ออกแบบมาเพื่อให้ความผิดพลาด ถูกจำกัดวงให้แคบ และมองเห็นได้ทันที

การโฮสต์ระบบ

HONESTAS ทำงานอยู่ในสถานที่หนึ่งในสองแห่งนี้ โดยใช้ซอฟต์แวร์ตัวเดียวกันทั้งคู่

• คลาวด์ในสหภาพยุโรปของเรา ศูนย์ข้อมูลตั้งอยู่ในประเทศไอร์แลนด์ ข้อมูลของคุณจะถูกจัดเก็บและประมวลผลในสหภาพยุโรป และคุณสามารถเลือกได้ว่าจะให้เก็บข้อมูลแต่ละประเภทไว้ที่ใด: คลาวด์ในสหภาพยุโรปของเรา หรือศูนย์ข้อมูลของคุณเอง
• ศูนย์ข้อมูลของคุณเอง HONESTAS จะถูกติดตั้งบนฮาร์ดแวร์ของคุณเอง ภายใต้การควบคุมเครือข่ายของคุณ การอัปเดตจะถูกส่งเป็นแพ็กเกจที่มีการลงนามรับรอง ซึ่งคุณต้องอนุมัติก่อนจึงจะเริ่มทำงาน

ในทั้งสองรูปแบบ บันทึกที่ประทับตรารับรองแล้วจะถูกเขียนลงในคลังเก็บข้อมูลภายนอกระบบที่ติดตั้ง พร้อมประทับเวลาจากภายนอก ดังนั้น แม้ระบบที่ติดตั้งจะถูกเจาะเข้ามาได้ ก็จะไม่สามารถแก้ไขประวัติย้อนหลังได้

การเข้ารหัสและคีย์

• ข้อมูลจะถูกเข้ารหัสทั้งขณะส่งผ่านและขณะจัดเก็บ โดยใช้คีย์ที่แยกกันสำหรับแต่ละบริษัท
• คุณสามารถเก็บรักษาคีย์ของคุณไว้ในระบบจัดการคีย์ของคุณเองได้ หากคุณเพิกถอนคีย์ ข้อมูลที่ได้รับการปกป้องด้วยคีย์นั้นจะไม่สามารถอ่านได้อีกต่อไป
• คีย์ที่ใช้ประทับตรารับรองบันทึกจะถูกแยกออกจากคีย์ที่ใช้ปกป้องข้อมูล และผู้ที่ลงนามในการตัดสินใจจะไม่สามารถเข้าถึงคีย์เหล่านี้ได้เลย
• การเรียกใช้งาน AI จะทำงานบนบัญชีและคีย์ของผู้ให้บริการโมเดลของคุณเอง ภายใต้สัญญาของคุณเอง ทุกการเรียกใช้งานจะถูกบันทึกพร้อมระบุคีย์ โมเดล และเวอร์ชันที่ใช้
• หมายเลขบัตรจะไม่ถูกส่งมาถึง HONESTAS เลย ลูกค้าจะกรอกข้อมูลลงในช่องของผู้ให้บริการชำระเงินโดยตรง

การแยกส่วนข้อมูล

ทุกคำขอใน HONESTAS จะต้องระบุสิ่งต่อไปนี้ให้ครบสามอย่าง ได้แก่ บริษัทที่เป็นต้นสังกัด เจ้าของข้อมูล และหน่วยงานที่ร้องขอ คำขอที่ไม่สามารถระบุครบทั้งสามอย่างจะถูกปฏิเสธด้วยรหัส SCOPE_REFUSED และจะมีการบันทึกการปฏิเสธนั้นไว้

• การแยกระหว่างบริษัท บริษัทประกันภัย โบรกเกอร์ MGA หรือ TPA แต่ละรายจะมีพื้นที่และคีย์เป็นของตนเอง ในห้องจัดสรรงานประกันภัย (Placing Room) ที่ใช้ร่วมกัน ระบบจะตรวจสอบกำแพงกั้นข้อมูลระหว่างตลาดรับประกันภัยทุกครั้งก่อนที่จะส่งข้อความ
• การแยกระหว่างเจ้าของข้อมูล TPA หรือโบรกเกอร์ที่ทำงานให้กับลูกค้าหลายราย จะเก็บบันทึกของลูกค้าแต่ละรายแยกไว้ภายใต้ชื่อของลูกค้ารายนั้นๆ
• การแยกระหว่างหน่วยงาน ทีมงานเฉพาะกิจ เช่น หน่วยสืบสวนพิเศษ (SIU) สามารถถูกกั้นแยกพื้นที่ไว้ภายในบริษัทเดียวกันได้

ไฟล์ที่อัปโหลดทุกไฟล์จะถูกเปิดในสภาพแวดล้อมจำลอง (Sandbox) ที่ไม่มีการเชื่อมต่อเครือข่าย เพื่ออ่านข้อมูลแล้วลบทิ้งทันที

