Hosting
HONESTAS kører et af to steder med den samme software begge steder.
- Vores EU-cloud. Datacentre i Irland. Jeres data opbevares og behandles i EU, og I vælger selv, hvor hver enkelt datatype skal opbevares: i vores EU-cloud eller i jeres eget datacenter.
- Jeres eget datacenter. HONESTAS installeret på jeres egen hardware, bag jeres egne netværkskontroller. Opdateringer leveres som signerede pakker, som I godkender, før de køres.
Begge steder skrives forseglede registreringer til et arkiv uden for installationen med et eksternt tidsstempel, så en kompromittering af én installation ikke kan omskrive dens historik.
Kryptering og nøgler
- Data er krypteret under overførsel og ved opbevaring med en separat nøgle for hvert selskab.
- I kan opbevare jeres egne nøgler i jeres eget nøglelager. Trækkes nøglen tilbage, kan de data, den beskytter, ikke længere læses.
- De nøgler, der forsegler registreringer, holdes adskilt fra de nøgler, der beskytter data, og er aldrig tilgængelige for de personer, der underskriver beslutninger.
- AI-kald kører via jeres egne konti og nøgler hos modeludbyderen under jeres egne kontrakter. Hvert kald registreres med den anvendte nøgle, model og version.
- Kortnumre når aldrig HONESTAS. Kunderne indtaster dem direkte i betalingsudbyderens egne felter.
Isolering
Hver forespørgsel i HONESTAS angiver tre ting: det selskab, den tilhører, hvis data det er, og den enhed, der spørger. En forespørgsel, der ikke kan angive alle tre, afvises med koden SCOPE_REFUSED, og afvisningen registreres.
- Mellem selskaber. Hvert forsikringsselskab, mægler, MGA eller TPA har sit eget område og sine egne nøgler. I et fælles placeringsrum kontrolleres muren mellem markeder, før hver eneste besked sendes.
- Mellem ejere. En TPA eller mægler, der arbejder for flere kunder, opbevarer hver kundes registreringer i den pågældende kundes navn.
- Mellem enheder. Teams som f.eks. afdelingen for særlige undersøgelser (SIU) kan holdes adskilt bag mure internt i ét selskab.
Hver uploadet fil åbnes i en sandbox uden netværksadgang, læses og kasseres derefter.
Adgang
- Brugere logger ind via jeres egen identitetsudbyder over SAML eller OIDC, og konti holdes synkroniserede via SCIM. Underskrifter på beslutninger bruger passkeys på personens egen enhed.
- Roller afgør, hvad den enkelte person må se og gøre. Risikofyldte ændringer, såsom en ny fuldmagtsgrænse eller en ny modelversion, afventer godkendelse fra en anden person.
- I en nødsituation kan en administrator få fuld adgang i en kort periode, mens en anden person overvåger forløbet, og hvert trin registreres.
- Adgang for medarbejdere hos Adverant er begrænset, godkendt og registreret.
Logning
Hvert login, læsning, ændring, AI-kald og administratorhandling logges med angivelse af hvem, hvad, hvornår og hvorfra. Logfiler opbevares uden for jeres installation, kan ikke redigeres og gemmes i den periode, I fastsætter. I kan sende dem til jeres egne sikkerhedsværktøjer via vores hændelses-API.
Test
- Uafhængige sikkerhedstestere tester HONESTAS for sårbarheder. Vi udbedrer fund efter alvorsgrad.
- Hvert build er signeret, og den software, det indeholder, kontrolleres for kendte sårbarheder, før det frigives.
- De kontroller, der afviser beslutninger, forseglingen og murene mellem selskaber testes ved hver eneste udgivelse.
Hændelser
Hvis en hændelse påvirker jeres data, underretter vi jeres udpegede sikkerhedskontakt uden unødigt ophold og følger planen i jeres aftale. Vi giver jer en tidslinje fra den første alarm samt de oplysninger, I skal bruge for at opfylde jeres egne rapporteringsforpligtelser under DORA og GDPR.
Rapporter et problem
Send en e-mail til security@honestas.ai. Inkluder venligst:
- hvad du fandt og hvor (adressen, skærmbilledet eller komponenten);
- trinnene til at genskabe det, samt eventuel proof-of-concept-kode eller skærmbilleder;
- hvad en angriber efter din vurdering ville kunne bruge det til;
- hvordan vi kan kontakte dig, og om du ønsker at blive krediteret.
Skriv gerne på engelsk, hvis du kan. Én klar rapport er mere brugbar end flere korte. Undlad venligst at medsende personoplysninger, du måtte være stødt på; beskriv dem i stedet. Vi løser de mest alvorlige problemer først, giver dig besked, når rettelsen er ude, og aftaler med dig, hvornår detaljerne kan deles.
Hvad er omfattet
- honestas.ai og tilhørende subdomæner, herunder HONESTAS-konsollen;
- HONESTAS som vi driver det i vores EU-cloud, herunder login, arkivet og verificeringsværktøjet;
- HONESTAS-apps til iOS og Android, storefront-SDK'et og det offentlige API.
Ikke omfattet: angreb på vores medarbejdere (phishing, social engineering), fysiske angreb, overbelastningsangreb (DoS), fund der kræver en allerede kompromitteret enhed, samt rapporter fra automatiserede scannere uden påvist effekt. En installation i en kundes eget datacenter tilhører den pågældende kunde; rapporter venligst problemer der til både kunden og os.
Regler for sikkerhedsforskere
- Brug kun konti og data, der tilhører dig, eller som du har fået stillet til rådighed til test.
- Gør kun det mindst nødvendige for at påvise problemet. Stop og giv os besked, så snart du får adgang til et andet selskabs data.
- Du må ikke ændre eller slette data, forringe driften eller beholde adgangen længere end nødvendigt.
- Hold detaljerne fortrolige, indtil vi har aftalt en dato for offentliggørelse.
Safe harbour
Hvis du handler i god tro og følger disse regler, betragter vi din undersøgelse som autoriseret. Vi vil ikke anlægge sag mod dig eller anmelde dig til myndighederne for det, og hvis andre gør det, vil vi gøre det klart, at du handlede med vores tilladelse. Dette dækker ikke handlinger, der bryder loven på måder, som disse regler ikke kan give tilladelse til.
Offentliggørelse
Vi foretrækker at offentliggøre detaljer, efter at en rettelse er tilgængelig for alle, der har brug for den. Vi aftaler tidspunktet med dig, og vi vil ikke bede dig om at tie længere, end det tager at beskytte vores kunder. Hvis vi er uenige, fortæller vi dig hvorfor.
Hvis du er kunde, skal du rapportere en formodet hændelse via sikkerhedskontakten i jeres aftale eller via supporten i HONESTAS, så vi kan følge jeres beredskabsplan. For oplysninger om, hvor jeres data befinder sig, og hvilke regler vi kortlægger, kan du besøge tillidscenteret.
Senest opdateret 23. oktober 2026