Drift og hosting
HONESTAS kjører på ett av to steder, med den samme programvaren begge steder.
- Vår EU-sky. Datasentre i Irland. Dataene dine lagres og behandles i EU, og du velger selv hvor hver enkelt datatype skal lagres: i vår EU-sky eller i ditt eget datasenter.
- Ditt eget datasenter. HONESTAS installert på din egen maskinvare, bak dine egne nettverkskontroller. Oppdateringer leveres som signerte pakker som du godkjenner før de kjøres.
Begge steder skrives forseglede oppføringer til et arkiv utenfor selve installasjonen, med et eksternt tidsstempel, slik at et innbrudd i én installasjon ikke kan omskrive historikken.
Kryptering og nøkler
- Data krypteres under overføring og ved lagring, med en egen nøkkel for hvert selskap.
- Du kan oppbevare dine egne nøkler i ditt eget nøkkellager. Trekker du tilbake nøkkelen, kan dataene den beskytter ikke lenger leses.
- Nøklene som forsegler oppføringer holdes adskilt fra nøklene som beskytter data, og er aldri tilgjengelige for personene som signerer beslutninger.
- KI-kall kjører på dine egne kontoer og nøkler hos modelleverandøren, under dine egne avtaler. Hvert kall registreres med nøkkelen, modellen og versjonen som ble brukt.
- Kortnumre når aldri frem til HONESTAS. Kundene skriver dem inn direkte i betalingsleverandørens egne felter.
Isolering
Hver forespørsel i HONESTAS oppgir tre ting: hvilket selskap den tilhører, hvem som eier dataene og hvilken enhet som spør. En forespørsel som ikke kan oppgi alle tre blir avvist med koden SCOPE_REFUSED, og avvisningen blir registrert.
- Mellom selskaper. Hvert forsikringsselskap, meglerforetak, MGA eller TPA har sitt eget område og sine egne nøkler. I et felles plasseringsrom kontrolleres veggen mellom markedene før hver eneste melding sendes.
- Mellom eiere. En TPA eller megler som arbeider for flere klienter, holder hver klients oppføringer adskilt under den aktuelle klientens navn.
- Mellom enheter. Team som utredningsenheten (SIU) kan skjermes bak egne vegger internt i ett og samme selskap.
Hver opplastet fil åpnes i en sandkasse uten nettverkstilgang, leses og kastes deretter.
Tilgang
- Brukere logger inn via din egen identitetsleverandør over SAML eller OIDC, og kontoer holdes synkronisert over SCIM. Signaturer på beslutninger bruker passnøkler (passkeys) på personens egen enhet.
- Roller avgjør hva hver enkelt person kan se og gjøre. Risikofylte endringer, som en ny fullmaktsgrense eller en ny modellversjon, venter på godkjenning fra en person nummer to.
- I en nødsituasjon kan en administrator få full tilgang i en kort periode, mens en annen person følger med og hvert eneste steg blir registrert.
- Tilgang for ansatte i Adverant er begrenset, forhåndsgodkjent og loggført.
Logging
Hver innlogging, lesing, endring, KI-kall og administratorhandling logges med hvem, hva, når og hvorfra. Logger oppbevares utenfor installasjonen din, kan ikke redigeres, og lagres så lenge du selv bestemmer. Du kan sende dem til dine egne sikkerhetsverktøy via hendelses-API-et.
Testing
- Uavhengige testere undersøker HONESTAS for svakheter. Vi utbedrer funn etter alvorlighetsgrad.
- Hver versjon som bygges blir signert, og programvaren den inneholder kontrolleres for kjente sårbarheter før den leveres.
- Kontrollene som avviser beslutninger, forseglingen og veggene mellom selskaper testes ved hver eneste utgivelse.
Hendelser
Hvis en hendelse berører dataene dine, varsler vi din oppgitte sikkerhetskontakt uten ugrunnet opphold og følger planen i avtalen din. Vi gir deg en tidslinje fra første varsel og faktaene du trenger for å oppfylle dine egne rapporteringsplikter etter DORA og GDPR.
Meld fra om et avvik
Send e-post til security@honestas.ai. Legg gjerne ved:
- hva du fant og hvor (adressen, skjermbildet eller komponenten);
- stegene for å gjenskape feilen, med eventuell testkode (proof-of-concept) eller skjermbilder;
- hva en angriper kunne brukt dette til, slik du vurderer det;
- hvordan vi kan nå deg, og om du ønsker å bli kreditert.
Skriv gjerne på engelsk hvis du kan. Én tydelig rapport er mer nyttig enn flere korte. Ikke legg ved personopplysninger du har kommet over; beskriv dem i stedet. Vi utbedrer de mest alvorlige feilene først, gir deg beskjed når rettelsen er på plass, og avtaler med deg når detaljene kan deles.
Hva som er omfattet
- honestas.ai og tilhørende underdomener, inkludert HONESTAS-konsollen;
- HONESTAS slik vi drifter løsningen i vår EU-sky, inkludert innlogging, arkivet for oppføringer og verifiseringsverktøyet;
- HONESTAS-appene for iOS og Android, SDK-en for kundegrensesnitt og det offentlige API-et.
Utenfor omfanget: angrep mot våre ansatte (phishing, sosial manipulering), fysiske angrep, tjenestenektangrep (DoS), funn som krever en allerede kompromittert enhet, samt rapporter fra automatiserte skannere uten påvist konsekvens. En installasjon i en kundes eget datasenter tilhører kunden; meld gjerne fra om feil der både til kunden og til oss.
Regler for sikkerhetsforskere
- Bruk kun kontoer og data som er dine egne, eller som du har fått utdelt for testing.
- Gjør kun det aller nødvendigste for å bevise feilen. Stopp og varsle oss straks dersom du får tilgang til et annet selskaps data.
- Ikke endre eller slett data, ikke reduser tjenestekvaliteten, og ikke behold tilgangen lenger enn nødvendig.
- Hold detaljene private frem til vi har blitt enige om en dato for offentliggjøring.
Beskyttelse (Safe harbour)
Hvis du handler i god tro og følger disse reglene, anser vi undersøkelsene dine som autoriserte. Vi vil ikke gå til rettslige skritt mot deg eller anmelde deg til myndighetene for dette, og dersom noen andre gjør det, vil vi gjøre det klart at du handlet med vår tillatelse. Dette dekker ikke handlinger som bryter loven på måter som disse reglene ikke kan gi tillatelse til.
Offentliggjøring
Vi foretrekker å publisere detaljer etter at en utbedring er tilgjengelig for alle som trenger den. Vi avtaler tidspunktet med deg, og vi vil ikke be deg om å tie lenger enn det som er nødvendig for å beskytte kundene våre. Hvis vi er uenige, forklarer vi deg hvorfor.
Hvis du er kunde, melder du fra om en mistenkt hendelse via sikkerhetskontakten i avtalen din eller via brukerstøtte inne i HONESTAS, slik at vi kan følge hendelsesplanen din. For informasjon om hvor dataene dine er lagret og hvilke regelverk vi dekker, besøk tillitssenteret.
Sist oppdatert 23. oktober 2026