Хостинг
HONESTAS работи на едно от две места с един и същ софтуер.
- Нашият облак в ЕС. Центрове за данни в Ирландия. Данните ви се съхраняват и обработват в Европейския съюз, като вие избирате къде да се пази всеки вид данни: в нашия облак в ЕС или във ваш собствен център за данни.
- Ваш собствен център за данни. HONESTAS се инсталира на ваш собствен хардуер, зад вашите собствени мрежови защити. Актуализациите пристигат като подписани пакети, които вие одобрявате преди стартиране.
И в двата случая запечатаните записи се записват в хранилище извън инсталацията с външен времеви печат, така че компрометирането на една инсталация не може да пренапише нейната история.
Криптиране и ключове
- Данните са криптирани при пренос и при съхранение с отделен ключ за всяко дружество.
- Можете да съхранявате ключовете си във ваше собствено хранилище за ключове. Ако оттеглите ключа, данните, които той защитава, повече не могат да бъдат прочетени.
- Ключовете, които запечатват записите, се пазят отделно от ключовете за защита на данните и никога не са достъпни за лицата, които подписват решенията.
- Заявките към ИИ се изпълняват през вашите собствени акаунти и ключове към доставчици на модели, съгласно вашите договори с тях. Всяка заявка се записва с използвания ключ, модел и версия.
- Номерата на банкови карти никога не достигат до HONESTAS. Клиентите ги въвеждат директно в полетата на доставчика на платежни услуги.
Изолация
Всяка заявка в HONESTAS посочва три неща: дружеството, към което принадлежи, чии са данните и кое звено я отправя. Заявка, която не съдържа и трите, се отхвърля с код SCOPE_REFUSED, като отказът се записва.
- Между дружества. Всеки застраховател, брокер, MGA или TPA разполага със собствено пространство и собствени ключове. В обща среда за пласиране на риск изолацията между пазарите се проверява преди изпращането на всяко съобщение.
- Между собственици на данни. TPA или брокер, който работи за много клиенти, води записите на всеки клиент под името на съответния клиент.
- Между звена. Екипи като звеното за специални разследвания (SIU) могат да бъдат изолирани информационно в рамките на самото дружество.
Всеки качен файл се отваря в изолирана среда (sandbox) без мрежов достъп, прочита се и се изтрива.
Достъп
- Потребителите влизат чрез вашия собствен доставчик на идентичност през SAML или OIDC, като акаунтите се синхронизират чрез SCIM. За подписване на решения се използват ключове за достъп (passkeys) на личното устройство на съответното лице.
- Ролите определят какво може да вижда и прави всеки потребител. Рисковите промени, като нов лимит на правомощия за подписване или нова версия на модел, изискват потвърждение от второ лице.
- При спешни случаи на администратор може да бъде даден пълен достъп за кратко време, под наблюдението на второ лице и със записване на всяка стъпка.
- Достъпът на служители на Adverant е ограничен, подлежи на одобрение и се записва.
Логване
Всяко влизане, преглед, промяна, заявка към ИИ и действие на администратор се записва в лог с информация кой, какво, кога и откъде го е извършил. Логовете се пазят извън вашата инсталация, не могат да бъдат редактирани и се съхраняват за зададения от вас период. Можете да ги изпращате към собствените си инструменти за сигурност чрез API за събития.
Тестване
- Независими специалисти тестват HONESTAS за уязвимости. Отстраняваме констатациите по ред на тяхната критичност.
- Всяка компилация (build) се подписва, а включеният в нея софтуер се проверява за известни уязвимости преди пускане.
- Проверките, които блокират решения, запечатването на записите и информационните стени между дружествата се тестват при всяка нова версия.
Инциденти
Ако инцидент засегне вашите данни, ние уведомяваме посоченото от вас лице за контакт по сигурността без ненужно забавяне и следваме плана във вашия договор. Предоставяме ви хронология от първия сигнал и фактите, които са ви необходими, за да изпълните задълженията си за докладване по DORA и GDPR.
Съобщете за проблем
Изпратете имейл на security@honestas.ai. Моля, включете:
- какво сте открили и къде (адрес, екран или компонент);
- стъпките за възпроизвеждане на проблема, заедно с примерен код (proof-of-concept) или екранни снимки;
- какво би могъл да направи злонамерен нападател с тази уязвимост според вас;
- как да се свържем с вас и дали желаете името ви да бъде споменато публично.
Ако е възможно, пишете на английски език. Един ясен доклад е по-полезен от няколко кратки. Моля, не включвайте лични данни, на които сте попаднали – вместо това ги опишете. Отстраняваме най-сериозните проблеми първо, уведомяваме ви, когато корекцията е готова, и съгласуваме с вас кога подробностите могат да бъдат споделени.
Какво попада в обхвата
- honestas.ai и неговите поддомейни, включително конзолата на HONESTAS;
- HONESTAS, както го поддържаме в нашия облак в ЕС, включително системата за вход, хранилището на записи и инструмента за проверка на записи;
- приложенията на HONESTAS за iOS и Android, SDK пакета за клиентски портали и публичния API.
Извън обхвата: атаки срещу наши служители (фишинг, социално инженерство), физически атаки, атаки за отказ на услуга (DoS), констатации, които изискват вече компрометирано устройство, както и доклади от автоматизирани скенери без доказано реално въздействие. Инсталация в собствен център за данни на клиент принадлежи на съответния клиент; моля, съобщавайте за проблеми там както на него, така и на нас.
Правила за изследователи
- Използвайте само акаунти и данни, които са ваши или са ви били предоставени за тестване.
- Направете само минимално необходимото, за да докажете проблема. Спрете и ни уведомете веднага щом достигнете до данни на друго дружество.
- Не променяйте и не изтривайте данни, не влошавайте работата на услугата и не задържайте достъп по-дълго от необходимото.
- Пазете подробностите в тайна, докато не договорим дата за публично оповестяване.
Защита от отговорност
Ако действате добросъвестно и спазвате тези правила, ще третираме вашето проучване като разрешено. Няма да предприемаме правни действия срещу вас, нито ще ви докладваме на компетентните органи за това, а ако някой друг го направи, ще заявим ясно, че сте действали с наше разрешение. Това не покрива действия, които нарушават закона по начини, които тези правила не могат да разрешат.
Разкриване на информация
Предпочитаме да публикуваме подробности едва след като корекцията е достъпна за всички, които се нуждаят от нея. Ще съгласуваме момента с вас и няма да искаме да пазите мълчание по-дълго, отколкото е необходимо за защита на нашите клиенти. Ако не сме съгласни, ще ви обясним защо.
Ако сте наш клиент, съобщете за предполагаем инцидент чрез лицето за контакт по сигурността, посочено във вашия договор, или чрез поддръжката в самия HONESTAS, за да можем да следваме вашия план за реакция при инциденти. За да видите къде се съхраняват данните ви и кои регулаторни изисквания покриваме, посетете центъра за доверие.
Последна актуализация: 23 октомври 2026 г.