Talpinimas
HONESTAS veikia vienoje iš dviejų vietų, abiejose naudojant tą pačią programinę įrangą.
- Mūsų ES debesis. Duomenų centrai Airijoje. Jūsų duomenys saugomi ir tvarkomi Europos Sąjungoje, o jūs pasirenkate, kur laikomi kiekvienos rūšies duomenys: mūsų ES debesyje ar jūsų pačių duomenų centre.
- Jūsų pačių duomenų centras. HONESTAS įdiegiama jūsų techninėje įrangoje, už jūsų tinklo apsaugos priemonių. Atnaujinimai pateikiami kaip pasirašyti paketai, kuriuos patvirtinate prieš juos paleisdami.
Abiem atvejais užantspauduoti įrašai įrašomi į įrašų saugyklą už diegimo ribų su išorine laiko žyma, todėl vieno diegimo pažeidimas negali perrašyti jo istorijos.
Šifravimas ir raktai
- Duomenys šifruojami juos perduodant ir saugant, kiekvienai įmonei naudojant atskirą raktą.
- Savo raktus galite laikyti savo raktų saugykloje. Atšaukus raktą, jo saugomų duomenų nebebus galima perskaityti.
- Raktai, kuriais užantspauduojami įrašai, laikomi atskirai nuo duomenis saugančių raktų ir niekada nėra prieinami sprendimus pasirašantiems asmenims.
- DI užklausos vykdomos naudojant jūsų pačių modelių teikėjų paskyras ir raktus, pagal jūsų sutartis. Kiekviena užklausa įrašoma nurodant naudotą raktą, modelį ir versiją.
- Mokėjimo kortelių numeriai niekada nepasiekia HONESTAS. Klientai juos įveda tiesiai į mokėjimo paslaugų teikėjo laukelius.
Izoliavimas
Kiekvienoje HONESTAS užklausoje nurodomi trys dalykai: įmonė, kuriai ji priklauso, kieno tai duomenys ir užklausą teikiantis padalinys. Užklausa, kurioje nėra visų trijų elementų, atmetama su kodu SCOPE_REFUSED, o atmetimas užregistruojamas.
- Tarp įmonių. Kiekvienas draudikas, brokeris, MGA ar TPA turi savo erdvę ir savo raktus. Bendroje rizikos talpinimo erdvėje riba tarp rinkos dalyvių patikrinama prieš išsiunčiant kiekvieną pranešimą.
- Tarp savininkų. TPA arba brokeris, dirbantis su daugeliu klientų, kiekvieno kliento įrašus saugo to kliento vardu.
- Tarp padalinių. Tokios komandos kaip specialiųjų tyrimų padalinys gali būti atskirtos informacine siena net ir vienos įmonės viduje.
Kiekvienas įkeltas failas atidaromas izoliuotoje aplinkoje (angl. sandbox) be tinklo prieigos, perskaitomas ir sunaikinamas.
Prieiga
- Darbuotojai prisijungia per jūsų tapatybės teikėją naudojant SAML arba OIDC, o paskyros sinchronizuojamos per SCIM. Sprendimų pasirašymui naudojami prieigos raktai (angl. passkeys) paties asmens įrenginyje.
- Vaidmenys lemia, ką kiekvienas asmuo gali matyti ir daryti. Rizikingiems pakeitimams, pavyzdžiui, naujam įgaliojimų limitui ar naujai modelio versijai, reikia antro asmens patvirtinimo.
- Kritiniu atveju administratoriui trumpam laikui gali būti suteikta visa prieiga, tačiau tai stebi antras asmuo ir kiekvienas žingsnis yra įrašomas.
- „Adverant“ darbuotojų prieiga yra ribota, patvirtinama ir įrašoma.
Žurnalai
Kiekvienas prisijungimas, peržiūra, pakeitimas, DI užklausa ir administratoriaus veiksmas registruojamas žurnale, nurodant kas, ką, kada ir iš kur darė. Žurnalai saugomi už jūsų diegimo ribų, negali būti redaguojami ir yra laikomi jūsų nustatytą laikotarpį. Juos galite siųsti į savo saugumo įrankius per įvykių API.
Testavimas
- Nepriklausomi testuotojai tikrina HONESTAS ieškodami spragų. Rastas problemas šaliname pagal jų rimtumą.
