Hosting
HONESTAS běží na jednom ze dvou míst, v obou případech se stejným softwarem.
- Náš cloud v EU. Datová centra v Irsku. Vaše data jsou ukládána a zpracovávána v Evropské unii a sami si volíte, kde je každý typ dat uchováván: v našem cloudu v EU, nebo ve vašem vlastním datovém centru.
- Vaše vlastní datové centrum. HONESTAS nainstalovaný na vašem vlastním hardwaru, za vašimi vlastními síťovými prvky. Aktualizace přicházejí jako podepsané balíčky, které před spuštěním schvalujete.
V obou případech se zapečetěné záznamy zapisují do úložiště záznamů mimo samotnou instalaci a jsou opatřeny externím časovým razítkem, takže ani kompromitace jedné instalace nemůže přepsat její historii.
Šifrování a klíče
- Data jsou šifrována při přenosu i v klidu, se samostatným klíčem pro každou firmu.
- Své klíče můžete držet ve vlastním úložišti klíčů. Pokud klíč odvoláte, data, která chrání, již nebude možné přečíst.
- Klíče, které pečetí záznamy, jsou uchovávány odděleně od klíčů, které chrání data, a nikdy nejsou dostupné lidem, kteří podepisují rozhodnutí.
- Volání AI modelů probíhají přes vaše vlastní účty a klíče u poskytovatelů modelů, v rámci vašich vlastních smluv. Každé volání je zaznamenáno včetně použitého klíče, modelu a jeho verze.
- Čísla platebních karet se do systému HONESTAS nikdy nedostanou. Zákazníci je zadávají přímo do polí poskytovatele platebních služeb.
Izolace
Každý požadavek v systému HONESTAS určuje tři věci: firmu, které patří, čí to jsou data a který útvar se dotazuje. Požadavek, který nedokáže uvést všechny tři údaje, je zamítnut s kódem SCOPE_REFUSED a toto zamítnutí je zaznamenáno.
- Mezi firmami. Každá pojišťovna, makléř, MGA nebo TPA má svůj vlastní prostor a své vlastní klíče. Ve sdíleném prostoru pro upisování (placing room) se před odesláním každé zprávy kontroluje oddělení jednotlivých pojistitelů (marketů).
- Mezi vlastníky. TPA nebo makléř pracující pro více klientů vede záznamy každého klienta pod jménem daného klienta.
- Mezi útvary. Týmy, jako je například útvar speciálního šetření (SIU), mohou být v rámci jedné firmy informačně odděleny.
Každý nahraný soubor je otevřen v izolovaném prostředí (sandboxu) bez přístupu k síti, přečten a následně zahozen.
Přístup
- Uživatelé se přihlašují přes vašeho vlastního poskytovatele identit pomocí protokolů SAML nebo OIDC, přičemž účty jsou synchronizovány přes SCIM. Podpisy u rozhodnutí využívají přístupové klíče (passkeys) na vlastním zařízení dané osoby.
- Role určují, co kdo může vidět a dělat. Rizikové změny, jako je nový limit upisovacího oprávnění nebo nová verze modelu, vyžadují schválení druhou osobou.
- V nouzové situaci může administrátor na krátkou dobu získat plný přístup, přičemž na něj dohlíží druhá osoba a každý krok se zaznamenává.
- Přístup pracovníků společnosti Adverant je omezený, podléhá schválení a zaznamenává se.
Logování
Každé přihlášení, čtení, změna, volání AI i zásah administrátora se loguje s údaji kdo, co, kdy a odkud. Logy jsou uchovávány mimo vaši instalaci, nelze je upravovat a jsou drženy po dobu, kterou si nastavíte. Prostřednictvím API pro události je můžete odesílat do svých vlastních bezpečnostních nástrojů.
Testování
- Nezávislí testeři testují systém HONESTAS na přítomnost zranitelností. Zjištění opravujeme podle závažnosti.
- Každé sestavení (build) je podepsané a software, který obsahuje, je před vydáním zkontrolován na známé zranitelnosti.
