Φιλοξενία
Το HONESTAS λειτουργεί σε ένα από τα δύο περιβάλλοντα, με το ίδιο ακριβώς λογισμικό.
- Το cloud μας στην ΕΕ. Κέντρα δεδομένων στην Ιρλανδία. Τα δεδομένα σας αποθηκεύονται και υποβάλλονται σε επεξεργασία στην Ευρωπαϊκή Ένωση, και εσείς επιλέγετε πού τηρείται κάθε κατηγορία δεδομένων: στο cloud μας στην ΕΕ ή στο δικό σας κέντρο δεδομένων.
- Το δικό σας κέντρο δεδομένων. Το HONESTAS εγκατεστημένο στον δικό σας εξοπλισμό, πίσω από τους δικούς σας ελέγχους δικτύου. Οι ενημερώσεις αποστέλλονται ως υπογεγραμμένα πακέτα που εγκρίνετε πριν εκτελεστούν.
Και στις δύο περιπτώσεις, τα σφραγισμένα αρχεία εγγράφονται σε χώρο αποθήκευσης εκτός της εγκατάστασης, με εξωτερική χρονοσφραγίδα, ώστε τυχόν παραβίαση μιας εγκατάστασης να μην μπορεί να αλλοιώσει το ιστορικό της.
Κρυπτογράφηση και κλειδιά
- Τα δεδομένα κρυπτογραφούνται κατά τη μεταφορά και σε ηρεμία, με ξεχωριστό κλειδί για κάθε εταιρεία.
- Μπορείτε να διατηρείτε τα δικά σας κλειδιά στον δικό σας χώρο αποθήκευσης κλειδιών. Αν ανακαλέσετε το κλειδί, τα δεδομένα που προστατεύει παύουν να είναι αναγνώσιμα.
- Τα κλειδιά που σφραγίζουν τα αρχεία τηρούνται χωριστά από τα κλειδιά που προστατεύουν τα δεδομένα και δεν είναι ποτέ διαθέσιμα στα πρόσωπα που υπογράφουν τις αποφάσεις.
- Οι κλήσεις ΤΝ εκτελούνται στους δικούς σας λογαριασμούς και με τα δικά σας κλειδιά παρόχων μοντέλων, υπό τις δικές σας συμβάσεις. Κάθε κλήση καταγράφεται μαζί με το κλειδί, το μοντέλο και την έκδοση που χρησιμοποιήθηκε.
- Οι αριθμοί καρτών δεν φτάνουν ποτέ στο HONESTAS. Οι πελάτες τους πληκτρολογούν απευθείας στα πεδία του παρόχου πληρωμών.
Απομόνωση
Κάθε αίτημα στο HONESTAS δηλώνει τρία στοιχεία: την εταιρεία στην οποία ανήκει, τον κάτοχο των δεδομένων και τη μονάδα που υποβάλλει το αίτημα. Ένα αίτημα που δεν δηλώνει και τα τρία απορρίπτεται με τον κωδικό SCOPE_REFUSED, και η απόρριψη καταγράφεται.
- Μεταξύ εταιρειών. Κάθε ασφαλιστική εταιρεία, μεσίτης, MGA ή TPA διαθέτει τον δικό του χώρο και τα δικά του κλειδιά. Σε έναν κοινόχρηστο χώρο τοποθέτησης κινδύνων, το τείχος προστασίας μεταξύ των αγορών ελέγχεται πριν από την αποστολή κάθε μηνύματος.
- Μεταξύ κατόχων. Ένας TPA ή μεσίτης που εργάζεται για πολλούς πελάτες τηρεί τα αρχεία κάθε πελάτη υπό την επωνυμία του συγκεκριμένου πελάτη.
- Μεταξύ μονάδων. Ομάδες όπως η μονάδα ειδικών ερευνών μπορούν να απομονωθούν με τείχη προστασίας εντός της ίδιας εταιρείας.
Κάθε αρχείο που μεταφορτώνεται ανοίγει σε απομονωμένο περιβάλλον (sandbox) χωρίς πρόσβαση στο δίκτυο, αναγιγνώσκεται και στη συνέχεια καταστρέφεται.
