Ylläpito
HONESTAS toimii yhdessä kahdesta paikasta samalla ohjelmistolla.
- EU-pilvemme. Konesalit Irlannissa. Tietosi tallennetaan ja käsitellään Euroopan unionissa, ja valitset itse, missä kutakin tietotyyppiä säilytetään: EU-pilvessämme vai omassa konesalissasi.
- Oma konesalisi. HONESTAS asennettuna omalle laitteistollesi omien verkkokontrolliesi taakse. Päivitykset saapuvat allekirjoitettuina paketteina, jotka hyväksyt ennen niiden suorittamista.
Molemman vaihtoehdon kohdalla sinetöidyt tietueet kirjoitetaan asennuksen ulkopuoliseen tietuevarastoon ulkoisella aikaleimalla varustettuna, jotta yhden asennuksen murto ei voi kirjoittaa sen historiaa uudelleen.
Salaus ja avaimet
- Tiedot salataan siirron aikana ja levossa erillisellä avaimella kullekin yritykselle.
- Voit säilyttää omia avaimiasi omassa avainsäilössäsi. Jos peruutat avaimen, sen suojaamia tietoja ei voi enää lukea.
- Tietueet sinetöivät avaimet pidetään erillään tietoja suojaavista avaimista, eivätkä ne ole koskaan päätöksiä allekirjoittavien henkilöiden saatavilla.
- Tekoälykutsut suoritetaan omilla mallintarjoajatileilläsi ja -avaimillasi omien sopimustesi mukaisesti. Jokaisesta kutsusta tallennetaan käytetty avain, malli ja versio.
- Korttinumerot eivät koskaan päädy HONESTAS-järjestelmään. Asiakkaat syöttävät ne suoraan maksupalveluntarjoajan omiin kenttiin.
Eristäminen
Jokainen HONESTAS-järjestelmän pyyntö nimeää kolme asiaa: yrityksen, jolle se kuuluu, kenen tiedoista on kyse ja pyytävän yksikön. Pyyntö, joka ei nimeä näitä kaikkia kolmea, hylätään koodilla SCOPE_REFUSED, ja hylkäys tallennetaan.
- Yritysten välillä. Jokaisella vakuutusyhtiöllä, meklarilla, MGA:lla tai TPA:lla on oma tilansa ja omat avaimensa. Jaetussa sijoitushuoneessa markkinoiden välinen muuri tarkistetaan ennen jokaisen viestin lähettämistä.
- Omistajien välillä. Useille asiakkaille työskentelevä TPA tai meklari säilyttää kunkin asiakkaan tietueet kyseisen asiakkaan nimissä.
- Yksiköiden välillä. Tiimit, kuten erikoistutkintayksikkö, voidaan rajata muurilla yhden yrityksen sisällä.
Jokainen ladattu tiedosto avataan eristystilassa (sandbox) ilman verkkoyhteyttä, luetaan ja hävitetään.
Pääsynhallinta
- Käyttäjät kirjautuvat sisään oman tunnistautumispalvelusi kautta SAML- tai OIDC-yhteydellä, ja tilit pidetään ajan tasalla SCIM-protokollalla. Päätösten allekirjoituksissa käytetään henkilön omalla laitteella olevia avainkoodeja (passkeys).
- Roolit määrittävät, mitä kukin henkilö saa nähdä ja tehdä. Riskialttiit muutokset, kuten uusi valtuutusraja tai uusi malliversio, odottavat toisen henkilön hyväksyntää.
- Hätätilanteessa pääkäyttäjälle voidaan myöntää täydet oikeudet lyhyeksi ajaksi toisen henkilön valvoessa ja jokaisen vaiheen tallentuessa.
- Adverantin henkilöstön pääsy on rajoitettu, hyväksytty ja tallennettu.
Lokitus
Jokainen kirjautuminen, luku, muutos, tekoälykutsu ja pääkäyttäjän toimenpide kirjataan lokiin: kuka, mitä, milloin ja mistä. Lokit säilytetään asennuksesi ulkopuolella, niitä ei voi muokata ja niitä säilytetään määrittämäsi ajan. Voit lähettää ne omiin tietoturvatyökaluihisi tapahtumarajapinnan (events API) kautta.
Testaus
- Riippumattomat testaajat etsivät HONESTAS-järjestelmästä haavoittuvuuksia. Korjaamme löydökset vakavuusjärjestyksessä.
- Jokainen käännösversio (build) allekirjoitetaan, ja sen sisältämä ohjelmisto tarkistetaan tunnettujen haavoittuvuuksien varalta ennen toimitusta.
