Majutus
HONESTAS töötab ühes kahest asukohast, kasutades mõlemas sama tarkvara.
- Meie EL-i pilv. Andmekeskused Iirimaal. Teie andmeid hoitakse ja töödeldakse Euroopa Liidus ning teie valite, kus iga andmeliiki hoitakse: meie EL-i pilves või teie enda andmekeskuses.
- Teie enda andmekeskus. HONESTAS on paigaldatud teie riistvarale ja teie võrgukontrollide taha. Uuendused saabuvad allkirjastatud pakettidena, mille te enne käivitamist heaks kiidate.
Mõlemal juhul kirjutatakse pitseeritud kirjed väljaspool paigaldust asuvasse kirjete hoidlasse koos välise ajatempliga, nii et ühe paigalduse kompromiteerimine ei võimalda selle ajalugu ümber kirjutada.
Krüpteerimine ja võtmed
- Andmed on krüpteeritud nii edastamisel kui ka salvestatuna, kasutades iga ettevõtte jaoks eraldi võtit.
- Saate hoida oma võtmeid enda võtmehoidlas. Kui võtme tagasi võtate, ei saa sellega kaitstud andmeid enam lugeda.
- Kirjeid pitseerivad võtmed hoitakse lahus andmeid kaitsvatest võtmetest ning need ei ole kunagi kättesaadavad inimestele, kes otsuseid allkirjastavad.
- Tehisintellekti päringud töötavad teie enda mudelipakkuja kontodel ja võtmetega, teie enda lepingute alusel. Iga päring salvestatakse koos kasutatud võtme, mudeli ja versiooniga.
- Kaardinumbrid ei jõua kunagi süsteemi HONESTAS. Kliendid sisestavad need otse makseteenuse pakkuja väljadele.
Isoleerimine
Iga päring süsteemis HONESTAS nimetab kolm asja: ettevõtte, millele see kuulub, kelle andmed need on ja päringu esitanud üksuse. Päring, mis ei suuda nimetada kõiki kolme, lükatakse tagasi koodiga SCOPE_REFUSED ning tagasilükkamine salvestatakse.
- Ettevõtete vahel. Igal kindlustusandjal, maakleril, MGA-l või TPA-l on oma ruum ja omad võtmed. Ühises riskipaigutusruumis kontrollitakse turuosaliste vahelist müüri enne iga sõnumi saatmist.
- Omanike vahel. Mitme kliendi heaks töötav TPA või maakler hoiab iga kliendi kirjeid vastava kliendi nime all.
- Üksuste vahel. Meeskonnad, nagu näiteks eriuurimisüksus, saab eraldada müüriga ka ühe ettevõtte sees.
Iga üleslaaditud fail avatakse võrguühenduseta liivakastis, loetakse läbi ja visatakse minema.
Juurdepääs
- Inimesed logivad sisse teie enda identiteedipakkuja kaudu üle SAML-i või OIDC, kusjuures kontosid hoitakse sünkroonis SCIM-i abil. Otsuste allkirjastamiseks kasutatakse pääsuvõtmeid (passkeys) inimese enda seadmes.
- Rollid määravad, mida iga inimene võib näha ja teha. Riskantsed muudatused, nagu uus volituslimiit või uus mudeliversioon, ootavad teise inimese kinnitust.
- Hädaolukorras saab administraatorile anda lühikeseks ajaks täieliku juurdepääsu, kusjuures teine inimene jälgib tegevust ja iga samm salvestatakse.
- Adveranti töötajate juurdepääs on piiratud, eelnevalt kinnitatud ja salvestatud.
Logimine
Iga sisselogimine, lugemine, muutmine, tehisintellekti päring ja administraatori toiming logitakse koos infoga, kes, mida, millal ja kust tegi. Logisid hoitakse väljaspool teie paigaldust, neid ei saa muuta ja neid säilitatakse teie määratud aja jooksul. Saate need sündmuste API kaudu saata oma turvatööriistadesse.
Testimine
- Sõltumatud testijad otsivad süsteemist HONESTAS turvanõrkusi. Parandame leiud vastavalt nende tõsidusele.
