Drošība un atbilstība
Drošība ir īpašība tam, kā sistēma tiek veidota un darbināta.
Protocore veido programmatūras slāni maksājumu, AI un blokķēdes sistēmām. Šajā lapā atklāti aprakstīts, kā mēs rīkojamies ar datiem, kā programmatūra tiek darbināta un kur atrodas regulētā robeža — bez nnozīmītēm, ar ko vicināties, tikai ar pieeju, uz kādu mēs veidojam.
Dati un privātums
Mēs vācam tikai to, ko plūsmai vajag, un ne vairāk.
Mūsu veidotās sistēmas balstītas uz datu minimizēšanu: katra plūsma apkopo tikai tos laukus, kas nepieciešami tās uzdevumam, un glabā tikai tik ilgi, cik vajadzīgs. Kur mēs hostējam, tur hostējam ES — produkcija darbojas AWS eu-central-1, Frankfurtē — un veidojam atbilstoši GDPR praksei: apstrādei ir tiesisks pamats, piekļuves un dzēšanas pieprasījumi tiek izpildīti, bet personas dati pēc noklusējuma netiek iekļauti žurnālos un analītikā.
- 01Datu minimizēšana pēc noklusējuma
- 02Hostings ES — AWS eu-central-1 (Frankfurte)
- 03Apstrāde atbilstoši GDPR: tiesisks pamats, piekļuve, dzēšana
- 04Personas dati ārpus žurnāliem un analītikas
Kā tas tiek darbināts
Minimālu tiesību piekļuve un priviliģētas darbības, kam jānorāda iemesls.
Programmatūra, ko piegādājam, ir aprīkota novērojamībai no pirmā komita — žurnāli, metrikas un trasējumi —, tāpēc tas, kas notiek produkcijā, ir redzams, nevis minēts. Piekļuve balstās uz minimālo tiesību principu: katrs dalībnieks, cilvēks vai serviss, saņem šaurako atļauju, kas ļauj paveikt savu darbu. Jūtīgas operatoru darbības pirms izpildes prasa norādīt iemeslu un atstāj audita pēdas par to, kurš, ko, kad un kāpēc darījis. Tāds ir modelis aiz Protocore Center, mūsu operatoru konsoles — tā pati pieeja, ko iestrādājam katrā sistēmā.
- 01Novērojamība pēc noklusējuma — žurnāli, metrikas, trasējumi
- 02Minimālās tiesības katram dalībniekam, cilvēkam vai servisam
- 03Priviliģētas darbības ar obligātu iemeslu
- 04Audita pēdas: kurš, ko, kad un kāpēc darījis
Atbildību nodalīšana
Mēs veidojam programmatūru. Regulētā robeža paliek pie licences.
Maksājumu produkts ir divu lietu savienojums: regulēta atļauja turēt vai pārvietot naudu un programmatūra, kas to uzdod, saskaņo un attēlo. Protocore veido programmatūru. Regulētā darbība — līdzekļu turēšana, kontu izsniegšana, naudas pārvietošana — ir operatora paša licences vai licencēta partnera pārziņā: bankas, EMI vai maksājumu iestādes. Mēs veidojam plūsmas, kas der jebkuriem regulētiem kanāliem, ko izmantojat; mēs neesam un neviena programmatūra nav šīs atļaujas aizstājējs.
- 01Protocore veido programmatūru, nevis licenci
- 02Regulētā darbība ir operatora vai licencēta partnera pārziņā
- 03Kartes dati tiek apstrādāti tā, ka nekad nesasniedz jūsu serverus
- 04Stingra klienta autentifikācija iestrādāta maksājuma plūsmā
Prakse
Ieradumi, kas stāv aiz uzticamas sistēmas.
Konkrēta prakse, ko iestrādājam — izklāstīta kā mehānika, nevis nozīmītes.
Kartes dati ārpus jūsu serveriem
Kartes datus apstrādā maksājumu kanāls un tie tiek tokenizēti, tāpēc neapstrādāti kartes numuri nekad nonāk operatora paša infrastruktūrā.
Stingra klienta autentifikācija
SCA ir iestrādāta maksājumu un pieteikšanās plūsmās — otrs faktors tur, kur to prasa kanāls vai risks, nevis pielikts pēc tam.
Šifrēts pārraides laikā
Datplūsma visur iet caur TLS; noslēpumi un akreditācijas dati glabājas pārvaldītās krātuvēs un instanču lomās, nekad pirmkodā.
Izolācija pa tenantiem
Ja viena sistēma apkalpo daudzus operatorus, katra tenanta dati ir nodalīti ar piekļuves kontroli, tāpēc neviens tenants nekad nevar nolasīt cita datus.
Atbildīga atklāšana
Atradāt kaut ko? Pastāstiet mums.
Ja uzskatāt, ka esat atradis drošības ievainojamību kādā Protocore sistēmā, rakstiet mums e-pastā, un mēs risināsim to kopā ar jums. Mēs cenšamies ātri apstiprināt ziņojumus, informēt jūs par labošanas gaitu un, ja vēlaties, pēc novēršanas minēt jūs kā atklājēju. Lūdzam dot mums saprātīgu laiku novēršanai pirms publiskas atklāšanas un testēšanas laikā neaizskart un nemainīt datus, kas nav jūsu.
Rakstiet uz security@protocore.io, norādot, ko atradāt un kā to atkārtot.
Apstiprinām saņemšanu un sākam izpēti, parasti pāris darbadienu laikā.
Novēršam problēmu un informējam par gaitu līdz pat risinājumam.
Ar jūsu piekrišanu pēc problēmas novēršanas minam jūs kā atklājēju.
Jautājumi
Drošības jautājumi, ko uzdod vispirms.
Savu drošību mēs raksturojam ar praksi, nevis nozīmītēm. Protocore veido programmatūras slāni; kur piemērojama regulēta shēma — piemēram, kartes datu apstrādē —, sertificētā robeža atrodas pie maksājumu kanāla vai operatora licencētā partnera, un mēs veidojam tā, lai kartes dati nekad nesasniegtu jūsu serverus. Ja jūsu programmai svarīgs konkrēts apliecinājums, pastāstiet mums, un mēs izklāstīsim, kam kas pieder.
ES. Produkcija darbojas AWS eu-central-1 (Frankfurte). Veidojam atbilstoši GDPR praksei — datu minimizēšana, tiesisks apstrādes pamats un piekļuves un dzēšanas pieprasījumu izpilde.
Licence. Protocore veido programmatūru, kas uzdod un saskaņo naudas kustību; līdzekļu turēšana vai pārvietošana ir jūsu paša licences vai licencēta partnera — bankas, EMI vai maksājumu iestādes — pārziņā. Neviena programmatūra nav šīs atļaujas aizstājējs.
Minimālās tiesības katram dalībniekam un priviliģētas darbības, kam jānorāda iemesls un kas atstāj audita pēdas. Viss ir aprīkots novērojamībai, tāpēc, kurš ko darījis, ir ieraksts, nevis rekonstrukcija.
Rakstiet uz security@protocore.io. Mēs ātri apstiprinām saņemšanu, informējam par labošanas gaitu un, ja vēlaties, pēc novēršanas minam jūs kā atklājēju.
Jums ir drošības jautājums, ko neaplūkojām?
Pastāstiet, ko vēlaties redzēt. Atbildēsim konkrēti — par arhitektūru, datu plūsmām un to, kam pieder kura robeža.