- Kontroly, které zamítají rozhodnutí, pečeť i informační bariéry mezi firmami se testují při každém vydání nové verze.
Incidenty
Pokud incident zasáhne vaše data, bez zbytečného odkladu informujeme vaši určenou kontaktní osobu pro bezpečnost a postupujeme podle plánu ve vaší smlouvě. Poskytneme vám časovou osu od prvního upozornění a fakta, která potřebujete ke splnění vlastních ohlašovacích povinností podle nařízení DORA a GDPR.
Nahlásit problém
Napište na e-mail security@honestas.ai. Uveďte prosím:
- co jste našli a kde (adresu, obrazovku nebo komponentu);
- kroky k zreprodukování, včetně případného ověřovacího kódu (proof-of-concept) nebo snímků obrazovky;
- co by s tím podle vašeho názoru mohl útočník udělat;
- jak vás můžeme kontaktovat a zda si přejete být uvedeni jako objevitelé.
Pokud můžete, pište prosím anglicky. Jedno jasné hlášení je užitečnější než několik krátkých. Neposílejte prosím žádné osobní údaje, na které jste případně narazili; místo toho je pouze popište. Nejprve opravujeme nejzávažnější problémy, dáme vám vědět, jakmile je oprava nasazena, a dohodneme se s vámi, kdy lze podrobnosti zveřejnit.
Rozsah (Scope)
- doména honestas.ai a její subdomény, včetně konzole HONESTAS;
- systém HONESTAS tak, jak jej provozujeme v našem cloudu v EU, včetně přihlašování, úložiště záznamů a nástroje pro ověřování záznamů;
- aplikace HONESTAS pro iOS a Android, storefront SDK a veřejné API.
Mimo rozsah (Out of scope): útoky na naše zaměstnance (phishing, sociální inženýrství), fyzické útoky, odepření služby (DoS), zjištění vyžadující již kompromitované zařízení a výstupy z automatizovaných skenerů bez prokázaného dopadu. Instalace ve vlastním datovém centru zákazníka patří tomuto zákazníkovi; případné problémy v ní prosím nahlaste jak jemu, tak nám.
Pravidla pro výzkumníky
- Používejte pouze účty a data, která jsou vaše nebo která vám byla přidělena pro testování.
- Udělejte jen nezbytné minimum potřebné k prokázání problému. Jakmile byste se dostali k datům jiné firmy, zastavte se a informujte nás.
- Neměňte ani nemažte data, nezpomalujte ani neomezujte provoz služby a neudržujte si přístup déle, než je nutné.
- Udržujte podrobnosti v tajnosti, dokud se nedohodneme na datu zveřejnění.
Bezpečný přístav (Safe harbour)
Pokud jednáte v dobré víře a dodržujete tato pravidla, budeme váš výzkum považovat za autorizovaný. Nepodnikneme proti vám v této souvislosti právní kroky ani vás nenahlásíme úřadům, a pokud to udělá někdo jiný, jasně uvedeme, že jste jednali s naším svolením. Toto se nevztahuje na jednání, které porušuje zákon způsobem, jejž tato pravidla nemohou autorizovat.
Zveřejnění
Podrobnosti upřednostňujeme zveřejňovat až poté, co je oprava k dispozici všem, kdo ji potřebují. Na načasování se s vámi dohodneme a nebudeme po vás žádat mlčenlivost na dobu delší, než je nezbytné k ochraně našich zákazníků. Pokud se neshodneme, vysvětlíme vám proč.
Pokud jste naším zákazníkem, nahlaste podezření na incident prostřednictvím bezpečnostního kontaktu uvedeného ve vaší smlouvě nebo přes podporu přímo v systému HONESTAS, abychom mohli postupovat podle vašeho plánu pro řešení incidentů. Informace o tom, kde jsou uložena vaše data a jaké předpisy mapujeme, najdete v sekci centru důvěry.
Naposledy aktualizováno 23. října 2026