Üzemeltetés
A HONESTAS két hely egyikén fut, mindkét esetben ugyanazzal a szoftverrel.
- A mi EU-s felhőnk. Adatközpontok Írországban. Adatait az Európai Unióban tároljuk és dolgozzuk fel, és Ön dönti el, hogy az egyes adattípusok hol legyenek: a mi EU-s felhőnkben vagy az Ön saját adatközpontjában.
- Az Ön saját adatközpontja. A HONESTAS az Ön saját hardverén, a saját hálózati védelme mögött van telepítve. A frissítések aláírt csomagokként érkeznek, amelyeket Ön hagy jóvá a futtatás előtt.
Mindkét esetben a lezárt rekordok a telepítésen kívüli adattárba kerülnek, külső időbélyeggel, így egy adott telepítés kompromittálódása esetén sem írható át annak előzménye.
Titkosítás és kulcsok
- Az adatokat átvitel közben és nyugalmi állapotban is titkosítjuk, minden cég esetében külön kulccsal.
- Saját kulcsait a saját kulcstárában is tarthatja. Ha visszavonja a kulcsot, az általa védett adatok többé nem olvashatók.
- A rekordokat lezáró kulcsokat az adatokat védő kulcsoktól elkülönítve tároljuk, és azokhoz a döntéseket aláíró személyek soha nem férhetnek hozzá.
- Az MI-hívások az Ön saját modellszolgáltatói fiókjain és kulcsain futnak, az Ön saját szerződései alapján. Minden hívást rögzítünk a használt kulccsal, modellel és verzióval együtt.
- A kártyaszámok soha nem jutnak el a HONESTAS rendszerébe. Az ügyfelek azokat közvetlenül a fizetési szolgáltató saját mezőibe írják be.
Izoláció
A HONESTAS rendszerben minden kérés három dolgot nevez meg: melyik céghez tartozik, kié az adat, és melyik egység kéri. Azt a kérést, amelyik nem nevezi meg mindhármat, a rendszer elutasítja a következő kóddal: SCOPE_REFUSED, és az elutasítás tényét rögzíti.
- Cégek között. Minden biztosító, alkusz, MGA vagy TPA saját térrel és saját kulcsokkal rendelkezik. Egy közös kihelyezési térben a piacok közötti falat minden üzenetküldés előtt ellenőrzi a rendszer.
- Tulajdonosok között. Egy több ügyfélnek dolgozó TPA vagy alkusz minden ügyfél rekordjait az adott ügyfél neve alatt tartja.
- Egységek között. Az olyan csapatok, mint például a speciális vizsgálati egység (SIU), egy cégen belül is elszigetelhetők.
Minden feltöltött fájlt egy hálózati hozzáférés nélküli sandboxban nyitunk meg, olvasunk be, majd dobunk el.
Hozzáférés
- A felhasználók az Ön saját identitásszolgáltatóján keresztül jelentkeznek be SAML vagy OIDC protokollal, a fiókok szinkronizálása pedig SCIM-en keresztül történik. A döntések aláírása a felhasználó saját eszközén lévő passkey-ekkel történik.
- A szerepkörök határozzák meg, hogy ki mit láthat és tehet. A kockázatos módosítások – például egy új kockázatvállalási limit vagy egy új modellverzió – egy második személy jóváhagyására várnak.
- Vészhelyzetben egy rendszergazda rövid időre teljes hozzáférést kaphat, miközben egy második személy felügyeli, és a rendszer minden lépést rögzít.
- Az Adverant munkatársainak hozzáférése korlátozott, jóváhagyáshoz kötött és rögzített.
Naplózás
Minden bejelentkezést, olvasást, módosítást, MI-hívást és rendszergazdai műveletet naplózunk: ki, mit, mikor és honnan tett. A naplókat a telepítésen kívül tároljuk, nem szerkeszthetők, és az Ön által beállított ideig őrizzük meg őket. Az esemény API-n keresztül saját biztonsági eszközeibe is továbbíthatja őket.
Tesztelés
- Független tesztelők vizsgálják a HONESTAS rendszert sebezhetőségek után kutatva. A feltárt hibákat súlyossági sorrendben javítjuk.
