Utrzymanie
HONESTAS działa w jednym z dwóch środowisk, wykorzystując w obu to samo oprogramowanie.
- Nasza chmura w UE. Centra danych w Irlandii. Twoje dane są przechowywane i przetwarzane na terenie Unii Europejskiej, a Ty decydujesz, gdzie ma znajdować się każdy rodzaj danych: w naszej chmurze w UE czy w Twoim własnym centrum danych.
- Twoje własne centrum danych. HONESTAS zainstalowany na Twoim sprzęcie, za Twoimi własnymi zabezpieczeniami sieciowymi. Aktualizacje trafiają do Ciebie jako podpisane pakiety, które zatwierdzasz przed uruchomieniem.
W obu przypadkach zapieczętowane zapisy trafiają do repozytorium poza instalacją i otrzymują zewnętrzny znacznik czasu, dzięki czemu naruszenie bezpieczeństwa jednej instalacji nie pozwala na przepisanie jej historii.
Szyfrowanie i klucze
- Dane są szyfrowane w trakcie przesyłania i w spoczynku, przy użyciu osobnego klucza dla każdej firmy.
- Klucze możesz przechowywać we własnym magazynie kluczy. Wycofanie klucza sprawia, że chronione nim dane stają się niemożliwe do odczytania.
- Klucze pieczętujące zapisy są oddzielone od kluczy chroniących dane i nigdy nie są dostępne dla osób podpisujących decyzje.
- Wywołania modeli AI odbywają się na Twoich własnych kontach i kluczach u dostawców modeli, w ramach Twoich własnych umów. Każde wywołanie jest rejestrowane wraz z użytym kluczem, modelem i jego wersją.
- Numery kart płatniczych nigdy nie trafiają do HONESTAS. Klienci wpisują je bezpośrednio w polach dostawcy usług płatniczych.
Izolacja
Każde żądanie w HONESTAS musi określać trzy elementy: firmę, do której należy, właściciela danych oraz jednostkę pytającą. Żądanie, które nie zawiera wszystkich trzech informacji, zostaje odrzucone z kodem SCOPE_REFUSED, a sama odmowa jest rejestrowana.
- Między firmami. Każdy ubezpieczyciel, broker, MGA czy TPA ma własną przestrzeń i własne klucze. We współdzielonym pokoju plasowania ryzyka szczelność bariery między rynkami jest weryfikowana przed wysłaniem każdej wiadomości.
- Między właścicielami. TPA lub broker obsługujący wielu klientów przechowuje dokumentację każdego z nich pod nazwą danego klienta.
- Między jednostkami. Zespoły takie jak jednostka ds. badania nadużyć mogą być odizolowane wewnątrz jednej firmy.
Każdy przesłany plik jest otwierany w środowisku izolowanym (sandbox) bez dostępu do sieci, odczytywany, a następnie usuwany.
Dostęp
- Użytkownicy logują się przez Twojego własnego dostawcę tożsamości za pomocą protokołów SAML lub OIDC, a konta są synchronizowane przez SCIM. Do podpisywania decyzji służą klucze dostępu (passkeys) na urządzeniu danej osoby.
- Role decydują o tym, co dana osoba może zobaczyć i zrobić. Ryzykowne zmiany, takie jak nowy limit pełnomocnictwa czy nowa wersja modelu, wymagają zatwierdzenia przez drugą osobę.
- W sytuacji awaryjnej administrator może otrzymać pełny dostęp na krótki czas – pod nadzorem drugiej osoby i przy rejestrowaniu każdego kroku.
- Dostęp dla pracowników Adverant jest ograniczony, wymaga zatwierdzenia i podlega rejestracji.
Rejestrowanie zdarzeń
Każde logowanie, odczyt, zmiana, wywołanie AI oraz działanie administratora jest rejestrowane z informacją kto, co, kiedy i skąd. Logi są przechowywane poza Twoją instalacją, nie można ich edytować i są zachowywane przez ustalony przez Ciebie okres. Możesz przesyłać je do własnych narzędzi bezpieczeństwa przez API zdarzeń.
Testowanie
- Niezależni audytorzy testują HONESTAS pod kątem podatności. Wykryte błędy naprawiamy w kolejności od najpoważniejszych.
- Każda kompilacja jest podpisywana, a zawarte w niej oprogramowanie jest przed wdrożeniem sprawdzane pod kątem znanych podatności.