การเข้าถึงระบบ

• ผู้ใช้งานจะลงชื่อเข้าใช้ผ่านผู้ให้บริการยืนยันตัวตน (Identity Provider) ของคุณเองผ่าน SAML หรือ OIDC โดยมีการซิงค์ข้อมูลบัญชีให้ตรงกันผ่าน SCIM การลงนามในการตัดสินใจจะใช้พาสคีย์ (Passkey) บนอุปกรณ์ของผู้ใช้งานเอง
• บทบาทหน้าที่ (Role) จะเป็นตัวกำหนดว่าแต่ละคนสามารถดูและทำอะไรได้บ้าง การเปลี่ยนแปลงที่มีความเสี่ยง เช่น การเปลี่ยนวงเงินอำนาจอนุมัติรับประกันภัยใหม่ หรือการเปลี่ยนเวอร์ชันโมเดลใหม่ จะต้องรอให้บุคคลที่สองอนุมัติ
• ในกรณีฉุกเฉิน ผู้ดูแลระบบสามารถได้รับสิทธิ์การเข้าถึงแบบเต็มรูปแบบเป็นเวลาสั้นๆ โดยมีบุคคลที่สองคอยเฝ้าดูและทุกขั้นตอนจะถูกบันทึกไว้
• การเข้าถึงโดยพนักงานของ Adverant จะถูกจำกัด ต้องผ่านการอนุมัติ และถูกบันทึกไว้ทุกครั้ง

การบันทึกข้อมูล (Logging)

ทุกการลงชื่อเข้าใช้ การอ่าน การเปลี่ยนแปลง การเรียกใช้งาน AI และการกระทำของผู้ดูแลระบบ จะถูกบันทึกไว้ว่าใคร ทำอะไร เมื่อใด และจากที่ไหน ล็อก (Log) จะถูกเก็บรักษาไว้นอกระบบที่ติดตั้ง ไม่สามารถแก้ไขได้ และจะถูกเก็บไว้ตามระยะเวลาที่คุณกำหนด คุณสามารถส่งล็อกเหล่านี้ไปยังเครื่องมือรักษาความปลอดภัยของคุณเองได้ผ่าน Events API

การทดสอบระบบ

• ผู้ทดสอบอิสระจะทำการทดสอบ HONESTAS เพื่อหาจุดอ่อน เราจะแก้ไขสิ่งที่ตรวจพบตามลำดับความรุนแรง
• ทุกบิลด์ (Build) จะมีการลงนามรับรอง และซอฟต์แวร์ที่อยู่ภายในจะถูกตรวจสอบหาช่องโหว่ที่เคยมีรายงานไว้ก่อนที่จะส่งมอบเสมอ
• ระบบตรวจสอบที่ใช้ปฏิเสธการตัดสินใจ การประทับตรารับรอง และกำแพงกั้นข้อมูลระหว่างบริษัท จะถูกทดสอบในทุกๆ รีลีส (Release)

เหตุการณ์ด้านความปลอดภัย

หากเกิดเหตุการณ์ที่ส่งผลกระทบต่อข้อมูลของคุณ เราจะแจ้งผู้ติดต่อด้านความปลอดภัยที่คุณระบุไว้โดยไม่ชักช้า และปฏิบัติตามแผนในสัญญาของคุณ เราจะส่งมอบลำดับเหตุการณ์ตั้งแต่มีการแจ้งเตือนครั้งแรก พร้อมข้อเท็จจริงที่คุณต้องใช้เพื่อปฏิบัติตามหน้าที่ในการรายงานภายใต้ข้อกำหนด DORA และ GDPR ของคุณเอง

แจ้งปัญหา

ส่งอีเมลไปที่ security@honestas.ai โดยโปรดระบุข้อมูลต่อไปนี้:

• สิ่งที่คุณพบและตำแหน่งที่พบ (URL, หน้าจอ หรือคอมโพเนนต์);
• ขั้นตอนในการทำให้เกิดปัญหานั้นซ้ำ พร้อมโค้ดพิสูจน์แนวคิด (Proof-of-concept) หรือภาพหน้าจอ;
• สิ่งที่ผู้โจมตีสามารถทำได้จากช่องโหว่นี้ ในมุมมองของคุณ;
• ช่องทางในการติดต่อคุณ และคุณต้องการให้เราระบุชื่อให้เครดิตหรือไม่

