Turvalisus ja vastavus
Turvalisus tuleneb sellest, kuidas süsteem ehitatakse ja kuidas seda käitatakse.
Protocore ehitab tarkvarakihi maksete, tehisintellekti ja plokiahelasüsteemide jaoks. Siin lehel ütleme otse, kuidas me andmeid käsitleme, kuidas tarkvara toimib ja kus jookseb reguleeritud piir – ilma uhkeldavate märkideta, ainult see tase, mille järgi me ehitame.
Andmed ja privaatsus
Kogume seda, mida voog vajab, ja mitte rohkem.
Meie ehitatavad süsteemid lähtuvad andmete minimeerimisest: iga voog kogub ainult need väljad, mida ta oma töö jaoks vajab, ja hoiab neid ainult nii kaua, kuni neid vaja on. Kui me hostime ise, siis hostime ELis – tootmiskeskkond töötab AWS-i regioonis eu-central-1 Frankfurdis – ja ehitame vastavalt GDPR-i tavadele: töötlemiseks on õiguslik alus, juurdepääsu- ja kustutamistaotlusi täidetakse ning isikuandmed hoitakse vaikimisi logidest ja analüütikast eemal.
- 01Andmete minimeerimine vaikimisi
- 02Hostimine ELis – AWS eu-central-1 (Frankfurt)
- 03GDPR-iga kooskõlas käsitlus: õiguslik alus, juurdepääs, kustutamine
- 04Isikuandmed ei satu logidesse ega analüütikasse
Kuidas süsteemi käitatakse
Vähimate õiguste põhimõttega juurdepääs ja eesõigustatud toimingud, mis nõuavad põhjendust.
Meie tarkvara on varustatud jälgitavusega juba esimesest commitist – logid, mõõdikud ja jäljed –, nii et tootmises toimuv on nähtav, mitte oletatav. Juurdepääs järgib vähimate õiguste põhimõtet: iga osapool, olgu see inimene või teenus, saab kitsaima õiguse, mis tal tööks vaja on. Tundlikud operaatoritoimingud küsivad enne käivitamist põhjendust ja jätavad auditijälje selle kohta, kes mida, millal ja miks tegi. Selline on ka Protocore Centeri, meie operaatorikonsooli, mudel – sama lähenemine on igas meie ehitatavas süsteemis.
- 01Jälgitav vaikimisi – logid, mõõdikud, jäljed
- 02Vähimad õigused igale osapoolele, olgu see inimene või teenus
- 03Eesõigustatud toimingud nõuavad põhjendust
- 04Auditijälg: kes mida, millal ja miks tegi
Vastutuse lahusus
Meie ehitame tarkvara. Reguleeritud piir jääb litsentsi juurde.
Maksetoode koosneb kahest läbipõimunud osast: reguleeritud õigusest raha hoida või liigutada ning tarkvarast, mis seda juhib, õiendab ja kuvab. Protocore ehitab tarkvara. Reguleeritud tegevus – raha hoidmine, kontode väljastamine, raha liigutamine – jääb operaatori enda litsentsi või litsentseeritud partneri, nagu pank, e-raha asutus (EMI) või makseasutus, kanda. Ehitame vood sobima mis tahes reguleeritud taristuga, mille te kaasa toote; me ei asenda seda luba ja seda ei asenda ükski tarkvara.
- 01Protocore ehitab tarkvara, mitte litsentsi
- 02Reguleeritud tegevus jääb operaatorile või litsentseeritud partnerile
- 03Kaardiandmeid käsitletakse nii, et need ei jõua kunagi teie serveritesse
- 04Tugev klientide autentimine on maksevoogu sisse ehitatud
Tavad
Harjumused, millel usaldusväärne süsteem toimib.
Konkreetsed tavad, mida me ehitame sisse – kirjeldatud mehhanismide, mitte märkidena.
Kaardiandmed teie serveritest eemal
Kaardi andmeid käsitleb makserööbas ja need tokeniseeritakse, nii et tegelikud kaardinumbrid ei puutu kunagi kokku operaatori enda taristuga.
Tugev klientide autentimine
SCA on ehitatud makse- ja sisselogimisvoogudesse – teine faktor seal, kus makseraudtee või risk seda nõuab, mitte hiljem külge poltimine.
Krüpteeritud edastus
Liiklus liigub otsast otsani üle TLS-i; saladused ja volitused asuvad hallatud hoidlates ja instantsirollides, mitte kunagi lähtekoodis.
Eraldatud kliendi kaupa
Kui üks süsteem teenindab mitut operaatorit, on iga kliendi (tenant) andmed eraldatud juurdepääsukontrolliga, nii et üks klient ei saa kunagi lugeda teise andmeid.
Vastutustundlik avalikustamine
Leidsite midagi? Andke teada.
Kui usute, et leidsite Protocore'i süsteemist turvaprobleemi, kirjutage meile ja lahendame selle koos teiega. Püüame teie teate kiiresti kinnitada, hoida teid parandamise ajal kursis ja soovi korral teid pärast lahendamist tunnustada. Palun andke meile enne avalikustamist mõistlik aeg probleemi kõrvaldamiseks ning ärge testimise ajal vaadake ega muutke andmeid, mis ei kuulu teile.
Kirjutage aadressile security@protocore.io, mida leidsite ja kuidas seda reprodutseerida.
Kinnitame kkättesaamist ja asume asja uurima, tavaliselt paari tööpäeva jooksul.
Kõrvaldame probleemi ja hoiame teid edenemisega kursis kuni lahenduseni.
Teie nõusolekul tunnustame teid pärast probleemi lahendamist.
Küsimused
Turvaküsimused, mida meilt kõige enne küsitakse.
Kirjeldame oma turvalisust tavade, mitte märkide kaudu. Protocore ehitab tarkvarakihi; kui kehtib reguleeritud skeem – näiteks kaardiandmete käitlemine –, jääb sertifitseeritud piir makserööpa või operaatori litsentseeritud partneri kanda ning me ehitame nii, et kaardiandmed ei jõua kunagi teie serveritesse. Kui teie programmi jaoks on oluline konkreetne atesteering, andke teada ja kaardistame, kes mida hoiab.
ELis. Tootmiskeskkond töötab AWS-i regioonis eu-central-1 (Frankfurt). Ehitame vastavalt GDPR-i tavadele – andmete minimeerimine, töötlemise õiguslik alus ning juurdepääsu- ja kustutamistaotluste täitmine.
Litsents. Protocore ehitab tarkvara, mis juhib ja õiendab rahaliikumist; raha hoidmine ja liigutamine jääb teie enda litsentsi või litsentseeritud partneri – panga, EMI või makseasutuse – kanda. Ükski tarkvara ei asenda seda luba.
Igale osapoolele vähimad õigused ning eesõigustatud toimingud, mis nõuavad põhjendust ja jätavad auditijälje. Kõik on jälgitav, mistõttu on see, kes mida tegi, kirjas, mitte tagantjärele rekonstrueeritud.
Kirjutage aadressile security@protocore.io. Kinnitame kiiresti, hoiame teid parandamise ajal kursis ja soovi korral tunnustame teid pärast lahendamist.
Kas teil on turvaküsimus, mida me ei käsitlenud?
Öelge, mida soovite näha. Vastame konkreetselt – arhitektuur, andmevood ja see, kes millist piiri hoiab.