Sigurnost i usklađenost
Sigurnost je svojstvo načina na koji se sistem gradi i njime upravlja.
Protocore gradi softverski sloj za plaćanja, AI i blockchain sisteme. Ova stranica jasno navodi kako postupamo s podacima, kako se softver pokreće i održava te gdje je granica regulisane djelatnosti — bez značaka kojima se busamo u prsa, samo pristup prema kojem gradimo.
Podaci i privatnost
Prikupljamo ono što tok zaista traži, i ništa više.
Sisteme koje gradimo oblikuje princip minimizacije podataka: svaki tok bilježi samo polja koja su mu potrebna za posao i čuva ih samo dok su potrebna. Gdje hostujemo, hostujemo u EU — produkcija radi u AWS eu-central-1, Frankfurt — a gradimo u skladu s GDPR praksama: zakonit osnov za sve što se obrađuje, poštovanje zahtjeva za pristup i brisanje te lični podaci koji se po zadanim postavkama ne bilježe u logovima i analitici.
- 01Minimizacija podataka po zadanim postavkama
- 02Hosting u EU — AWS eu-central-1 (Frankfurt)
- 03Postupanje usklađeno s GDPR-om: zakonit osnov, pristup, brisanje
- 04Lični podaci van logova i analitike
Kako se sistem pokreće i održava
Pristup s najmanjim privilegijama i povlaštene radnje koje traže razlog.
Softver koji isporučujemo instrumentiran je od prvog commita — logovi, metrike i trace-ovi — pa se ono što se događa u produkciji vidi, a ne nagađa. Pristup slijedi princip najmanjih privilegija: svaki akter, bilo čovjek ili servis, dobija najuže dopuštenje koje mu omogućava da obavi svoj posao. Osjetljive operatorske radnje traže razlog prije izvršenja i iza sebe ostavljaju revizijski trag o tome ko je šta uradio, kada i zašto. Na tom je modelu zasnovan Protocore Center, naša operatorska konzola — isti pristup ugrađujemo u svaki sistem.
- 01Instrumentirano po zadanim postavkama — logovi, metrike, trace-ovi
- 02Najmanje privilegije za svakog aktera, čovjeka ili servis
- 03Povlaštene radnje zahtijevaju razlog
- 04Revizijski trag: ko je šta uradio, kada i zašto
Podjela odgovornosti
Mi gradimo softver. Regulisana djelatnost ostaje uz licencu.
Platni proizvod su dvije stvari spojene u jednu: regulisano dopuštenje za držanje ili prijenos novca i softver koji ga nalaže, usklađuje i prikazuje. Protocore gradi softver. Regulisana djelatnost — držanje sredstava, otvaranje računa, prijenos novca — ostaje uz licencu samog operatora ili licenciranog partnera: banku, EMI ili platnu instituciju. Tokove gradimo tako da odgovaraju regulisanoj infrastrukturi koju vi donesete; mi nismo zamjena za to dopuštenje, niti je to ijedan softver.
- 01Protocore gradi softver, a ne licencu
- 02Regulisana djelatnost ostaje kod operatora ili licenciranog partnera
- 03Podaci o karticama obrađuju se tako da nikad ne dotaknu vaše servere
- 04Jaka autentifikacija klijenta ugrađena u tok plaćanja
Prakse
Navike iza sistema kojem možete vjerovati.
Konkretne prakse koje ugrađujemo — iskazane kao mehanizmi, a ne značke.
Podaci o karticama van vaših servera
Podatke o karticama obrađuje platna infrastruktura i tokenizira ih, pa sirovi brojevi kartica nikad ne dotiču infrastrukturu samog operatora.
Jaka autentifikacija klijenta
SCA je ugrađena u tokove plaćanja i prijave — drugi faktor tamo gdje ga traži platna infrastruktura ili rizik, a ne naknadno dodan.
Šifrovano u prijenosu
Saobraćaj ide preko TLS-a od kraja do kraja; tajne i pristupni podaci čuvaju se u upravljanim pohranama i instance rolama, nikad u izvornom kodu.
Izolacija po tenantu
Gdje jedan sistem služi mnogo operatora, podaci svakog tenanta odvojeni su kontrolom pristupa, tako da jedan tenant nikad ne može čitati podatke drugog.
Odgovorno prijavljivanje
Našli ste nešto? Javite nam.
Ako vjerujete da ste pronašli sigurnosni propust u nekom Protocore sistemu, pošaljite nam e-poruku i riješit ćemo ga zajedno s vama. Nastojimo brzo potvrditi prijem prijave, redovno vas obavještavati dok ispravljamo propust i, ako želite, navesti vas kao autora otkrića kad bude riješen. Molimo da nam date razuman rok za otklanjanje prije javnog objavljivanja i da tokom testiranja ne pristupate podacima koji nisu vaši niti ih mijenjate.
Pošaljite e-poruku na security@protocore.io s opisom onoga što ste pronašli i kako se to može reproducirati.
Potvrđujemo prijem i počinjemo s analizom, obično u roku od nekoliko radnih dana.
Otklanjamo propust i redovno vas obavještavamo o napretku do konačnog rješenja.
Uz vašu saglasnost, navodimo vas kao autora otkrića nakon što se propust riješi.
Pitanja
Sigurnosna pitanja koja nam prvo postavljaju.
Sigurnost opisujemo kroz prakse, a ne značke. Protocore gradi softverski sloj; gdje se primjenjuje regulisana shema — na primjer obrada kartica — certificirana granica leži na platnoj infrastrukturi ili licenciranom partneru operatora, a mi gradimo tako da podaci o karticama nikad ne dotaknu vaše servere. Ako je za vaš program važna određena potvrda, javite nam i razjasnit ćemo ko za šta odgovara.
U EU. Produkcija radi u AWS eu-central-1 (Frankfurt). Gradimo u skladu s GDPR praksama — minimizacija podataka, zakonit osnov za obradu te poštovanje zahtjeva za pristup i brisanje.
Licenca. Protocore gradi softver koji nalaže i usklađuje kretanje novca; držanje i prijenos sredstava ostaje uz vašu licencu ili licenciranog partnera — banku, EMI ili platnu instituciju. Nijedan softver nije zamjena za to dopuštenje.
Najmanje privilegije za svakog aktera, a povlaštene radnje traže razlog i ostavljaju revizijski trag. Sve je instrumentirano, pa je ko je šta uradio stvar evidencije, a ne rekonstrukcije.
Pošaljite e-poruku na security@protocore.io. Brzo potvrđujemo prijem, redovno vas obavještavamo dok ispravljamo propust i, ako želite, navodimo vas kao autora otkrića kad bude riješen.
Imate sigurnosno pitanje koje nismo obuhvatili?
Recite nam šta trebate vidjeti. Odgovorit ćemo konkretno — arhitekturom, tokovima podataka i time ko drži koju granicu.