Hosting
HONESTAS beží na jednom z dvoch miest, na oboch s rovnakým softvérom.
- Náš cloud v EÚ. Dátové centrá v Írsku. Vaše dáta sa ukladajú a spracúvajú v Európskej únii a vy si vyberáte, kde sa jednotlivé druhy dát uchovávajú: v našom cloude v EÚ alebo vo vašom vlastnom dátovom centre.
- Vaše vlastné dátové centrum. HONESTAS nainštalovaný na vašom vlastnom hardvéri, za vašimi vlastnými sieťovými prvkami. Aktualizácie prichádzajú ako podpísané balíky, ktoré pred spustením schvaľujete.
V oboch prípadoch sa zapečatené záznamy zapisujú do úložiska záznamov mimo samotnej inštalácie s externou časovou pečiatkou, takže ani kompromitácia jednej inštalácie nedokáže prepísať jej históriu.
Šifrovanie a kľúče
- Dáta sú šifrované pri prenose aj v pokoji, so samostatným kľúčom pre každú spoločnosť.
- Svoje kľúče môžete uchovávať vo vlastnom úložisku kľúčov. Ak kľúč odoberiete, dáta, ktoré chráni, už nebude možné prečítať.
- Kľúče, ktoré pečatia záznamy, sú uchovávané oddelene od kľúčov, ktoré chránia dáta, a nikdy nie sú k dispozícii ľuďom, ktorí podpisujú rozhodnutia.
- Volania AI bežia cez vaše vlastné účty a kľúče u poskytovateľov modelov, na základe vašich vlastných zmlúv. Každé volanie sa zaznamená spolu s použitým kľúčom, modelom a jeho verziou.
- Čísla platobných kariet sa do systému HONESTAS nikdy nedostanú. Zákazníci ich zadávajú priamo do polí poskytovateľa platobných služieb.
Izolácia
Každá požiadavka v systéme HONESTAS uvádza tri veci: spoločnosť, ktorej patrí, čie sú to dáta a ktorý útvar o ne žiada. Požiadavka, ktorá neobsahuje všetky tri údaje, je zamietnutá s kódom SCOPE_REFUSED a toto zamietnutie sa zaznamená.
- Medzi spoločnosťami. Každý poisťovateľ, maklér, MGA alebo TPA má svoj vlastný priestor a vlastné kľúče. V zdieľanom priestore na upisovanie rizík (placing room) sa bariéra medzi trhmi kontroluje pred odoslaním každej správy.
- Medzi vlastníkmi. TPA alebo maklér pracujúci pre viacerých klientov vedie záznamy každého klienta pod menom daného klienta.
- Medzi útvarmi. Tímy, ako napríklad útvar špeciálneho vyšetrovania, môžu byť v rámci jednej spoločnosti oddelené informačnou bariérou.
Každý nahraný súbor sa otvorí v izolovanom prostredí (sandbox) bez prístupu k sieti, prečíta sa a následne sa zahodí.
Prístup
- Používatelia sa prihlasujú cez vášho vlastného poskytovateľa identít pomocou protokolov SAML alebo OIDC, pričom účty sa synchronizujú cez SCIM. Na podpisovanie rozhodnutí sa používajú prístupové kľúče (passkeys) na vlastnom zariadení danej osoby.
- Roly určujú, čo môže jednotlivá osoba vidieť a robiť. Rizikové zmeny, ako je nový limit upisovacej právomoci alebo nová verzia modelu, čakajú na schválenie druhou osobou.
- V núdzovom prípade môže administrátor získať plný prístup na krátky čas, pričom na neho dohliada druhá osoba a každý krok sa zaznamenáva.
- Prístup zamestnancov spoločnosti Adverant je obmedzený, podlieha schváleniu a zaznamenáva sa.
Záznamy (Logovanie)
Každé prihlásenie, čítanie, zmena, volanie AI a zásah administrátora sa loguje s údajmi kto, čo, kedy a odkiaľ. Logy sa uchovávajú mimo vašej inštalácie, nemožno ich upravovať a uchovávajú sa počas obdobia, ktoré si nastavíte. Prostredníctvom API pre udalosti ich môžete odosielať do svojich vlastných bezpečnostných nástrojov.
Testovanie
- Nezávislí testeri testujú systém HONESTAS na prítomnosť zraniteľností. Zistenia opravujeme podľa stupňa ich závažnosti.
