухвалили ще до того, як написали бодай рядок продуктового коду.

Безпека — одне з тих слів, які вживають так часто, що вони перестають щось означати. Кожен фінансовий застосунок каже, що ставиться до неї серйозно. Майже жоден не пояснює, як це насправді виглядає під капотом.

Тож я зроблю дещо інше. Я розкажу тобі точно, як ми збудували інфраструктуру безпеки YPA Finance — які стандарти шифрування ми використовуємо, яких партнерів ми обрали і чому, чого ми ніколи не зберігаємо, і де ми зараз перебуваємо на шляху до compliance. Конкретика, а не маркетинг.

Якщо ти вже читала мій текст про підключення банківського рахунку до фінансового застосунку, цей іде на шар глибше.

Безпека не була додана пізніше. Вона була стартовою точкою.

Я бачила, що відбувається, коли стартапи прикручують безпеку постфактум. Це видно в їхній архітектурі, у моделі даних, у реакції на інциденти. Це впадає у вічі.

Коли ми проєктували YPA Finance, ми рано ухвалили рішення: ми не зберігатимемо нічого, що нам абсолютно не потрібно. Ні твоїх банківських облікових даних. Ні твого Social Security Number. Ні номерів твоїх платіжних карток. Якщо у нас немає даних, їх не можна у нас вкрасти. Це не філософська заява — це архітектурне обмеження, навколо якого ми збудували весь продукт.

Це одне рішення зрештою визначило практично все інше — з ким ми стали партнерами, як ми вибудували нашу модель даних, чого ми домовилися ніколи не торкатися.

Шар шифрування: AES-256 і TLS 1.3

Кожен байт твоїх фінансових даних у YPA Finance шифрується з AES-256 у стані спокою. Під час передачі ми використовуємо TLS 1.3 — той самий стандарт, який використовують великі фінансові установи США.

AES-256 означає, що навіть якщо хтось якимось чином дістане сирі дані з наших серверів, він отримає зашифрований блок, який ламатиметься брутфорсом довше, ніж існує Всесвіт. TLS 1.3 означає, що дані, які рухаються між твоїм телефоном і нашими серверами, не можна перехопити в читабельному вигляді.

Хочу бути конкретною тут, бо це саме той тип деталей, який більшість застосунків залишає туманним. Це не маркетингові заяви — це стандарти, яким ти або відповідаєш, або ні. Ми відповідаємо.

Партнери, яких ми обрали — і чому ми їх обрали

Я вже окремо писала про те, як насправді працюють банківські з'єднання, тож не повторюватиму повне пояснення тут. Коротка версія: ми використовуємо Plaid для банківських з'єднань, Equifax через Array для кредитних даних, і Stripe для платежів. У кожному випадку вибір зводився до однієї речі — ми не хотіли мати справу з даними, з якими нам не належить мати справу.

Ми ніколи не бачимо твій банківський пароль. Ми ніколи не бачимо номер твоєї картки. Ми ніколи не бачимо й не зберігаємо твій Social Security Number чи ITIN. Кожне з цих даних проходить через регульованого, спеціально побудованого провайдера, спроєктованого спеціально, щоб обробляти їх безпечно.

Інженерне рішення за цим — не просто «використовуй хороших партнерів». А те, що наша модель даних була навмисно обмежена — ми вибудовували архітектуру навколо того, що ніколи не триматимемо, а не лише навколо того, що триматимемо. Це обмеження потім визначило, яких партнерів ми взагалі могли використовувати. Модель OAuth у Plaid, потік верифікації особи в Array, обробка платежів у Stripe — всі вони сумісні з системою, яка відмовляється бути в ланцюжку для чутливих облікових даних.

Інфраструктура: Google Cloud, посилений з першого дня

YPA Finance працює на Google Cloud Platform. Наша інфраструктура управляється Terraform — це означає, що кожна зміна в наших системах версіонована, придатна для аудиту й проходить ревʼю, перш ніж потрапляє кудись близько до продакшну.

Ми використовуємо Web Application Firewall для захисту API, з rate limiting, щоб блокувати спроби брутфорсу й сканування. Моніторинг у реальному часі означає, що якщо стається щось незвичне, ми дізнаємося про це раніше за тебе.

Кожен запит до наших систем — звідки б він не приходив, від користувача чи від внутрішнього сервісу — має бути автентифікований і авторизований. Нічому всередині системи за замовчуванням не довіряють.

SOC 2: де ми зараз і куди йдемо

Хочу бути чесною з цього приводу, бо я бачила інші компанії, які натякали, що сертифіковані SOC 2, коли це було не так.

Ми ще не сертифіковані за SOC 2 Type II. Ми працюємо над цим. Наші заходи контролю розроблені й впроваджені відповідно до стандартів SOC 2 — рольовий контроль доступу, всеохопне логування для аудиту, регулярні пентести, сторонні ревʼю безпеки.

Навіщо взагалі це згадувати, якщо це не завершено? Бо я думаю, ти заслуговуєш знати, де ми перебуваємо реально, а не там, де нам хотілося б, щоб ти думала, що ми перебуваємо. Заходи контролю реальні. Процес сертифікації вимагає часу. Ми в ньому.

Пʼять речей, яких ми ніколи не зробимо

Що можна зробити просто зараз

Якщо ти вже користуєшся YPA Finance: ти можеш будь-коли в застосунку переглянути, якими даними ти поділилася. Ти можеш відключити свій банківський рахунок у два дотики. Ти можеш написати нам на security@ypa.finance з будь-яким конкретним питанням про твої дані, і відповідатиме людина.

Якщо ти лише розглядаєш YPA Finance: прочитай нашу Security page, перш ніж щось підключати. Застосуй той самий чек-лист до кожного фінансового застосунку, яким ти користуєшся. Будь-який застосунок, що вартий довіри, має бути здатен відповісти на кожне питання з тієї сторінки.

Довіра у фінтеху не будується на обіцянках. Вона будується на рішеннях, які або правда, або ні — ухвалених до того, як хтось почав дивитися, бо альтернатива неприйнятна. Це те, що ми намагалися збудувати.

---

Світлана Бурнінова — співзасновниця і CTO YPA Finance, з 15 роками у фінансових системах і 7 роками в інфраструктурі. Має сертифікації AWS, CKA, CKAD і HashiCorp Terraform. Питання про наші практики безпеки? Пиши їй на security@ypa.finance.