Πρόσβαση
- Οι χρήστες συνδέονται μέσω του δικού σας παρόχου ταυτότητας με SAML ή OIDC, ενώ οι λογαριασμοί συγχρονίζονται μέσω SCIM. Οι υπογραφές επί των αποφάσεων χρησιμοποιούν κλειδιά πρόσβασης (passkeys) στην προσωπική συσκευή του χρήστη.
- Οι ρόλοι καθορίζουν τι μπορεί να δει και να κάνει κάθε πρόσωπο. Αλλαγές υψηλού κινδύνου, όπως ένα νέο όριο εξουσιοδότησης ανάληψης κινδύνου ή μια νέα έκδοση μοντέλου, απαιτούν έγκριση από δεύτερο πρόσωπο.
- Σε περίπτωση έκτακτης ανάγκης, μπορεί να δοθεί σε έναν διαχειριστή πλήρης πρόσβαση για σύντομο χρονικό διάστημα, υπό την επίβλεψη δεύτερου προσώπου και με καταγραφή κάθε βήματος.
- Η πρόσβαση από το προσωπικό της Adverant είναι περιορισμένη, εγκεκριμένη και καταγεγραμμένη.
Καταγραφή
Κάθε σύνδεση, ανάγνωση, αλλαγή, κλήση ΤΝ και ενέργεια διαχειριστή καταγράφεται με στοιχεία για το ποιος, τι, πότε και από πού. Τα αρχεία καταγραφής τηρούνται εκτός της εγκατάστασής σας, δεν μπορούν να τροποποιηθούν και διατηρούνται για το διάστημα που εσείς ορίζετε. Μπορείτε να τα αποστέλλετε στα δικά σας εργαλεία ασφαλείας μέσω του API συμβάντων.
Δοκιμές
- Ανεξάρτητοι ελεγκτές δοκιμάζουν το HONESTAS για ευπάθειες. Αποκαθιστούμε τα ευρήματα με σειρά κρισιμότητας.
- Κάθε έκδοση κώδικα (build) φέρει ψηφιακή υπογραφή και το λογισμικό που περιέχει ελέγχεται για γνωστές ευπάθειες πριν από τη διάθεσή του.
- Οι έλεγχοι που απορρίπτουν αποφάσεις, η σφράγιση και τα τείχη απομόνωσης μεταξύ των εταιρειών δοκιμάζονται σε κάθε νέα έκδοση.
Περιστατικά
Εάν ένα περιστατικό επηρεάσει τα δεδομένα σας, ενημερώνουμε χωρίς υπαίτια καθυστέρηση τον υπεύθυνο ασφαλείας που έχετε ορίσει και ακολουθούμε το σχέδιο της σύμβασής σας. Σας παρέχουμε χρονολόγιο από την πρώτη ειδοποίηση και τα στοιχεία που χρειάζεστε για να εκπληρώσετε τις δικές σας υποχρεώσεις αναφοράς βάσει της DORA και του ΓΚΠΔ (GDPR).
Αναφορά ζητήματος
Στείλτε email στο security@honestas.ai. Παρακαλούμε συμπεριλάβετε:
- τι εντοπίσατε και πού (τη διεύθυνση, την οθόνη ή το υποσύστημα)·
- τα βήματα για την αναπαραγωγή του, με τυχόν κώδικα επαλήθευσης (proof-of-concept) ή στιγμιότυπα οθόνης·
- τι θα μπορούσε να κάνει ένας εισβολέας με αυτό, κατά την εκτίμησή σας·
- πώς μπορούμε να επικοινωνήσουμε μαζί σας και αν επιθυμείτε να αναφερθεί το όνομά σας.
Γράψτε στα Αγγλικά, αν είναι εύκολο. Μία σαφής αναφορά είναι πιο χρήσιμη από πολλές σύντομες. Παρακαλούμε μην συμπεριλαμβάνετε προσωπικά δεδομένα στα οποία τυχόν αποκτήσατε πρόσβαση· απλώς περιγράψτε τα. Επιδιορθώνουμε πρώτα τα πιο σοβαρά ζητήματα, σας ενημερώνουμε μόλις κυκλοφορήσει η επιδιόρθωση και συμφωνούμε μαζί σας πότε μπορούν να δημοσιοποιηθούν οι λεπτομέρειες.