- Každé zostavenie (build) je podpísané a softvér, ktorý obsahuje, sa pred vydaním kontroluje na známe zraniteľnosti.
- Kontroly, ktoré zamietajú rozhodnutia, pečatenie a bariéry medzi spoločnosťami sa testujú pri každom vydaní novej verzie.
Incidenty
Ak incident zasiahne vaše dáta, bez zbytočného odkladu informujeme vašu určenú kontaktnú osobu pre bezpečnosť a postupujeme podľa plánu vo vašej zmluve. Poskytneme vám časovú os od prvého upozornenia a fakty, ktoré potrebujete na splnenie vlastných oznamovacích povinností podľa nariadení DORA a GDPR.
Nahlásiť problém
Pošlite e-mail na security@honestas.ai. Uveďte v ňom, prosím:
- čo ste našli a kde (adresu, obrazovku alebo komponent);
- kroky na zopakovanie problému vrátane prípadného ukážkového kódu (proof-of-concept) alebo snímok obrazovky;
- čo by s tým podľa vás mohol útočník urobiť;
- ako sa s vami môžeme spojiť a či si želáte byť uvedený ako autor zistenia.
Ak môžete, píšte po anglicky. Jedno jasné hlásenie je užitočnejšie ako niekoľko krátkych. Nepripájajte, prosím, osobné údaje, na ktoré ste natrafili; namiesto toho ich len opíšte. Najzávažnejšie problémy opravujeme ako prvé, dáme vám vedieť, keď bude oprava vydaná, a dohodneme sa s vami, kedy je možné podrobnosti zverejniť.
Rozsah pôsobnosti
- doména honestas.ai a jej subdomény vrátane konzoly HONESTAS;
- systém HONESTAS tak, ako ho prevádzkujeme v našom cloude v EÚ, vrátane prihlasovania, úložiska záznamov a overovača záznamov;
- aplikácie HONESTAS pre iOS a Android, storefront SDK a verejné API.
Mimo rozsahu pôsobnosti: útoky na našich ľudí (phishing, sociálne inžinierstvo), fyzické útoky, odopretie služby (DoS), zistenia, ktoré si vyžadujú už kompromitované zariadenie, a výstupy z automatizovaných skenerov bez preukázaného dopadu. Inštalácia vo vlastnom dátovom centre zákazníka patrí danému zákazníkovi; problémy zistené tam hláste, prosím, jemu aj nám.
Pravidlá pre výskumníkov
- Používajte iba účty a dáta, ktoré sú vaše alebo ktoré vám boli pridelené na testovanie.
- Urobte len minimum potrebné na preukázanie problému. Hneď ako sa dostanete k dátam inej spoločnosti, zastavte sa a oznámte nám to.
- Nemeňte ani nemažte dáta, neznižujte dostupnosť služby a neudržiavajte si prístup dlhšie, ako je nevyhnutné.
- Podrobnosti si nechajte pre seba, kým sa nedohodneme na dátume zverejnenia.
Bezpečný prístav (Safe harbour)
Ak konáte v dobrej viere a dodržiavate tieto pravidlá, budeme váš výskum považovať za autorizovaný. Nepodnikneme voči vám právne kroky ani vás za to nenahlásime úradom, a ak to urobí niekto iný, jasne potvrdíme, že ste konali s naším súhlasom. To sa nevzťahuje na konanie, ktoré porušuje zákon spôsobom, ktorý tieto pravidlá nemôžu povoliť.
Zverejnenie
Podrobnosti uprednostňujeme zverejňovať až vtedy, keď je oprava k dispozícii všetkým, ktorí ju potrebujú. Na načasovaní sa s vami dohodneme a nebudeme od vás žiadať mlčanlivosť dlhšie, než je nevyhnutné na ochranu našich zákazníkov. Ak sa nezhodneme, vysvetlíme vám prečo.
Ak ste naším zákazníkom, podozrenie na incident nahláste cez bezpečnostný kontakt uvedený vo vašej zmluve alebo cez podporu priamo v systéme HONESTAS, aby sme mohli postupovať podľa vášho plánu pre incidenty. Informácie o tom, kde sa nachádzajú vaše dáta a ktoré predpisy mapujeme, nájdete v sekcii centre dôvery.
Posledná aktualizácia 23. októbra 2026