- Iga tarkvarakooste on allkirjastatud ja selles sisalduvat tarkvara kontrollitakse enne väljastamist teadaolevate turvanõrkuste suhtes.
- Otsuseid tagasilükkavaid kontrolle, pitserit ja ettevõtete vahelisi müüre testitakse iga väljalaske puhul.
Intsidendid
Kui intsident mõjutab teie andmeid, teavitame sellest viivitamata teie määratud turvakontakti ja järgime teie lepingus sätestatud tegevuskava. Anname teile ajajoone alates esimesest häirest ning faktid, mida vajate oma aruandluskohustuste täitmiseks DORA ja isikuandmete kaitse üldmääruse (GDPR) alusel.
Teavita probleemist
Saatke e-kiri aadressil security@honestas.ai. Palun lisage:
- mida ja kust te leidsite (aadress, ekraanivaade või komponent);
- sammud selle kordamiseks koos kontseptsiooni tõestava koodi või ekraanipiltidega;
- mida ründaja saaks sellega teie hinnangul teha;
- kuidas teiega ühendust saada ja kas soovite avalikku tunnustust.
Kui võimalik, kirjutage inglise keeles. Üks selge raport on kasulikum kui mitu lühikest. Palun ärge lisage isikuandmeid, millele võisite sattuda, vaid kirjeldage neid. Parandame kõige tõsisemad probleemid esimesena, anname teile teada, kui parandus on väljas, ja lepime teiega kokku, millal võib üksikasju jagada.
Mis kuulub ulatusse
- honestas.ai ja selle alamdomeenid, sealhulgas HONESTASe konsool;
- HONESTAS sellisena, nagu me seda oma EL-i pilves käitame, sealhulgas sisselogimine, kirjete hoidla ja kirjete kontrollija;
- HONESTASe iOS-i ja Androidi rakendused, müügikeskkonna SDK ja avalik API.
Ulatusest väljas: rünnakud meie töötajate vastu (andmepüük, sotsiaalne manipulatsioon), füüsilised rünnakud, teenusetõkestusründed (DoS), leiud, mis eeldavad juba kompromiteeritud seadet, ning automaatsete skannerite raportid ilma tõendatud mõjuta. Kliendi enda andmekeskuses asuv paigaldus kuulub vastavale kliendile; palun teavitage sealsetest probleemidest nii neid kui ka meid.
Reeglid turvateadlastele
- Kasutage ainult neid kontosid ja andmeid, mis kuuluvad teile või mis anti teile testimiseks.
- Tehke vaid minimaalselt vajalik probleemi tõestamiseks. Peatuge ja teavitage meid kohe, kui jõuate teise ettevõtte andmeteni.
- Ärge muutke ega kustutage andmeid, ärge halvendage teenuse kvaliteeti ega hoidke juurdepääsu kauem kui vajalik.
- Hoidke üksikasjad privaatsena, kuni oleme kokku leppinud avalikustamise kuupäeva.
Turvasadam (Safe harbour)
Kui tegutsete heas usus ja järgite neid reegleid, käsitleme teie uurimistööd volitatud tegevusena. Me ei võta teie vastu õiguslikke meetmeid ega teavita teist ametiasutusi ning kui keegi teine seda teeb, kinnitame selgelt, et tegutsesite meie loal. See ei kata tegevusi, mis rikuvad seadust viisil, mida need reeglid ei saa lubada.
Avalikustamine
Eelistame avaldada üksikasjad pärast seda, kui parandus on kõigile abivajajatele kättesaadav. Lepime ajastuse teiega kokku ega palu teil vaikida kauem, kui on vajalik meie klientide kaitsmiseks. Kui jääme eriarvamusele, selgitame teile miks.
Kui olete klient, teavitage kahtlustatavast intsidendist oma lepingus märgitud turvakontakti või HONESTASe sisese kasutajatoe kaudu, et saaksime järgida teie intsidendiplaani. Teavet selle kohta, kus teie andmed asuvad ja milliseid reegleid me kaardistame, leiate lehelt usalduskeskuses.
Viimati uuendatud 23. oktoobril 2026