Güvenlik ve uyumluluk
Güvenlik, bir sistemin nasıl inşa edildiğinin ve işletildiğinin bir özelliğidir.
Protocore; ödeme, yapay zekâ ve blockchain sistemleri için yazılım katmanını geliştirir. Bu sayfa; verileri nasıl ele aldığımızı, yazılımın nasıl işletildiğini ve düzenlemeye tabi alanın sınırının nerede olduğunu açıkça anlatır. Öne sürecek rozetlerimiz yok, yalnızca inşa ederken benimsediğimiz yaklaşım var.
Veri ve gizlilik
Bir akışın ihtiyaç duyduğu kadarını toplarız, fazlasını değil.
Geliştirdiğimiz sistemler veri minimizasyonu esas alınarak tasarlanır: her akış yalnızca işini yapmak için gereken alanları alır ve bunları yalnızca gerekli olduğu süre boyunca saklar. Barındırmayı AB içinde yaparız; canlı ortam AWS eu-central-1 (Frankfurt) üzerinde çalışır. GDPR uygulamalarıyla uyumlu olacak şekilde geliştiririz: işlenen her veri için hukuki dayanak, erişim ve silme taleplerine uyum, kişisel verilerin varsayılan olarak log ve analitik kayıtlarının dışında tutulması.
- 01Varsayılan olarak veri minimizasyonu
- 02AB içinde barındırma: AWS eu-central-1 (Frankfurt)
- 03GDPR uyumlu veri işleme: hukuki dayanak, erişim, silme
- 04Kişisel veriler log ve analitik kayıtlarının dışında
Nasıl işletiliyor
En az ayrıcalıklı erişim ve gerekçe isteyen ayrıcalıklı işlemler.
Teslim ettiğimiz yazılım ilk commit'ten itibaren izlenebilir şekilde geliştirilir: log, metrik ve trace sayesinde canlı ortamda olanlar tahmin edilmez, görülür. Erişim, en az ayrıcalık ilkesini izler: insan ya da servis, her aktör işini yapmasına yetecek en dar yetkiyi alır. Hassas operatör işlemleri çalışmadan önce gerekçe ister ve kimin, neyi, ne zaman ve neden yaptığını gösteren bir denetim izi bırakır. Operatör konsolumuz Protocore Center'ın arkasındaki model budur; her sisteme aynı yaklaşımı işleriz.
- 01Varsayılan olarak izlenebilir: log, metrik, trace
- 02İnsan ya da servis, her aktör için en az ayrıcalık
- 03Gerekçe zorunlu ayrıcalıklı işlemler
- 04Kimin, neyi, ne zaman ve neden yaptığını gösteren denetim izi
Sorumlulukların ayrımı
Yazılımı biz geliştiririz. Düzenlemeye tabi alan lisansın sorumluluğunda kalır.
Bir ödeme ürünü iki şeyin birleşimidir: para tutma veya taşıma konusundaki düzenlemeye tabi yetki ile bunu yönlendiren, mutabakatını yapan ve gösteren yazılım. Protocore yazılımı geliştirir. Düzenlemeye tabi faaliyet; yani fon tutma, hesap açma ve para transferi, operatörün kendi lisansı ya da lisanslı bir iş ortağı (banka, EMI veya ödeme kuruluşu) nezdinde yürütülür. Akışları, getireceğiniz düzenlemeye tabi altyapıya uyacak şekilde kurarız. Bu yetkinin yerini biz de, hiçbir yazılım da tutamaz.
- 01Protocore yazılımı geliştirir, lisansı değil
- 02Düzenlemeye tabi faaliyet operatörde ya da lisanslı iş ortağında kalır
- 03Kart verisi sunucularınıza hiç uğramayacak şekilde işlenir
- 04Güçlü müşteri doğrulaması ödeme akışına dahildir
Uygulamalar
Güvenilir bir sistemin arkasındaki alışkanlıklar.
