امنیت و انطباق
امنیت ویژگیِ نحوه‌ی ساخت و اجرای یک سیستم است.
Protocore لایه‌ی نرم‌افزاری سیستم‌های پرداخت، هوش مصنوعی و بلاکچین را می‌سازد. این صفحه صریح توضیح می‌دهد که با داده‌ها چگونه رفتار می‌کنیم، نرم‌افزار چگونه اجرا و نگهداری می‌شود و مرز بخش تحت مقررات کجاست — بدون نشان و نمایش، فقط رویکردی که بر اساس آن می‌سازیم.
داده و حریم خصوصی
فقط آنچه هر جریان نیاز دارد جمع می‌کنیم، نه بیشتر.
سیستم‌هایی که می‌سازیم بر پایه‌ی حداقل‌سازی داده طراحی شده‌اند: هر جریان فقط فیلدهایی را دریافت می‌کند که برای انجام کارش لازم است و فقط تا زمانی که لازم است نگه می‌دارد. هرجا میزبانی می‌کنیم، در اتحادیه اروپا میزبانی می‌کنیم — محیط عملیاتی روی AWS eu-central-1 در فرانکفورت اجرا می‌شود — و بر اساس شیوه‌های GDPR می‌سازیم: مبنای قانونی برای هر پردازش، رسیدگی به درخواست‌های دسترسی و حذف، و دور نگه داشتن داده‌های شخصی از لاگ‌ها و آنالیتیکس به‌صورت پیش‌فرض.
- 01حداقل‌سازی داده به‌صورت پیش‌فرض
- 02میزبانی در اتحادیه اروپا — AWS eu-central-1 (فرانکفورت)
- 03مدیریت داده همسو با GDPR: مبنای قانونی، دسترسی، حذف
- 04داده‌های شخصی خارج از لاگ‌ها و آنالیتیکس
نحوه‌ی اجرا و بهره‌برداری
دسترسی با حداقل سطح مجوز، و اقدامات حساس فقط با ذکر دلیل.
نرم‌افزاری که تحویل می‌دهیم از اولین کامیت ابزارگذاری شده است — لاگ، متریک و تریس — تا آنچه در محیط عملیاتی رخ می‌دهد دیده شود، نه حدس زده شود. دسترسی از اصل حداقل سطح مجوز پیروی می‌کند: هر عامل، چه انسان و چه سرویس، فقط محدودترین مجوزی را می‌گیرد که برای انجام کارش لازم است. اقدامات حساس اپراتور پیش از اجرا دلیل می‌خواهند و ردپایی حسابرسی‌پذیر از اینکه چه کسی، چه کاری، کِی و چرا انجام داده باقی می‌گذارند. این همان مدلی است که پشت Protocore Center، کنسول اپراتور ما، قرار دارد — همان رویکردی که در هر سیستمی به کار می‌بریم.
- 01ابزارگذاری پیش‌فرض — لاگ، متریک، تریس
- 02حداقل سطح مجوز برای هر عامل، انسان یا سرویس
- 03اقدامات حساس فقط با ذکر دلیل
- 04ردپای حسابرسی: چه کسی، چه کاری، کِی و چرا
تفکیک مسئولیت‌ها
نرم‌افزار را ما می‌سازیم. بخش تحت مقررات با مجوز می‌ماند.
یک محصول پرداخت از دو چیز درهم‌تنیده تشکیل شده است: مجوز قانونی نگهداری یا انتقال پول، و نرم‌افزاری که آن را دستور می‌دهد، تطبیق می‌دهد و نمایش می‌دهد. Protocore نرم‌افزار را می‌سازد. فعالیت تحت مقررات — نگهداری وجوه، صدور حساب، انتقال پول — با مجوز خودِ اپراتور یا یک شریک دارای مجوز است: بانک، EMI یا مؤسسه‌ی پرداخت. ما جریان‌ها را متناسب با هر زیرساخت تحت مقرراتی که شما دارید می‌سازیم؛ ما جایگزین آن مجوز نیستیم و هیچ نرم‌افزاری هم نیست.
- 01Protocore نرم‌افزار می‌سازد، نه مجوز
- 02فعالیت تحت نظارت با اپراتور یا شریک دارای مجوز است
- 03داده‌های کارت طوری پردازش می‌شوند که هرگز به سرورهای شما نرسند
- 04احراز هویت قوی مشتری، یکپارچه در جریان پرداخت
شیوه‌ها
عادت‌هایی که پشت یک سیستم قابل‌اعتماد هستند.
شیوه‌های مشخصی که در سیستم‌ها تعبیه می‌کنیم — در قالب سازوکار، نه نشان و مدرک.