Τι εμπίπτει στο πεδίο εφαρμογής
- το honestas.ai και οι υποτομείς του, συμπεριλαμβανομένης της κονσόλας HONESTAS·
- το HONESTAS όπως λειτουργεί στο cloud μας στην ΕΕ, συμπεριλαμβανομένης της σύνδεσης, του χώρου αποθήκευσης αρχείων και του εργαλείου επαλήθευσης αρχείων·
- οι εφαρμογές HONESTAS για iOS και Android, το storefront SDK και το δημόσιο API.
Εκτός πεδίου εφαρμογής: επιθέσεις στο προσωπικό μας (ηλεκτρονικό ψάρεμα, κοινωνική μηχανική), φυσικές επιθέσεις, άρνηση υπηρεσίας (DoS), ευρήματα που προϋποθέτουν ήδη παραβιασμένη συσκευή και αναφορές από αυτοματοποιημένους σαρωτές χωρίς αποδεδειγμένο αντίκτυπο. Μια εγκατάσταση στο κέντρο δεδομένων ενός πελάτη ανήκει στον συγκεκριμένο πελάτη· παρακαλούμε να αναφέρετε τυχόν ζητήματα τόσο στον ίδιο όσο και σε εμάς.
Κανόνες για ερευνητές
- Χρησιμοποιείτε μόνο λογαριασμούς και δεδομένα που σας ανήκουν ή που σας παραχωρήθηκαν για σκοπούς δοκιμών.
- Κάντε μόνο τα απολύτως απαραίτητα για να αποδείξετε το ζήτημα. Σταματήστε και ενημερώστε μας αμέσως μόλις φτάσετε σε δεδομένα άλλης εταιρείας.
- Μην τροποποιείτε ή διαγράφετε δεδομένα, μην υποβαθμίζετε την υπηρεσία και μην διατηρείτε την πρόσβαση περισσότερο από όσο χρειάζεται.
- Κρατήστε τις λεπτομέρειες εμπιστευτικές μέχρι να συμφωνήσουμε σε ημερομηνία γνωστοποίησης.
Ασφαλής λιμένας
Εφόσον ενεργείτε με καλή πίστη και ακολουθείτε αυτούς τους κανόνες, θα αντιμετωπίσουμε την έρευνά σας ως εξουσιοδοτημένη. Δεν θα κινηθούμε νομικά εναντίον σας ούτε θα σας αναφέρουμε στις αρχές γι' αυτήν, και αν το πράξει κάποιος τρίτος, θα καταστήσουμε σαφές ότι ενεργήσατε με την άδειά μας. Αυτό δεν καλύπτει ενέργειες που παραβιάζουν τον νόμο κατά τρόπους που οι παρόντες κανόνες δεν μπορούν να εξουσιοδοτήσουν.
Γνωστοποίηση
Προτιμούμε να δημοσιεύουμε λεπτομέρειες αφού η επιδιόρθωση γίνει διαθέσιμη σε όλους όσοι τη χρειάζονται. Θα συμφωνήσουμε το χρονοδιάγραμμα μαζί σας και δεν θα σας ζητήσουμε να τηρήσετε σιγή για περισσότερο χρόνο από όσον απαιτείται για την προστασία των πελατών μας. Αν διαφωνήσουμε, θα σας εξηγήσουμε τους λόγους.
Εάν είστε πελάτης, αναφέρετε τυχόν ύποπτο περιστατικό μέσω του υπευθύνου ασφαλείας που ορίζεται στη σύμβασή σας ή μέσω της υποστήριξης εντός του HONESTAS, ώστε να ακολουθήσουμε το σχέδιο αντιμετώπισης περιστατικών σας. Για το πού τηρούνται τα δεδομένα σας και τους κανονισμούς που καλύπτουμε, επισκεφθείτε τη κέντρο εμπιστοσύνης.
Τελευταία ενημέρωση: 23 Οκτωβρίου 2026