Geliştirirken içine işlediğimiz somut uygulamalar: rozet olarak değil, işleyiş olarak anlatılır.
Kart verisi sunucularınızın dışında
Kart bilgileri ödeme altyapısı tarafından işlenir ve tokenize edilir; böylece ham kart numaraları operatörün kendi altyapısına hiç ulaşmaz.
Güçlü müşteri doğrulaması
SCA, ödeme ve oturum açma akışlarına en baştan dahildir: altyapının ya da riskin gerektirdiği yerde ikinci bir faktör devreye girer, sonradan eklenmez.
Aktarımda şifreli
Trafik uçtan uca TLS üzerinden akar; secret'lar ve kimlik bilgileri yönetilen depolarda ve instance rollerinde tutulur, kaynak kodda asla yer almaz.
Tenant bazında izole
Bir sistem birden çok operatöre hizmet verdiğinde, her tenant'ın verisi erişim kontrolüyle ayrılır; hiçbir tenant bir başkasının verisini okuyamaz.
Sorumlu ifşa
Bir şey mi buldunuz? Bize bildirin.
Bir Protocore sisteminde güvenlik açığı bulduğunuzu düşünüyorsanız bize e-posta gönderin, birlikte ele alalım. Bildirimleri hızlıca teyit etmeyi, düzeltme sürecinde sizi bilgilendirmeyi ve çözüm sonrasında isterseniz adınızı anmayı hedefleriz. Kamuya açıklamadan önce düzeltmemiz için makul bir süre tanımanızı ve test sırasında size ait olmayan verilere erişmemenizi ya da bunları değiştirmemenizi rica ederiz.
Bulduğunuz açığı ve nasıl yeniden üretileceğini security@protocore.io adresine e-posta ile iletin.
Bildirimi aldığımızı onaylar ve incelemeye başlarız; genellikle birkaç iş günü içinde.
Açığı gideririz ve çözüme kadar süreç hakkında sizi bilgilendiririz.
Onayınızla, sorun çözüldükten sonra adınızı anarız.
Sorular
Bize ilk sorulan güvenlik soruları.
Güvenliği rozetlerle değil, uygulamalarla anlatırız. Protocore yazılım katmanını geliştirir; kart işleme gibi düzenlemeye tabi bir şemanın geçerli olduğu yerlerde sertifikalı sınır, ödeme altyapısında veya operatörün lisanslı iş ortağında yer alır. Biz de kart verisi sunucularınıza hiç ulaşmayacak şekilde geliştiririz. Programınız için belirli bir belge önemliyse bize söyleyin, hangi sorumluluğun kimde olduğunu birlikte netleştirelim.
AB içinde. Canlı ortam AWS eu-central-1 (Frankfurt) üzerinde çalışır. GDPR uygulamalarıyla uyumlu olacak şekilde geliştiririz: veri minimizasyonu, işleme için hukuki dayanak ve erişim ile silme taleplerine uyum.
Lisans. Protocore, para hareketini yönlendiren ve mutabakatını yapan yazılımı geliştirir; fon tutma veya taşıma ise sizin kendi lisansınız ya da lisanslı bir iş ortağı (banka, EMI veya ödeme kuruluşu) nezdinde yürütülür. Hiçbir yazılım bu yetkinin yerini tutamaz.
Her aktör için en az ayrıcalık; ayrıcalıklı işlemler ise gerekçe ister ve denetim izi bırakır. Her şey izlenebilir olduğundan, kimin ne yaptığı sonradan yeniden kurgulanmaz, kayıtlarda yer alır.
security@protocore.io adresine e-posta gönderin. Hızlıca teyit eder, düzeltme sürecinde sizi bilgilendirir ve çözüm sonrasında isterseniz adınızı anarız.
Yanıtlamadığımız bir güvenlik sorunuz mu var?
Görmek istediklerinizi bize söyleyin. Mimari, veri akışları ve hangi sınırın kimde olduğu gibi somut ayrıntılarla yanıt veririz.