داده‌های کارت دور از سرورهای شما
جزئیات کارت را زیرساخت پرداخت مدیریت و توکنایز می‌کند، بنابراین شماره‌ی خام کارت هرگز به زیرساخت خودِ اپراتور نمی‌رسد.
احراز هویت قوی مشتری
SCA در جریان‌های پرداخت و ورود تعبیه شده است — هرجا زیرساخت پرداخت یا سطح ریسک لازم بداند، یک عامل دوم اضافه می‌شود؛ نه اینکه بعداً به سیستم چسبانده شود.
رمزگذاری در مسیر انتقال
ترافیک سرتاسر روی TLS جریان دارد؛ رمزها و اعتبارنامه‌ها در مخازن مدیریت‌شده و نقش‌های نمونه نگهداری می‌شوند، نه در سورس کد.
جداسازی به‌ازای هر تنانت
هرجا یک سیستم به چند اپراتور سرویس می‌دهد، داده‌ی هر تنانت با کنترل دسترسی جدا می‌شود تا هیچ تنانتی نتواند داده‌ی تنانت دیگر را بخواند.
افشای مسئولانه
چیزی پیدا کرده‌اید؟ به ما بگویید.
اگر فکر می‌کنید در یکی از سیستم‌های Protocore مشکل امنیتی پیدا کرده‌اید، برایمان ایمیل بفرستید تا با هم روی آن کار کنیم. هدف ما این است که گزارش‌ها را سریع تأیید کنیم، تا زمان رفع مشکل شما را در جریان بگذاریم و در صورت تمایل پس از رفع، از شما قدردانی و نام‌تان را ذکر کنیم. لطفاً پیش از افشای عمومی، فرصت معقولی برای رفع مشکل به ما بدهید و هنگام آزمون به داده‌ای که مال شما نیست دسترسی پیدا نکنید و آن را تغییر ندهید.
آنچه پیدا کرده‌اید و روش بازتولید آن را به security@protocore.io ایمیل کنید.
دریافت گزارش را تأیید می‌کنیم و بررسی را شروع می‌کنیم، معمولاً ظرف چند روز کاری.
مشکل را برطرف می‌کنیم و تا رسیدن به نتیجه، از پیشرفت کار باخبرتان می‌کنیم.
با اجازه‌ی شما، پس از رفع مشکل نام‌تان را ذکر و از شما قدردانی می‌کنیم.
پرسش‌ها
پرسش‌های امنیتی که اول از همه می‌پرسند.
ما امنیت را در قالب شیوه‌های عملی توضیح می‌دهیم، نه نشان و گواهی. Protocore لایه‌ی نرم‌افزاری را می‌سازد؛ هرجا چارچوب تحت مقرراتی اعمال شود — مثلاً پردازش داده‌های کارت — مرز گواهی‌شده با زیرساخت پرداخت یا شریک دارای مجوز اپراتور است و ما طوری می‌سازیم که داده‌های کارت هرگز به سرورهای شما نرسد. اگر گواهی مشخصی برای برنامه‌ی شما اهمیت دارد، به ما بگویید تا روشن کنیم هر بخش با چه کسی است.
در اتحادیه اروپا. محیط عملیاتی روی AWS eu-central-1 (فرانکفورت) اجرا می‌شود. ما بر اساس شیوه‌های GDPR می‌سازیم — حداقل‌سازی داده، مبنای قانونی برای پردازش، و رسیدگی به درخواست‌های دسترسی و حذف.
مجوز. Protocore نرم‌افزاری را می‌سازد که جابه‌جایی پول را دستور می‌دهد و تطبیق می‌کند؛ نگهداری یا انتقال وجوه با مجوز خودِ شما یا یک شریک دارای مجوز است — بانک، EMI یا مؤسسه‌ی پرداخت. هیچ نرم‌افزاری جایگزین این مجوز نیست.
حداقل سطح مجوز برای هر عامل، و اقدامات حساس که دلیل می‌خواهند و ردپای حسابرسی بر جای می‌گذارند. همه‌چیز ابزارگذاری شده است، بنابراین اینکه چه کسی چه کاری کرده، سابقه‌ای ثبت‌شده است و نیازی به بازسازی ندارد.
به security@protocore.io ایمیل بفرستید. ما سریع تأیید می‌کنیم، تا زمان رفع مشکل شما را در جریان می‌گذاریم و در صورت تمایل پس از رفع، از شما قدردانی می‌کنیم.
پرسش امنیتی دارید که پوشش نداده‌ایم؟
بگویید چه چیزی را باید ببینید. با جزئیات پاسخ می‌دهیم — معماری، جریان‌های داده و اینکه هر مرز با چه کسی است.