Хостинг
HONESTAS працює в одному з двох середовищ із однаковим програмним забезпеченням в обох.
- Наша хмара в ЄС. Дата-центри в Ірландії. Ваші дані зберігаються та обробляються в Європейському Союзі, і ви самі обираєте, де зберігати кожен тип даних: у нашій хмарі в ЄС чи у вашому власному дата-центрі.
- Ваш власний дата-центр. Система HONESTAS встановлюється на вашому власному обладнанні за вашими власними засобами мережевого захисту. Оновлення надходять у вигляді підписаних пакетів, які ви затверджуєте перед запуском.
В обох випадках запечатані записи зберігаються у сховищі записів за межами інсталяції із зовнішньою позначкою часу, тому компрометація однієї інсталяції не дозволить переписати її історію.
Шифрування та ключі
- Дані шифруються під час передавання та зберігання за допомогою окремого ключа для кожної компанії.
- Ви можете зберігати власні ключі у своєму сховищі ключів. Якщо відкликати ключ, захищені ним дані більше неможливо буде прочитати.
- Ключі, які запечатують записи, зберігаються окремо від ключів захисту даних і ніколи не доступні особам, які підписують рішення.
- Виклики ШІ виконуються через ваші власні облікові записи та ключі постачальників моделей за вашими прямими контрактами. Кожен виклик фіксується із зазначенням використаного ключа, моделі та її версії.
- Номери карток ніколи не потрапляють у HONESTAS. Клієнти вводять їх безпосередньо у поля платіжного провайдера.
Ізоляція
Кожен запит у HONESTAS містить три параметри: компанію, якій він належить, власника даних та підрозділ, що робить запит. Запит, у якому відсутній хоча б один із трьох параметрів, відхиляється з кодом SCOPE_REFUSED, а факт відмови фіксується.
- Між компаніями. Кожен страховик, брокер, MGA або TPA має власний простір і власні ключі. У спільній кімнаті розміщення ризиків бар'єр між ринками перевіряється перед відправленням кожного повідомлення.
- Між власниками. TPA або брокер, який працює з багатьма клієнтами, веде записи кожного клієнта окремо під його іменем.
- Між підрозділами. Такі команди, як відділ спеціальних розслідувань (SIU), можуть бути ізольовані всередині однієї компанії.
Кожен завантажений файл відкривається в ізольованому середовищі (пісочниці) без доступу до мережі, зчитується та знищується.
Доступ
- Користувачі входять через вашого власного постачальника посвідчень за протоколами SAML або OIDC, а синхронізація облікових записів здійснюється через SCIM. Для підписання рішень використовуються ключі доступу (passkeys) на особистому пристрої користувача.
- Ролі визначають, що кожен користувач може бачити і робити. Ризиковані зміни, як-от новий ліміт повноважень з андеррайтингу або нова версія моделі, вимагають підтвердження другою особою.
- В екстрених випадках адміністратору може бути надано повний доступ на короткий час під наглядом другої особи та з фіксацією кожного кроку.
- Доступ персоналу Adverant обмежений, потребує затвердження та фіксується.
Журналювання
Кожен вхід, перегляд, зміна, виклик ШІ та дія адміністратора реєструються в журналі із зазначенням того, хто, що, коли і звідки зробив. Журнали зберігаються поза межами вашої інсталяції, не можуть бути відредаговані та зберігаються протягом встановленого вами терміну. Ви можете передавати їх у власні засоби безпеки через API подій.
Тестування
- Незалежні тестувальники перевіряють HONESTAS на наявність вразливостей. Ми усуваємо виявлені проблеми в порядку їх критичності.
- Кожна збірка підписується, а програмне забезпечення в ній перевіряється на наявність відомих вразливостей перед випуском.
- Механізми відхилення рішень, запечатування записів та ізоляції між компаніями тестуються під час кожного релізу.
Інциденти
Якщо інцидент зачіпає ваші дані, ми без невиправданої затримки повідомляємо вашу відповідальну особу з питань безпеки та діємо згідно з планом у вашому договорі. Ми надаємо хронологію подій від першого сповіщення та факти, необхідні вам для виконання власних зобов'язань щодо звітності згідно з DORA та GDPR.
Повідомити про проблему
Напишіть на security@honestas.ai. Будь ласка, вкажіть:
- що саме і де ви знайшли (адресу, екран або компонент);
- кроки для відтворення проблеми з будь-яким кодом для підтвердження концепції (PoC) або знімками екрана;
- як, на вашу думку, зловмисник міг би цим скористатися;
- як з вами зв'язатися і чи бажаєте ви публічної згадки про ваш внесок.
Будь ласка, пишіть англійською, якщо це можливо. Один чіткий звіт корисніший за декілька коротких. Будь ласка, не включайте у звіт персональні дані, якщо ви на них натрапили — натомість просто опишіть їх. Ми в першу чергу усуваємо найсерйозніші проблеми, повідомляємо вас про вихід виправлення та узгоджуємо з вами час публікації деталей.
Що входить у межі перевірки
- honestas.ai та його піддомени, включаючи консоль HONESTAS;
- HONESTAS у нашій хмарі в ЄС, включаючи систему входу, сховище записів та верифікатор записів;
- застосунки HONESTAS для iOS та Android, SDK вітрини та публічний API.
Поза межами перевірки: атаки на наших співробітників (фішинг, соціальна інженерія), фізичні атаки, атаки типу «відмова в обслуговуванні» (DoS), вразливості, які вимагають вже скомпрометованого пристрою, а також звіти автоматизованих сканерів без продемонстрованого впливу. Інсталяція у власному дата-центрі клієнта належить цьому клієнту — про проблеми там просимо повідомляти як їм, так і нам.
Правила для дослідників
- Використовуйте лише власні облікові записи та дані або ті, що були надані вам для тестування.
- Робіть лише мінімально необхідне для підтвердження проблеми. Зупиніться і повідомте нам, щойно отримаєте доступ до даних іншої компанії.
- Не змінюйте і не видаляйте дані, не погіршуйте роботу сервісу і не утримуйте доступ довше, ніж потрібно.
- Зберігайте деталі в таємниці, доки ми не узгодимо дату розкриття інформації.
Безпечна гавань
Якщо ви дієте добросовісно та дотримуєтеся цих правил, ми вважатимемо ваше дослідження санкціонованим. Ми не вживатимемо проти вас юридичних заходів і не звертатимемося до правоохоронних органів, а якщо це зробить хтось інший, ми офіційно підтвердимо, що ви діяли з нашого дозволу. Це не поширюється на дії, які порушують закон у спосіб, який ці правила не можуть санкціонувати.
Розкриття інформації
Ми вважаємо за краще публікувати деталі після того, як виправлення стане доступним для всіх, хто його потребує. Ми узгодимо час із вами і не проситимемо вас зберігати мовчання довше, ніж це необхідно для захисту наших клієнтів. Якщо наші думки розійдуться, ми пояснимо причину.
Якщо ви є нашим клієнтом, повідомте про підозру на інцидент через контактну особу з безпеки, зазначену у вашому договорі, або через службу підтримки всередині HONESTAS, щоб ми могли діяти згідно з вашим планом реагування на інциденти. Інформацію про те, де зберігаються ваші дані та відповідність яким нормативам ми забезпечуємо, дивіться у центрі довіри.
Востаннє оновлено 23 жовтня 2026 р.