Mitināšana
HONESTAS darbojas vienā no divām vidēm ar vienu un to pašu programmatūru abās.
- Mūsu ES mākonis. Datu centri Īrijā. Jūsu dati tiek glabāti un apstrādāti Eiropas Savienībā, un jūs izvēlaties, kur katrs datu veids tiek glabāts: mūsu ES mākonī vai jūsu pašu datu centrā.
- Jūsu pašu datu centrs. HONESTAS ir instalēts uz jūsu aparatūras, aiz jūsu tīkla kontroles mehānismiem. Atjauninājumi tiek piegādāti kā parakstītas pakotnes, kuras jūs apstiprināt pirms to palaišanas.
Abos gadījumos apzīmogotie ieraksti tiek ierakstīti ierakstu glabātuvē ārpus instalācijas ar ārēju laika zīmogu, tādēļ vienas instalācijas uzlaušana neļauj pārrakstīt tās vēsturi.
Šifrēšana un atslēgas
- Dati tiek šifrēti pārsūtīšanas un glabāšanas laikā, izmantojot atsevišķu atslēgu katram uzņēmumam.
- Jūs varat glabāt savas atslēgas savā atslēgu glabātuvē. Atsauciet atslēgu, un datus, ko tā aizsargā, vairs nevarēs nolasīt.
- Atslēgas, kas apzīmogo ierakstus, tiek glabātas atsevišķi no atslēgām, kas aizsargā datus, un tās nekad nav pieejamas cilvēkiem, kuri paraksta lēmumus.
- MI izsaukumi darbojas, izmantojot jūsu pašu modeļu nodrošinātāju kontus un atslēgas saskaņā ar jūsu līgumiem. Katrs izsaukums tiek reģistrēts kopā ar izmantoto atslēgu, modeli un versiju.
- Karšu numuri nekad nenonāk HONESTAS rīcībā. Klienti tos ievada tieši maksājumu pakalpojumu sniedzēja laukos.
Izolācija
Katrs pieprasījums sistēmā HONESTAS norāda trīs lietas: uzņēmumu, kuram tas pieder, datu īpašnieku un struktūrvienību, kas veic pieprasījumu. Pieprasījums, kurā nav norādīti visi trīs elementi, tiek noraidīts ar kodu SCOPE_REFUSED, un noraidījums tiek reģistrēts.
- Starp uzņēmumiem. Katram apdrošinātājam, brokerim, MGA vai TPA ir sava telpa un savas atslēgas. Kopīgā risku izvietošanas telpā barjera starp tirgus dalībniekiem tiek pārbaudīta pirms katra ziņojuma nosūtīšanas.
- Starp īpašniekiem. TPA vai brokeris, kas strādā ar daudziem klientiem, glabā katra klienta ierakstus zem attiecīgā klienta vārda.
- Starp struktūrvienībām. Tādas komandas kā speciālās izmeklēšanas nodaļa var tikt nošķirtas viena uzņēmuma ietvaros.
Katrs augšupielādētais fails tiek atvērts izolētā smilškastes vidē bez piekļuves tīklam, nolasīts un pēc tam izdzēsts.
Piekļuve
- Lietotāji pierakstās caur jūsu identitātes nodrošinātāju, izmantojot SAML vai OIDC, un konti tiek sinhronizēti, izmantojot SCIM. Lēmumu parakstīšanai tiek izmantotas piekļuves atslēgas (passkeys) paša lietotāja ierīcē.
- Lomas nosaka, ko katra persona drīkst redzēt un darīt. Riskantas izmaiņas, piemēram, jauns parakstīšanas pilnvaru limits vai jauna modeļa versija, gaida otras personas apstiprinājumu.
- Ārkārtas situācijā administratoram uz īsu laiku var piešķirt pilnu piekļuvi, otrai personai to uzraugot un reģistrējot katru soli.
- Adverant darbinieku piekļuve ir ierobežota, iepriekš apstiprināta un reģistrēta.
Žurnālieraksti
Katra pierakstīšanās, nolasīšana, izmaiņa, MI izsaukums un administratora darbība tiek reģistrēta, fiksējot, kas, ko, kad un no kurienes ir darījis. Žurnālieraksti tiek glabāti ārpus jūsu instalācijas, tos nevar rediģēt, un tie tiek saglabāti jūsu noteikto laika periodu. Jūs varat tos nosūtīt uz saviem drošības rīkiem, izmantojot notikumu API.
Testēšana
- Neatkarīgi testētāji pārbauda HONESTAS ievainojamības. Mēs novēršam atklātās problēmas to nopietnības secībā.
