Gostovanje
HONESTAS deluje na enem od dveh mest, z enako programsko opremo na obeh.
- Naš oblak v EU. Podatkovni centri na Irskem. Vaši podatki se hranijo in obdelujejo v Evropski uniji, sami pa izberete, kje se hrani posamezna vrsta podatkov: v našem oblaku v EU ali v vašem lastnem podatkovnem centru.
- Vaš lastni podatkovni center. HONESTAS je nameščen na vaši lastni strojni opremi, za vašimi lastnimi omrežnimi kontrolami. Posodobitve prispejo kot podpisani paketi, ki jih odobrite, preden se zaženejo.
V obeh primerih se zapečateni zapisi zapisujejo v hrambo zapisov zunaj namestitve in z zunanjim časovnim žigom, tako da morebiten vdor v posamezno namestitev ne more spremeniti njene zgodovine.
Šifriranje in ključi
- Podatki so šifrirani med prenosom in v mirovanju, z ločenim ključem za vsako družbo.
- Svoje ključe lahko hranite v lastni hrambi ključev. Če ključ umaknete, podatkov, ki jih ščiti, ni več mogoče prebrati.
- Ključi za pečatenje zapisov se hranijo ločeno od ključev za zaščito podatkov in niso nikoli na voljo osebam, ki podpisujejo odločitve.
- Klici modelov UI potekajo prek vaših lastnih računov in ključev pri ponudnikih modelov, v skladu z vašimi pogodbami. Vsak klic se zabeleži skupaj z uporabljenim ključem, modelom in različico.
- Številke plačilnih kartic nikoli ne dosežejo sistema HONESTAS. Stranke jih vpišejo neposredno v polja ponudnika plačilnih storitev.
Ločevanje podatkov
Vsaka zahteva v sistemu HONESTAS navaja tri stvari: družbo, ki ji pripada, čigavi so podatki in katera enota sprašuje. Zahteva, ki ne navede vseh treh podatkov, se zavrne s kodo SCOPE_REFUSED, zavrnitev pa se zabeleži.
- Med družbami. Vsaka zavarovalnica, posrednik, MGA ali TPA ima svoj prostor in svoje ključe. V skupni sobi za plasiranje tveganj se pregrada med trgi preveri pred pošiljanjem vsakega sporočila.
- Med lastniki. TPA ali posrednik, ki dela za več strank, hrani zapise vsake stranke pod njenim imenom.
- Med enotami. Ekipe, kot je enota za posebne preiskave (SIU), so lahko ločene s pregradami znotraj iste družbe.
Vsaka naložena datoteka se odpre v peskovniku brez dostopa do omrežja, prebere in nato zavrže.
Dostop
- Uporabniki se prijavljajo prek vašega lastnega ponudnika identitete s protokolom SAML ali OIDC, računi pa se usklajujejo prek protokola SCIM. Za podpisovanje odločitev se uporabljajo pristopni ključi (passkeys) na uporabnikovi lastni napravi.
- Vloge določajo, kaj lahko posameznik vidi in stori. Tvegane spremembe, kot sta nov limit pooblastila za prevzemanje tveganj ali nova različica modela, zahtevajo potrditev druge osebe.
- V nujnih primerih lahko skrbnik za kratek čas dobi poln dostop, pri čemer ga spremlja druga oseba in se vsak korak beleži.
- Dostop osebja družbe Adverant je omejen, odobren in zabeležen.
Beleženje
Vsaka prijava, branje, sprememba, klic UI in skrbniško dejanje se zabeleži s podatki o tem, kdo, kaj, kdaj in od kod je to storil. Dnevniki se hranijo zunaj vaše namestitve, ni jih mogoče urejati in se hranijo toliko časa, kot določite sami. Prek vmesnika API za dogodke jih lahko pošiljate v svoja varnostna orodja.
Preizkušanje
- Neodvisni preizkuševalci preverjajo morebitne ranljivosti v sistemu HONESTAS. Ugotovitve odpravljamo glede na resnost.
