Smještaj sustava
HONESTAS radi na jednom od dva mjesta, s istim softverom na oba.
- Naš oblak u EU-u. Podatkovni centri u Irskoj. Vaši se podaci pohranjuju i obrađuju u Europskoj uniji, a sami birate gdje se pojedina vrsta podataka čuva: u našem oblaku u EU-u ili u vašem podatkovnom centru.
- Vaš podatkovni centar. HONESTAS instaliran na vašoj opremi, iza vaših mrežnih kontrola. Ažuriranja stižu kao potpisani paketi koje odobravate prije pokretanja.
U oba slučaja zapečaćene se evidencije zapisuju u spremište izvan instalacije, s vanjskim vremenskim žigom, tako da kompromitiranje jedne instalacije ne može prepraviti njezinu povijest.
Enkripcija i ključevi
- Podaci su šifrirani u prijenosu i u mirovanju, sa zasebnim ključem za svako društvo.
- Vlastite ključeve možete čuvati u svojem spremištu ključeva. Povučete li ključ, podaci koje on štiti više se ne mogu čitati.
- Ključevi kojima se pečate evidencije čuvaju se odvojeno od ključeva koji štite podatke i nikada nisu dostupni osobama koje potpisuju odluke.
- Pozivi prema modelima umjetne inteligencije izvršavaju se putem vaših računa i ključeva kod pružatelja modela, prema vašim ugovorima. Svaki se poziv bilježi s korištenim ključem, modelom i verzijom.
- Brojevi kartica nikada ne stižu do sustava HONESTAS. Korisnici ih unose izravno u polja pružatelja usluga plaćanja.
Izolacija
Svaki zahtjev u sustavu HONESTAS navodi tri podatka: društvo kojem pripada, čiji su to podaci i koja ih organizacijska jedinica traži. Zahtjev koji ne navede sva tri podatka odbija se uz oznaku SCOPE_REFUSED, a odbijanje se bilježi.
- Između društava. Svaki osiguratelj, broker, MGA ili TPA ima vlastiti prostor i vlastite ključeve. U zajedničkom prostoru za plasman rizika zid između tržišta provjerava se prije slanja svake poruke.
- Između vlasnika. TPA ili broker koji radi za više klijenata vodi evidencije svakog klijenta pod imenom tog klijenta.
- Između jedinica. Timovi poput jedinice za posebne istrage mogu se odijeliti unutar istog društva.
Svaka učitana datoteka otvara se u izoliranom okruženju (sandbox) bez pristupa mreži, pročita se i zatim odbaci.
Pristup
- Korisnici se prijavljuju putem vašeg pružatelja identiteta preko protokola SAML ili OIDC, dok se računi usklađuju putem protokola SCIM. Za potpisivanje odluka koriste se pristupni ključevi (passkeys) na osobnom uređaju korisnika.
- Uloge određuju što svaka osoba smije vidjeti i raditi. Rizične promjene, poput novog limita ovlaštenja ili nove verzije modela, čekaju odobrenje druge osobe.
- U hitnom slučaju administratoru se na kratko vrijeme može dodijeliti puni pristup, uz nadzor druge osobe i bilježenje svakog koraka.
- Pristup osoblja tvrtke Adverant ograničen je, odobren i zabilježen.
Zapisivanje
Svaka prijava, čitanje, izmjena, poziv modelu umjetne inteligencije i administratorska radnja bilježe se s podacima tko, što, kada i odakle. Zapisi o događajima čuvaju se izvan vaše instalacije, ne mogu se mijenjati i čuvaju se tijekom razdoblja koje sami odredite. Putem API-ja za događaje možete ih slati u vlastite sigurnosne alate.
Testiranje
- Neovisni ispitivači testiraju HONESTAS u potrazi za ranjivostima. Utvrđene propuste otklanjamo prema razini ozbiljnosti.
- Svaka je međuverzija potpisana, a softver koji sadrži provjerava se na poznate ranjivosti prije isporuke.
- Provjere koje odbijaju odluke, pečat i zidovi između društava testiraju se pri svakom izdanju.
Incidenti
Ako incident utječe na vaše podatke, bez nepotrebnog odgađanja obavještavamo vašu imenovanu osobu za sigurnost i postupamo prema planu iz vašeg ugovora. Dostavljamo vam vremenski slijed od prvog upozorenja i činjenice koje su vam potrebne za ispunjavanje vaših obveza izvješćivanja prema uredbama DORA i GDPR.
Prijavite problem
Pošaljite e-poruku na security@honestas.ai. Molimo navedite:
- što ste pronašli i gdje (adresu, zaslon ili komponentu);
- korake za reprodukciju, uz eventualni dokazni kôd (proof-of-concept) ili snimke zaslona;
- što bi napadač time mogao učiniti, prema vašoj procjeni;
- kako vas možemo kontaktirati i želite li da vam se javno prizna zasluga.
Ako možete, pišite na engleskom jeziku. Jedno jasno izvješće korisnije je od nekoliko kratkih. Molimo vas da ne prilažete osobne podatke na koje ste naišli; umjesto toga ih opišite. Najprije rješavamo najozbiljnije propuste, javljamo vam kada je zakrpa objavljena te se s vama dogovaramo kada se pojedinosti mogu javno podijeliti.
Što je u obuhvatu
- honestas.ai i njegove poddomene, uključujući konzolu HONESTAS;
- HONESTAS kako ga izvršavamo u našem oblaku u EU-u, uključujući prijavu, spremište evidencija i alat za provjeru evidencija;
- aplikacije HONESTAS za iOS i Android, SDK za prodajno sučelje i javni API.
Izvan obuhvata: napadi na naše osoblje (krađa identiteta, socijalni inženjering), fizički napadi, uskraćivanje usluge (DoS), nalazi koji zahtijevaju već kompromitiran uređaj te izvješća automatiziranih skenera bez dokazanog učinka. Instalacija u vlastitom podatkovnom centru korisnika pripada tom korisniku; probleme uočene ondje prijavite i njima i nama.
Pravila za istraživače
- Koristite se samo računima i podacima koji su vaši ili koji su vam dodijeljeni za testiranje.
- Učinite samo onoliko koliko je nužno da dokažete propust. Zaustavite se i javite nam se čim dođete do podataka drugog društva.
- Nemojte mijenjati ni brisati podatke, narušavati rad usluge niti zadržavati pristup dulje nego što je potrebno.
- Držite pojedinosti u tajnosti dok ne dogovorimo datum objave.
Sigurna luka
Ako postupate u dobroj vjeri i pridržavate se ovih pravila, vaše ćemo istraživanje smatrati ovlaštenim. Zbog toga protiv vas nećemo pokretati pravne postupke niti vas prijaviti nadležnim tijelima, a ako to učini netko drugi, jasno ćemo potvrditi da ste djelovali uz naše dopuštenje. Ovo se ne odnosi na radnje kojima se krši zakon na načine koje ova pravila ne mogu ovlastiti.
Objava
Pojedinosti radije objavljujemo nakon što zakrpa postane dostupna svima kojima je potrebna. Vrijeme objave dogovorit ćemo s vama i nećemo tražiti da šutite dulje nego što je potrebno za zaštitu naših korisnika. Ako se ne složimo, objasnit ćemo vam zašto.
Ako ste naš korisnik, sumnju na incident prijavite putem osobe za sigurnost navedene u vašem ugovoru ili putem podrške unutar sustava HONESTAS, kako bismo mogli postupiti prema vašem planu za incidente. Za informacije o tome gdje se nalaze vaši podaci i koje propise pokrivamo, posjetite centru za povjerenje.
Posljednja izmjena 23. listopada 2026.