Сигурност и съответствие
Сигурността е свойство на начина, по който системата е изградена и се управлява.
Protocore изгражда софтуерния слой за плащания, AI и блокчейн системи. Тази страница описва ясно как работим с данните, как се експлоатира софтуерът и къде минава регулираната граница — без значки за показ, само подходът, по който изграждаме.
Данни и поверителност
Събираме това, което е нужно на един процес, и нищо повече.
Системите, които изграждаме, се проектират около минимизиране на данните: всеки процес събира само полетата, необходими за работата му, и ги пази само докато са нужни. Където хостваме, хостваме в ЕС — продукцията работи в AWS eu-central-1, Франкфурт — и изграждаме в съответствие с практиките по GDPR: законово основание за обработваното, изпълнение на заявки за достъп и изтриване и личните данни извън логовете и аналитиката по подразбиране.
- 01Минимизиране на данните по подразбиране
- 02Хостинг в ЕС — AWS eu-central-1 (Франкфурт)
- 03Работа в съответствие с GDPR: законово основание, достъп, изтриване
- 04Личните данни извън логовете и аналитиката
Как се експлоатира
Достъп с минимални права и привилегировани действия, които изискват причина.
Софтуерът, който доставяме, е с инструментация от първия комит — логове, метрики и трасета — така че случващото се в продукция се вижда, а не се предполага. Достъпът следва принципа на минималните права: всеки участник, човек или услуга, получава най-тесните права, с които може да си върши работата. Чувствителните действия на операторите изискват причина, преди да се изпълнят, и оставят одитна следа кой какво е направил, кога и защо. Това е моделът зад Protocore Center, нашата конзола за оператори — същият подход, който вграждаме във всяка система.
- 01Инструментация по подразбиране — логове, метрики, трасета
- 02Минимални права за всеки участник, човек или услуга
- 03Привилегировани действия, изискващи причина
- 04Одитна следа кой какво е направил, кога и защо
Разделение на отговорностите
Ние изграждаме софтуера. Регулираната граница остава при лиценза.
Платежният продукт е две неща, слети в едно: регулираното разрешение да се държат или движат пари и софтуерът, който дава нарежданията, смята и показва. Protocore изгражда софтуера. Регулираната дейност — държане на средства, издаване на сметки, движение на пари — е в рамките на собствения лиценз на оператора или на лицензиран партньор: банка, EMI или платежна институция. Изграждаме процесите така, че да пасват на каквито регулирани релси донесете; ние не сме заместител на това разрешение и никой софтуер не е.
- 01Protocore изгражда софтуера, не лиценза
- 02Регулираната дейност остава при оператора или лицензиран партньор
- 03Картовите данни се обработват така, че никога да не стигат до вашите сървъри
- 04Строга автентикация на клиента, вградена в платежния процес
Практики
Навиците зад система, на която можете да се доверите.
Конкретни практики, които вграждаме — описани като механики, а не като значки.
Картови данни извън вашите сървъри
Картовите данни се обработват от платежната релса и се токенизират, така че чистите номера на карти никога не докосват инфраструктурата на оператора.
Строга автентикация на клиента
SCA е вградена в плащанията и влизането в профил — втори фактор там, където релсата или рискът го изискват, а не добавен накрая.
Криптиране при пренос
Трафикът върви през TLS от край до край; тайните и идентификационните данни се пазят в управлявани хранилища и инстанс роли, никога в кода.
Изолация по тенант
Когато една система обслужва много оператори, данните на всеки тенант са разделени чрез контрол на достъпа, така че един тенант никога да не може да чете данните на друг.
Отговорно разкриване
Намерихте нещо? Кажете ни.
Ако смятате, че сте открили проблем със сигурността в система на Protocore, пишете ни и ще работим заедно по него. Стремим се да потвърдим сигнала бързо, да ви информираме по време на отстраняването и, ако желаете, да ви споменем след решаването му. Моля, дайте ни разумен срок за отстраняване, преди да го разкриете публично, и не осъществявайте достъп до чужди данни, нито ги променяйте при тестването.
Пишете на security@protocore.io какво сте открили и как да го възпроизведем.
Потвърждаваме, че сме получили сигнала, и започваме проверка, обикновено до няколко работни дни.
Отстраняваме проблема и ви държим в течение до окончателното решаване.
С ваше съгласие ви споменаваме, след като проблемът е решен.
Въпроси
Въпросите за сигурността, които чуваме първи.
Описваме сигурността си чрез практики, а не чрез значки. Protocore изгражда софтуерния слой; където се прилага регулирана схема — например при работа с карти — сертифицираната граница е при платежната релса или лицензирания партньор на оператора, а ние изграждаме така, че картовите данни никога да не докосват вашите сървъри. Ако за вашата програма е важно конкретно удостоверяване, кажете ни и ще очертаем кой какво притежава.
В ЕС. Продукцията работи в AWS eu-central-1 (Франкфурт). Изграждаме в съответствие с практиките по GDPR — минимизиране на данните, законово основание за обработка и изпълнение на заявки за достъп и изтриване.
Лицензът. Protocore изгражда софтуера, който дава нарежданията и смята движението на пари; държането или движението на средства е в рамките на вашия собствен лиценз или на лицензиран партньор — банка, EMI или платежна институция. Никой софтуер не заменя това разрешение.
Минимални права за всеки участник и привилегировани действия, които изискват причина и оставят одитна следа. Всичко е с инструментация, така че кой какво е направил е записано, а не реконструирано.
Пишете на security@protocore.io. Потвърждаваме бързо, държим ви в течение по време на отстраняването и, ако желаете, ви споменаваме след решаването.
Имате въпрос за сигурността, който не сме покрили?
Кажете ни какво искате да видите. Ще отговорим с конкретика — архитектура, потоци от данни и кой къде носи отговорност.