- Päätöksiä hylkäävät tarkistukset, sinetti ja yritysten väliset muurit testataan jokaisen julkaisun yhteydessä.
Poikkeamat
Jos poikkeama vaikuttaa tietoihisi, ilmoitamme siitä nimetylle tietoturvayhteyshenkilöllesi ilman aiheetonta viivytystä ja noudatamme sopimuksesi mukaista suunnitelmaa. Annamme sinulle aikajanan ensimmäisestä hälytyksestä alkaen sekä tiedot, joita tarvitset omien DORA- ja GDPR-ilmoitusvelvollisuuksiesi täyttämiseen.
Ilmoita havainnosta
Lähetä sähköpostia osoitteeseen security@honestas.ai. Liitä mukaan:
- mitä löysit ja mistä (osoite, näkymä tai komponentti);
- toistovaiheet sekä mahdollinen концепtikoekoodi (proof-of-concept) tai kuvakaappaukset;
- mitä hyökkääjä voisi näkemyksesi mukaan tehdä haavoittuvuudella;
- miten sinut tavoittaa ja haluatko nimesi julkaistavan kiitoksissa.
Kirjoita englanniksi, jos mahdollista. Yksi selkeä raportti on hyödyllisempi kuin monta lyhyttä. Älä liitä mukaan kohtaamiasi henkilötietoja, vaan kuvaile ne sen sijaan. Korjaamme vakavimmat ongelmat ensin, ilmoitamme sinulle, kun korjaus on julkaistu, ja sovimme kanssasi, milloin yksityiskohdat voidaan jakaa.
Mitä laajuuteen kuuluu
- honestas.ai ja sen aliverkkotunnukset, mukaan lukien HONESTAS-konsoli;
- HONESTAS sellaisena kuin käytämme sitä EU-pilvessämme, mukaan lukien kirjautuminen, tietuevarasto ja tietueiden vahvistaja;
- HONESTAS-sovellukset iOS- ja Android-laitteille, kauppapaikan SDK ja julkinen API.
Laajuuden ulkopuolella: henkilöstöömme kohdistuvat hyökkäykset (tietojenkalastelu, käyttäjän manipulointi), fyysiset hyökkäykset, palvelunestohyökkäykset, löydökset, jotka vaativat jo valmiiksi murretun laitteen, sekä automaattisten skannereiden raportit ilman osoitettua vaikutusta. Asiakkaan omaan konesaliin tehty asennus kuuluu kyseiselle asiakkaalle; ilmoitathan siellä havaituista ongelmista sekä heille että meille.
Säännöt tutkijoille
- Käytä vain tilejä ja tietoja, jotka ovat omiasi tai jotka sinulle on annettu testausta varten.
- Tee vain vähimmäistoimet ongelman osoittamiseksi. Lopeta ja ilmoita meille heti, jos pääset käsiksi toisen yrityksen tietoihin.
- Älä muuta tai poista tietoja, heikennä palvelun toimintaa tai pidä pääsyä hallussasi pidempään kuin on tarpeen.
- Pidä yksityiskohdat luottamuksellisina, kunnes olemme sopineet julkistamispäivästä.
Vastuuvapaus (Safe harbour)
Jos toimit hyvässä hengessä ja noudatat näitä sääntöjä, käsittelemme tutkimustasi luvallisena. Emme ryhdy oikeustoimiin sinua vastaan emmekä ilmoita sinusta viranomaisille, ja jos joku muu tekee niin, teemme selväksi, että toimit luvallamme. Tämä ei kata tekoja, jotka rikkovat lakia tavoilla, joihin nämä säännöt eivät voi antaa valtuutusta.
Julkistaminen
Julkaisemme yksityiskohdat mieluiten sen jälkeen, kun korjaus on kaikkien sitä tarvitsevien saatavilla. Sovimme aikataulusta kanssasi emmekä pyydä sinua pysymään vaiti pidempään kuin asiakkaidemme suojaaminen vaatii. Jos olemme eri mieltä, kerromme sinulle miksi.
Jos olet asiakas, ilmoita epäillystä poikkeamasta sopimuksessasi mainitun tietoturvayhteyshenkilön kautta tai HONESTAS-järjestelmän sisäisen tuen kautta, jotta voimme noudattaa poikkeamasuunnitelmaasi. Tietojen sijainnista ja kartoittamistamme säännöistä saat lisätietoja luottamuskeskuksesta.
Päivitetty viimeksi 23. lokakuuta 2026