โปรดเขียนเป็นภาษาอังกฤษหากทำได้ รายงานที่ชัดเจนเพียงฉบับเดียวมีประโยชน์กว่ารายงานสั้นๆ หลายฉบับ โปรดอย่ารวมข้อมูลส่วนบุคคลที่คุณไปพบเข้า ให้ใช้วิธีอธิบายลักษณะของข้อมูลแทน เราจะแก้ไขปัญหาที่ร้ายแรงที่สุดก่อน แจ้งให้คุณทราบเมื่อการแก้ไขเสร็จสิ้น และตกลงร่วมกับคุณว่าจะสามารถเปิดเผยรายละเอียดได้เมื่อใด

สิ่งที่อยู่ในขอบเขต

• honestas.ai และโดเมนย่อยทั้งหมด รวมถึงคอนโซลของ HONESTAS;
• ระบบ HONESTAS ที่เราให้บริการบนคลาวด์ในสหภาพยุโรป รวมถึงระบบลงชื่อเข้าใช้ คลังเก็บบันทึกข้อมูล และระบบตรวจสอบความถูกต้องของบันทึก;
• แอปพลิเคชัน HONESTAS สำหรับ iOS และ Android, Storefront SDK และ Public API

สิ่งที่อยู่นอกเหนือขอบเขต: การโจมตีบุคลากรของเรา (ฟิชชิง, วิศวกรรมสังคม), การโจมตีทางกายภาพ, การโจมตีเพื่อทำให้ระบบล่ม (Denial of Service), ช่องโหว่ที่ต้องอาศัยอุปกรณ์ที่ถูกเจาะระบบอยู่ก่อนแล้ว และรายงานจากเครื่องมือสแกนอัตโนมัติที่ไม่สามารถพิสูจน์ผลกระทบที่เกิดขึ้นจริงได้ สำหรับระบบที่ติดตั้งในศูนย์ข้อมูลของลูกค้าเองถือเป็นทรัพย์สินของลูกค้ารายนั้น โปรดแจ้งปัญหาที่พบในระบบดังกล่าวให้ทั้งลูกค้าและเราทราบ

กฎสำหรับนักวิจัย

• ใช้เฉพาะบัญชีและข้อมูลที่เป็นของคุณเอง หรือที่ได้รับมอบหมายให้ใช้สำหรับการทดสอบเท่านั้น
• ทำเท่าที่จำเป็นเพื่อพิสูจน์ปัญหา หยุดดำเนินการและแจ้งให้เราทราบทันทีหากคุณเข้าถึงข้อมูลของบริษัทอื่น
• ห้ามเปลี่ยนแปลงหรือลบข้อมูล ห้ามทำให้บริการทำงานแย่ลง หรือคงสิทธิ์การเข้าถึงไว้นานเกินความจำเป็น
• เก็บรายละเอียดไว้เป็นความลับจนกว่าเราจะตกลงวันเปิดเผยข้อมูลร่วมกันได้

ความคุ้มครองทางกฎหมาย (Safe harbour)

หากคุณกระทำการโดยสุจริตและปฏิบัติตามกฎเหล่านี้ เราจะถือว่าการวิจัยของคุณได้รับอนุญาต เราจะไม่ดำเนินการทางกฎหมายกับคุณหรือแจ้งความต่อเจ้าหน้าที่ในเรื่องดังกล่าว และหากมีบุคคลอื่นดำเนินการ เราจะชี้แจงให้ชัดเจนว่าคุณได้กระทำโดยได้รับอนุญาตจากเรา ทั้งนี้ ความคุ้มครองนี้ไม่ครอบคลุมถึงการกระทำที่ผิดกฎหมายในลักษณะที่กฎเหล่านี้ไม่สามารถอนุญาตให้ทำได้

การเปิดเผยข้อมูล

เราต้องการเผยแพร่รายละเอียดหลังจากที่มีการส่งมอบการแก้ไขให้กับทุกคนที่ต้องใช้แล้ว เราจะตกลงเรื่องกำหนดเวลาร่วมกับคุณ และจะไม่ขอให้คุณเก็บเรื่องนี้ไว้เป็นความลับนานเกินกว่าเวลาที่จำเป็นในการปกป้องลูกค้าของเรา หากเรามีความเห็นไม่ตรงกัน เราจะชี้แจงเหตุผลให้คุณทราบ

หากคุณเป็นลูกค้า โปรดแจ้งเหตุการณ์ที่ต้องสงสัยผ่านผู้ติดต่อด้านความปลอดภัยที่ระบุไว้ในสัญญา หรือผ่านฝ่ายสนับสนุนภายในระบบ HONESTAS เพื่อให้เราสามารถปฏิบัติตามแผนรับมือเหตุการณ์ของคุณได้ สำหรับข้อมูลว่าข้อมูลของคุณถูกจัดเก็บไว้ที่ใดและกฎระเบียบที่เราเชื่อมโยงไว้ โปรดไปที่ ศูนย์ความเชื่อมั่น.

อัปเดตล่าสุด 23 ตุลาคม 2026