- Kiekviena versija yra pasirašoma, o joje esanti programinė įranga prieš išleidimą patikrinama dėl žinomų pažeidžiamumų.
- Patikros, kurios atmeta sprendimus, elektroninis spaudas ir ribos tarp įmonių yra testuojamos su kiekvienu atnaujinimu.
Incidentai
Jei incidentas paveikia jūsų duomenis, nepagrįstai nedelsdami pranešame jūsų nurodytam atsakingam už saugumą asmeniui ir vadovaujamės jūsų sutartyje numatytu planu. Pateikiame įvykių eigą nuo pirmojo perspėjimo ir faktus, kurių jums reikia norint įvykdyti savo atskaitomybės pareigas pagal DORA ir BDAR.
Pranešti apie problemą
Rašykite el. paštu security@honestas.ai. Prašome nurodyti:
- ką ir kur radote (adresą, langą ar komponentą);
- žingsnius problemai atkurti, pridedant koncepcijos įrodymo (PoC) kodą arba ekrano nuotraukas;
- ką, jūsų manymu, piktavalis galėtų su tuo padaryti;
- kaip su jumis susisiekti ir ar norėtumėte būti viešai paminėti.
Jei galite, rašykite anglų kalba. Vienas aiškus pranešimas yra naudingesnis nei keli trumpi. Prašome nesiųsti asmens duomenų, su kuriais susidūrėte – vietoj to tiesiog juos apibūdinkite. Pirmiausia išsprendžiame rimčiausias problemas, pranešame, kai pataisymas įdiegiamas, ir suderiname su jumis, kada galima pasidalyti detalėmis.
Kas patenka į apimtį
- honestas.ai ir jo subdomenai, įskaitant HONESTAS valdymo pultą;
- HONESTAS sistema, veikianti mūsų ES debesyje, įskaitant prisijungimą, įrašų saugyklą ir įrašų tikriklį;
- HONESTAS programėlės, skirtos „iOS“ ir „Android“, klientų portalo SDK ir viešasis API.
Į apimtį nepatenka: atakos prieš mūsų darbuotojus (duomenų viliojimas, socialinė inžinerija), fizinės atakos, paslaugos trikdymo (DoS) atakos, radiniai, kuriems reikia jau pažeisto įrenginio, ir automatinių skenerių ataskaitos be įrodyto poveikio. Kliento duomenų centre įdiegta sistema priklauso tam klientui – apie ten rastas problemas prašome pranešti ir jam, ir mums.
Taisyklės tyrėjams
- Naudokite tik tas paskyras ir duomenis, kurie priklauso jums arba buvo suteikti testavimui.
- Atlikite tik minimalius veiksmus, būtinus problemai įrodyti. Nedelsdami sustokite ir praneškite mums, jei pasieksite kitos įmonės duomenis.
- Nekeiskite ir neištrinkite duomenų, netrikdykite paslaugos veikimo ir nepasilikite prieigos ilgiau nei būtina.
- Laikykite detales paslaptyje, kol sutarsime dėl atskleidimo datos.
Saugus uostas
Jei elgsitės sąžiningai ir laikysitės šių taisyklių, jūsų tyrimą laikysime teisėtu. Nesiimsime prieš jus teisinių veiksmų ir nepranešime apie jus institucijoms, o jei tai padarys kas nors kitas, aiškiai patvirtinsime, kad veikėte su mūsų leidimu. Tai negalioja veiksmams, kurie pažeidžia įstatymus būdais, kurių šios taisyklės negali sankcionuoti.
Atskleidimas
Informaciją pageidaujame skelbti tik tada, kai pataisymas jau pasiekiamas visiems, kam jo reikia. Laiką suderinsime su jumis ir neprašysime tylėti ilgiau, nei būtina mūsų klientams apsaugoti. Jei mūsų nuomonės išsiskirs, paaiškinsime kodėl.
Jei esate klientas, apie įtariamą incidentą praneškite per sutartyje nurodytą saugumo kontaktą arba per pagalbos skiltį HONESTAS viduje, kad galėtume vadovautis jūsų incidentų valdymo planu. Norėdami sužinoti, kur saugomi jūsų duomenys ir kokius teisės aktus atliepiame, apsilankykite pasitikėjimo centre.
Atnaujinta 2026 m. spalio 23 d.