- Katrs laidiens tiek parakstīts, un tajā iekļautā programmatūra pirms piegādes tiek pārbaudīta attiecībā uz zināmām ievainojamībām.
- Pārbaudes, kas noraida lēmumus, zīmogs un barjeras starp uzņēmumiem tiek testētas katrā laidienā.
Incidenti
Ja incidents skar jūsu datus, mēs bez nepamatotas kavēšanās informējam jūsu norādīto drošības kontaktpersonu un rīkojamies saskaņā ar jūsu līgumā iekļauto plānu. Mēs sniedzam jums laika grafiku no pirmā brīdinājuma un faktus, kas jums nepieciešami, lai izpildītu savus ziņošanas pienākumus saskaņā ar DORA un VDAR.
Ziņot par problēmu
Rakstiet uz security@honestas.ai. Lūdzu, iekļaujiet:
- ko un kur jūs atradāt (adresi, ekrānu vai komponenti);
- soļus, kā to reproducēt, pievienojot koncepcijas pierādījuma (PoC) kodu vai ekrānuzņēmumus;
- ko uzbrucējs ar to varētu izdarīt pēc jūsu domām;
- kā ar jums sazināties un vai vēlaties, lai jūsu vārds tiktu publiski pieminēts.
Ja iespējams, rakstiet angļu valodā. Viens skaidrs ziņojums ir noderīgāks nekā vairāki īsi. Lūdzu, neiekļaujiet personas datus, kuriem esat nejauši piekļuvis; tā vietā aprakstiet tos. Vispirms mēs novēršam visnopietnākās problēmas, paziņojam jums, kad labojums ir ieviests, un vienojamies ar jums par to, kad informāciju var publiskot.
Kas ietilpst tvērumā
- honestas.ai un tā apakšdomēni, tostarp HONESTAS konsole;
- HONESTAS, kādu mēs to darbinām savā ES mākonī, tostarp pierakstīšanās, ierakstu glabātuve un ierakstu verificētājs;
- HONESTAS lietotnes iOS un Android ierīcēm, klientu portāla SDK un publiskais API.
Ārpus tvēruma: uzbrukumi mūsu darbiniekiem (pikšķerēšana, sociālā inženierija), fiziski uzbrukumi, pakalpojuma atteices (DoS) uzbrukumi, atklājumi, kuriem nepieciešama jau uzlauzta ierīce, un ziņojumi no automatizētiem skeneriem bez pierādītas ietekmes. Instalācija klienta paša datu centrā pieder šim klientam; lūdzu, par tur konstatētajām problēmām ziņojiet gan viņiem, gan mums.
Noteikumi pētniekiem
- Izmantojiet tikai tos kontus un datus, kas pieder jums vai kas jums tika piešķirti testēšanai.
- Dariet tikai pašu minimumu, kas nepieciešams problēmas pierādīšanai. Pārtrauciet darbu un informējiet mūs, tiklīdz sasniedzat cita uzņēmuma datus.
- Nemainiet un nedzēsiet datus, nepasliktiniet pakalpojuma darbību un nesaglabājiet piekļuvi ilgāk, nekā nepieciešams.
- Saglabājiet informāciju konfidenciālu, līdz esam vienojušies par publiskošanas datumu.
Tiesiskā aizsardzība
Ja rīkosieties labticīgi un ievērosiet šos noteikumus, mēs uzskatīsim jūsu pētījumu par sankcionētu. Mēs par to pret jumsugāksim tiesvedību un neziņosim tiesībsargājošajām iestādēm, un, ja to darīs kāds cits, mēs skaidri apliecināsim, ka rīkojāties ar mūsu atļauju. Tas neattiecas uz darbībām, kas pārkāpj likumu veidos, kurus šie noteikumi nevar sankcionēt.
Atklāšana
Mēs dodam priekšroku informācijas publiskošanai pēc tam, kad labojums ir pieejams visiem, kam tas ir nepieciešams. Mēs vienosimies ar jums par laiku un nelūgsim jūs klusēt ilgāk, nekā tas ir nepieciešams mūsu klientu aizsardzībai. Ja mūsu viedokļi atšķirsies, mēs paskaidrosim, kāpēc.
Ja esat klients, ziņojiet par iespējamu incidentu, sazinoties ar līgumā norādīto drošības kontaktpersonu vai izmantojot atbalsta funkciju HONESTAS iekšienē, lai mēs varētu rīkoties saskaņā ar jūsu incidentu plānu. Lai uzzinātu, kur atrodas jūsu dati un kādus normatīvos aktus mēs aptveram, apmeklējiet uzticamības centrā.
Pēdējoreiz atjaunināts 2026. gada 23. oktobrī