নিরাপত্তা ও কমপ্লায়েন্স
নিরাপত্তা হলো একটি সিস্টেম কীভাবে তৈরি ও পরিচালিত হয়, তারই বৈশিষ্ট্য।
Protocore পেমেন্ট, AI ও blockchain সিস্টেমের সফটওয়্যার লেয়ার তৈরি করে। আমরা কীভাবে ডেটা পরিচালনা করি, সফটওয়্যার কীভাবে চালাই এবং নিয়ন্ত্রিত সীমারেখা কোথায় — এই পেজে তা সরাসরি বলা হয়েছে। দেখানোর মতো কোনো ব্যাজ নেই, আছে শুধু আমাদের গড়ে তোলা নিরাপত্তা-অবস্থান।
ডেটা ও প্রাইভেসি
একটি flow-এর যা দরকার, আমরা শুধু তা-ই সংগ্রহ করি, তার বেশি নয়।
আমরা যেসব সিস্টেম তৈরি করি, সেগুলো data minimization-এর নীতিতে ডিজাইন করা: প্রতিটি flow কেবল সেই ফিল্ডগুলোই নেয় যা তার কাজের জন্য প্রয়োজন, এবং যতক্ষণ প্রয়োজন ততক্ষণই রাখে। হোস্টিং করলে আমরা EU-তে করি — প্রোডাকশন চলে AWS eu-central-1, Frankfurt-এ — এবং GDPR চর্চার সাথে সামঞ্জস্য রেখে সিস্টেম গড়ি: প্রক্রিয়াকরণের জন্য বৈধ ভিত্তি, অ্যাক্সেস ও ডিলিশন অনুরোধ মেনে চলা, এবং ডিফল্টভাবে ব্যক্তিগত ডেটা লগ ও অ্যানালিটিক্সের বাইরে রাখা।
- 01ডিফল্টভাবে data minimization
- 02EU হোস্টিং — AWS eu-central-1 (Frankfurt)
- 03GDPR-সামঞ্জস্যপূর্ণ ডেটা হ্যান্ডলিং: বৈধ ভিত্তি, অ্যাক্সেস, ডিলিশন
- 04ব্যক্তিগত ডেটা লগ ও অ্যানালিটিক্সের বাইরে
কীভাবে পরিচালিত হয়
Least-privilege অ্যাক্সেস, আর কারণ ছাড়া চালানো যায় না এমন privileged অ্যাকশন।
আমাদের তৈরি সফটওয়্যার প্রথম commit থেকেই instrumented — লগ, মেট্রিক ও ট্রেস সহ — ফলে প্রোডাকশনে কী ঘটছে তা অনুমান নয়, দৃশ্যমান। অ্যাক্সেস চলে least privilege নীতিতে: মানুষ হোক বা সার্ভিস, প্রতিটি অ্যাক্টর কাজ করার জন্য ন্যূনতম যতটুকু অনুমতি দরকার ততটুকুই পায়। সংবেদনশীল অপারেটর অ্যাকশন চালানোর আগে কারণ জানতে চায় এবং কে, কী, কখন ও কেন করেছে তার audit trail রেখে যায়। Protocore Center, আমাদের অপারেটর কনসোল, এই মডেলেই তৈরি — প্রতিটি সিস্টেমে আমরা একই অবস্থান বজায় রাখি।
- 01ডিফল্টভাবে instrumented — লগ, মেট্রিক, ট্রেস
- 02মানুষ বা সার্ভিস, প্রতিটি অ্যাক্টরের জন্য least privilege
- 03কারণ উল্লেখ বাধ্যতামূলক privileged অ্যাকশন
- 04কে, কী, কখন ও কেন করেছে তার audit trail
দায়িত্বের পৃথকীকরণ
সফটওয়্যার আমরা বানাই। নিয়ন্ত্রিত সীমারেখা থাকে লাইসেন্সের হাতে।
একটি পেমেন্ট প্রোডাক্ট দুটি জিনিসের মিলন: অর্থ ধারণ বা স্থানান্তরের নিয়ন্ত্রিত অনুমতি, আর সেই অর্থের নির্দেশনা, reconciliation ও প্রদর্শনের সফটওয়্যার। Protocore সফটওয়্যার তৈরি করে। নিয়ন্ত্রিত কার্যক্রম — তহবিল ধারণ, অ্যাকাউন্ট ইস্যু, অর্থ স্থানান্তর — থাকে অপারেটরের নিজস্ব লাইসেন্স বা একজন লাইসেন্সপ্রাপ্ত পার্টনারের কাছে: ব্যাংক, EMI বা payment institution। আপনি যে নিয়ন্ত্রিত rail আনেন, তার সাথে মানানসই করে আমরা flow তৈরি করি; আমরা সেই অনুমতির বিকল্প নই, কোনো সফটওয়্যারই নয়।
- 01Protocore সফটওয়্যার বানায়, লাইসেন্স নয়
- 02রেগুলেটেড কার্যক্রম থাকে অপারেটর বা লাইসেন্সপ্রাপ্ত পার্টনারের কাছে
- 03কার্ড ডেটা এমনভাবে হ্যান্ডল হয় যে তা আপনার সার্ভারে কখনো পৌঁছায় না
- 04পেমেন্ট flow-এর মধ্যেই built-in strong customer authentication
চর্চা
যে অভ্যাসগুলো একটি বিশ্বাসযোগ্য সিস্টেম গড়ে তোলে।
আমরা যেসব বাস্তব চর্চা গড়ে তুলি — ব্যাজ নয়, কার্যপদ্ধতি হিসেবে বলা।
কার্ড ডেটা আপনার সার্ভারের বাইরে