- Mechanizmy odrzucające decyzje, pieczęć oraz bariery izolujące poszczególne firmy są testowane przy każdym wydaniu.
Incydenty
Jeśli incydent dotyczy Twoich danych, bez zbędnej zwłoki powiadamiamy wyznaczoną przez Ciebie osobę ds. bezpieczeństwa i postępujemy zgodnie z planem określonym w umowie. Przekazujemy harmonogram zdarzeń od pierwszego alertu oraz fakty niezbędne do wywiązania się z własnych obowiązków sprawozdawczych wynikających z rozporządzenia DORA oraz RODO.
Zgłoś problem
Napisz na adres security@honestas.ai. W wiadomości podaj:
- co i gdzie udało Ci się znaleźć (adres, ekran lub komponent);
- kroki pozwalające odtworzyć błąd, wraz z kodem typu proof-of-concept lub zrzutami ekranu;
- jak według Ciebie mógłby to wykorzystać atakujący;
- jak możemy się z Tobą skontaktować i czy chcesz, aby wymienić Cię jako autora zgłoszenia.
W miarę możliwości napisz po angielsku. Jedno przejrzyste zgłoszenie jest bardziej pomocne niż kilka krótkich. Nie załączaj danych osobowych, na które udało Ci się natrafić – zamiast tego opisz je. Najpoważniejsze błędy naprawiamy w pierwszej kolejności, informujemy o wdrożeniu poprawki i wspólnie ustalamy termin ujawnienia szczegółów.
Zakres
- domena honestas.ai i jej subdomeny, w tym konsola HONESTAS;
- system HONESTAS utrzymywany w naszej chmurze w UE, w tym logowanie, repozytorium zapisów oraz weryfikator zapisów;
- aplikacje HONESTAS na systemy iOS i Android, pakiet SDK dla interfejsu sprzedażowego oraz publiczne API.
Poza zakresem: ataki na naszych pracowników (phishing, socjotechnika), ataki fizyczne, ataki typu odmowa usługi (DoS), błędy wymagające wcześniej przejętego urządzenia oraz raporty z automatycznych skanerów bez wykazanego wpływu na bezpieczeństwo. Instalacja we własnym centrum danych klienta należy do tego klienta – problemy wykryte w takim środowisku prosimy zgłaszać zarówno klientowi, jak i nam.
Zasady dla badaczy
- Korzystaj wyłącznie z kont i danych należących do Ciebie lub przekazanych Ci do celów testowych.
- Wykonaj tylko minimum działań niezbędne do udowodnienia błędu. Przerwij test i powiadom nas natychmiast, jeśli dotrzesz do danych innej firmy.
- Nie zmieniaj ani nie usuwaj danych, nie obniżaj jakości usług i nie utrzymuj dostępu dłużej, niż jest to konieczne.
- Zachowaj szczegóły w tajemnicy do czasu, aż wspólnie ustalimy datę ich ujawnienia.
Bezpieczna przystań
Jeśli działasz w dobrej wierze i przestrzegasz tych zasad, potraktujemy Twoje badania jako autoryzowane. Nie podejmiemy przeciwko Tobie kroków prawnych ani nie zgłosimy sprawy organom ścigania, a jeśli zrobi to ktoś inny, potwierdzimy, że Twoje działania odbywały się za naszą zgodą. Zasada ta nie obejmuje działań naruszających prawo w sposób, którego niniejsze reguły nie mogą zalegalizować.
Ujawnianie informacji
Wolimy publikować szczegóły dopiero wtedy, gdy poprawka jest już dostępna dla wszystkich, którzy jej potrzebują. Termin ustalimy wspólnie z Tobą i nie będziemy prosić o zachowanie milczenia dłużej, niż wymaga tego ochrona naszych klientów. Jeśli nasze zdania będą podzielone, wyjaśnimy dlaczego.
Jeśli jesteś naszym klientem, zgłoś podejrzenie incydentu przez kontakt ds. bezpieczeństwa wskazany w umowie lub przez wsparcie techniczne wewnątrz HONESTAS, abyśmy mogli postępować zgodnie z Twoim planem reagowania na incydenty. Informacje o tym, gdzie znajdują się Twoje dane i jakie przepisy mapujemy, znajdziesz w sekcji centrum zaufania.
Ostatnia aktualizacja: 23 października 2026 r.