- Minden build aláírt, a benne lévő szoftvert pedig kiadás előtt ellenőrizzük az ismert sebezhetőségekre.
- A döntéseket elutasító ellenőrzéseket, a lezárást és a cégek közötti falakat minden kiadáskor teszteljük.
Incidensek
Ha egy incidens érinti az Ön adatait, indokolatlan késedelem nélkül értesítjük a megnevezett biztonsági kapcsolattartóját, és követjük a szerződésében foglalt tervet. Átadjuk az első riasztástól számított időrendet és azokat a tényeket, amelyekre a DORA és a GDPR szerinti saját bejelentési kötelezettségeinek teljesítéséhez szüksége van.
Probléma bejelentése
Írjon a security@honestas.ai címre. Kérjük, tüntesse fel:
- mit talált és hol (a cím, képernyő vagy komponens);
- a reprodukálás lépéseit, bármilyen proof-of-concept kóddal vagy képernyőképpel;
- meglátása szerint mit tudna kezdeni ezzel egy támadó;
- hogyan érhetjük el Önt, és szeretné-e, hogy feltüntessük a nevét.
Ha teheti, írjon angolul. Egyetlen világos jelentés hasznosabb, mint több rövid. Kérjük, ne küldjön el olyan személyes adatot, amelybe belebotlott; inkább csak írja körül. Először a legsúlyosabb hibákat javítjuk, szólunk, ha a javítás elkészült, és egyeztetünk Önnel, hogy mikor hozhatók nyilvánosságra a részletek.
Mi tartozik a hatókörbe
- a honestas.ai és aldomainjei, beleértve a HONESTAS konzolt;
- az EU-s felhőnkben általunk üzemeltetett HONESTAS, beleértve a bejelentkezést, a rekordtárat és a rekordellenőrzőt;
- az iOS és Android rendszerű HONESTAS alkalmazások, a storefront SDK és a nyilvános API.
Hatókörön kívül esik: munkatársaink elleni támadások (adathalászat, social engineering), fizikai támadások, szolgáltatásmegtagadásos támadások (DoS), már kompromittált eszközt igénylő megállapítások, valamint automatizált szkennerekből származó, igazolt hatás nélküli jelentések. Az ügyfél saját adatközpontjában lévő telepítés az adott ügyfélhez tartozik; kérjük, az ottani problémákat nekik és nekünk is jelezze.
Szabályok kutatóknak
- Csak olyan fiókokat és adatokat használjon, amelyek az Önéi, vagy amelyeket tesztelésre kapott.
- Csak a hiba igazolásához feltétlenül szükséges lépéseket tegye meg. Álljon meg és jelezze nekünk, amint egy másik cég adataihoz ér.
- Ne módosítson vagy töröljön adatokat, ne rontsa a szolgáltatás minőségét, és ne tartsa meg a hozzáférést a szükségesnél tovább.
- Tartsa titokban a részleteket, amíg meg nem állapodtunk a közzététel dátumában.
Safe harbour
Ha jóhiszeműen jár el és betartja ezeket a szabályokat, kutatását engedélyezettnek tekintjük. Nem indítunk jogi eljárást Ön ellen, és nem jelentjük fel a hatóságoknál, ha pedig más megteszi, egyértelművé tesszük, hogy a mi engedélyünkkel járt el. Ez nem terjed ki az olyan jogsértő cselekményekre, amelyeket ezek a szabályok nem jogosíthatnak fel.
Közzététel
A részleteket szívesebben hozzuk nyilvánosságra azután, hogy a javítás már minden érintett számára elérhető. Az időzítésről egyeztetünk Önnel, és nem kérjük, hogy tovább hallgasson, mint amennyi ügyfeleink védelméhez szükséges. Ha nem értünk egyet, elmondjuk, miért.
Ha Ön ügyfelünk, a gyanított incidenst a szerződésében szereplő biztonsági kapcsolattartón vagy a HONESTAS rendszeren belüli ügyfélszolgálaton keresztül jelentse be, hogy követhessük az incidenskezelési tervét. Az adatok tárolási helyével és az általunk lefedett szabályozásokkal kapcsolatban keresse fel a biztonsági központban.
Utolsó frissítés: 2026. október 23.