কার্ডের তথ্য পেমেন্ট rail হ্যান্ডল করে এবং টোকেনাইজ করে, ফলে আসল কার্ড নম্বর অপারেটরের নিজস্ব ইনফ্রাস্ট্রাকচারে কখনো পৌঁছায় না।
Strong customer authentication
SCA পেমেন্ট ও সাইন-ইন flow-এর অংশ হিসেবেই তৈরি — rail বা ঝুঁকির প্রয়োজনে দ্বিতীয় ফ্যাক্টর, পরে জোড়াতালি দিয়ে নয়।
ট্রানজিটে এনক্রিপ্টেড
ট্রাফিক শুরু থেকে শেষ পর্যন্ত TLS-এ চলে; সিক্রেট ও ক্রেডেনশিয়াল থাকে managed store ও instance role-এ, সোর্স কোডে কখনো নয়।
টেন্যান্ট অনুযায়ী বিচ্ছিন্ন
একটি সিস্টেম একাধিক অপারেটরকে সার্ভ করলে, access control দিয়ে প্রতিটি tenant-এর ডেটা আলাদা রাখা হয়, যাতে এক tenant অন্যের ডেটা কখনো পড়তে না পারে।
Responsible disclosure
কিছু খুঁজে পেয়েছেন? আমাদের জানান।
Protocore-এর কোনো সিস্টেমে নিরাপত্তা সমস্যা পেয়েছেন বলে মনে করলে আমাদের ইমেইল করুন, আমরা আপনার সাথে মিলে তা নিয়ে কাজ করব। আমরা দ্রুত রিপোর্ট গ্রহণ নিশ্চিত করার, সমাধানের সময় আপনাকে অবহিত রাখার এবং সমাধান হলে আপনি চাইলে আপনাকে স্বীকৃতি দেওয়ার চেষ্টা করি। প্রকাশ্যে জানানোর আগে অনুগ্রহ করে সমাধানের জন্য যুক্তিসঙ্গত সময় দিন, এবং পরীক্ষার সময় আপনার নয় এমন ডেটা অ্যাক্সেস বা পরিবর্তন করবেন না।
আপনি কী পেয়েছেন এবং কীভাবে তা পুনরায় ঘটানো যায়, তা লিখে security@protocore.io-তে ইমেইল করুন।
আমরা রিপোর্ট পাওয়ার কথা নিশ্চিত করি এবং যাচাই শুরু করি, সাধারণত কয়েক কার্যদিবসের মধ্যে।
আমরা সমস্যাটি সমাধান করি এবং নিষ্পত্তি পর্যন্ত অগ্রগতি সম্পর্কে আপনাকে জানাতে থাকি।
আপনার সম্মতি নিয়ে সমস্যাটি সমাধানের পর আমরা আপনাকে ক্রেডিট দিই।
প্রশ্নোত্তর
নিরাপত্তা নিয়ে সবার আগে যে প্রশ্নগুলো আসে।
আমরা নিরাপত্তাকে ব্যাজ নয়, চর্চা হিসেবে বর্ণনা করি। Protocore সফটওয়্যার লেয়ার তৈরি করে; যেখানে কোনো নিয়ন্ত্রিত স্কিম প্রযোজ্য — যেমন কার্ড হ্যান্ডলিং — সেখানে সার্টিফায়েড সীমানা থাকে পেমেন্ট rail বা অপারেটরের লাইসেন্সপ্রাপ্ত পার্টনারের কাছে, আর আমরা এমনভাবে তৈরি করি যাতে কার্ড ডেটা আপনার সার্ভারে কখনো না পৌঁছায়। আপনার প্রোগ্রামের জন্য কোনো নির্দিষ্ট attestation জরুরি হলে আমাদের জানান, কে কোনটি ধারণ করে আমরা তা ম্যাপ করে দেব।
EU-তে। প্রোডাকশন চলে AWS eu-central-1 (Frankfurt)-এ। আমরা GDPR চর্চার সাথে সামঞ্জস্য রেখে সিস্টেম গড়ি — data minimization, প্রক্রিয়াকরণের বৈধ ভিত্তি, এবং অ্যাক্সেস ও ডিলিশন অনুরোধ মেনে চলা।
লাইসেন্সের। Protocore অর্থ স্থানান্তরের নির্দেশনা ও reconciliation-এর সফটওয়্যার তৈরি করে; তহবিল ধারণ বা স্থানান্তর থাকে আপনার নিজস্ব লাইসেন্স বা লাইসেন্সপ্রাপ্ত পার্টনারের কাছে — ব্যাংক, EMI বা payment institution। কোনো সফটওয়্যারই সেই অনুমতির বিকল্প নয়।
প্রতিটি অ্যাক্টরের জন্য least privilege, আর privileged অ্যাকশনে কারণ উল্লেখ বাধ্যতামূলক এবং তা audit trail রেখে যায়। সবকিছু instrumented, তাই কে কী করেছে তা পুনর্গঠন নয়, রেকর্ডের বিষয়।
security@protocore.io-তে ইমেইল করুন। আমরা দ্রুত রিপোর্ট গ্রহণ নিশ্চিত করি, সমাধানের সময় আপনাকে জানাতে থাকি, এবং সমাধান হলে আপনি চাইলে আপনাকে স্বীকৃতি দিই।
আমরা যা কভার করিনি, এমন কোনো নিরাপত্তা প্রশ্ন আছে?
আপনি কী দেখতে চান তা জানান। আমরা নির্দিষ্ট উত্তর দেব — architecture, ডেটা flow, এবং কোন সীমারেখা কার হাতে।