- Vsaka gradnja (build) je podpisana, programska oprema v njej pa je pred izdajo preverjena glede znanih ranljivosti.
- Kontrole, ki zavračajo odločitve, pečat in pregrade med družbami se preizkusijo ob vsaki izdaji.
Incidenti
Če incident vpliva na vaše podatke, o tem brez nepotrebnega odlašanja obvestimo vašo imenovano kontaktno osebo za varnost in sledimo načrtu iz vaše pogodbe. Zagotovimo vam časovnico od prvega opozorila in vsa dejstva, ki jih potrebujete za izpolnitev lastnih obveznosti poročanja po uredbah DORA in GDPR.
Prijava ranljivosti
Pišite na security@honestas.ai. Prosimo, vključite:
- kaj ste odkrili in kje (naslov, zaslon ali komponento);
- korake za ponovitev, z morebitno dokazno kodo (PoC) ali posnetki zaslona;
- kaj bi napadalec po vašem mnenju s tem lahko storil;
- kako lahko stopimo v stik z vami in ali želite biti javno navedeni kot odkritelj.
Če je mogoče, pišite v angleščini. Eno jasno poročilo je koristnejše kot več kratkih. Prosimo, ne vključujte osebnih podatkov, na katere ste morebiti naleteli; namesto tega jih le opišite. Najresnejše težave odpravimo najprej, vas obvestimo, ko je popravek izdan, in se z vami dogovorimo, kdaj lahko podrobnosti javno objavimo.
Kaj sodi v obseg
- honestas.ai in njene poddomene, vključno s konzolo HONESTAS;
- HONESTAS, kot ga izvajamo v našem oblaku v EU, vključno s prijavo, hrambo zapisov in preverjevalnikom zapisov;
- aplikaciji HONESTAS za iOS in Android, razvojni komplet SDK za spletna mesta in javni API.
Izven obsega: napadi na naše zaposlene (ribarjenje, socialni inženiring), fizični napadi, zavrnitev storitve (DoS), ugotovitve, ki zahtevajo že okuženo napravo, ter poročila samodejnih pregledovalnikov brez dokazanega vpliva. Namestitev v lastnem podatkovnem centru stranke pripada tej stranki; prosimo, da morebitne težave tam prijavite tako njim kot nam.
Pravila za raziskovalce
- Uporabljajte samo račune in podatke, ki so vaši ali ki ste jih prejeli za namen preizkušanja.
- Naredite le najnujnejše za dokaz obstoja ranljivosti. Takoj ko dosežete podatke druge družbe, prenehajte in nas obvestite.
- Ne spreminjajte in ne brišite podatkov, ne motite delovanja storitve in ne ohranjajte dostopa dlje, kot je potrebno.
- Podrobnosti ohranite zasebne, dokler se ne dogovorimo o datumu razkritja.
Vareren pristan
Če ravnate v dobri veri in upoštevate ta pravila, bomo vašo raziskavo obravnavali kot odobreno. Zaradi tega proti vam ne bomo sprožili pravnih postopkov niti vas ne bomo prijavili pristojnim organom; če bi to storil kdo drug, pa bomo jasno povedali, da ste delovali z našim dovoljenjem. To ne velja za dejanja, ki kršijo zakonodajo na načine, ki jih s temi pravili ne moremo odobriti.
Razkritje
Podrobnosti najraje objavimo po tem, ko je popravek na voljo vsem, ki ga potrebujejo. O časovnici se bomo dogovorili z vami in ne bomo vas prosili za molk dlje, kot je potrebno za zaščito naših strank. Če se ne bomo strinjali, vam bomo pojasnili zakaj.
Če ste naša stranka, sum na incident prijavite prek kontaktne osebe za varnost, navedene v vaši pogodbi, ali prek podpore v sistemu HONESTAS, da lahko sledimo vašemu načrtu za obvladovanje incidentov. Za informacije o tem, kje se hranijo vaši podatki in katere predpise pokrivamo, obiščite središču zaupanja.
Zadnja posodobitev: 23. oktober 2026