Kontom administracyjnym przypisujemy uwierzytelnianie wieloskładnikowe, krótkie sesje i rejestrowanie logowań.
Security by designAutomatyzacja ma działać szybko.
Automatyzacja ma działać szybko.
Granice muszą być twarde.
Opisujemy zasady projektowe środowiska produkcyjnego Rankora™. Obecny katalog www3 jest prototypem UI i nie powinien przechowywać prawdziwych haseł, kluczy API ani danych klientów.
Ważne rozróżnienie
Ta strona opisuje wymagany standard produkcyjny i jawne granice systemu. Elementu nie uznajemy za wdrożony wyłącznie dlatego, że jest widoczny w makiecie.
Dostęp zgodny z rolą, nie z wygodą
Klient, opiekun, redaktor i administrator widzą wyłącznie zasoby potrzebne do swojej pracy.
Wrażliwe działania zapisują użytkownika, czas, zasób, skutek i uzasadnienie.
Dane mają określony cel i okres życia
Oddzielamy dane konta i rozliczeń od danych przetwarzanych w imieniu klienta. Produkcyjny system wymaga szyfrowania transmisji, szyfrowania właściwych sekretów w spoczynku, kopii, testów odtwarzania i polityki retencji. Po zakończeniu umowy eksport oraz usunięcie odbywają się zgodnie z umową i przepisami.
Gdy Rankora przetwarza dane osobowe z systemów klienta, zastosowanie ma Umowa powierzenia danych oraz lista dalszych podmiotów przetwarzających.
Konektor CMS nie powinien być kluczem do całej firmy
Wymagamy osobnego konta integracyjnego, minimalnego zakresu, rotacji sekretów i możliwości natychmiastowego odłączenia. Zmiany powinny mieć kopię stanu, walidację przed wdrożeniem i procedurę wycofania.
Dane przekazywane modelom ograniczamy do minimum
Routing modeli uwzględnia typ zadania, poufność, lokalizację przetwarzania i warunki dostawcy. Materiały oznaczone jako poufne nie mogą być wysyłane do zewnętrznego modelu bez właściwej podstawy, umowy i ustawień. Rejestrujemy kategorię danych i dostawcę, nie ujawniając sekretów w logach.
Zgłoszenia i incydenty
Podejrzenie naruszenia, wycieku sekretu lub nieautoryzowanej publikacji należy przesłać na biuro@samael.pl z dopiskiem „SECURITY”. Potwierdzamy przyjęcie i uruchamiamy ocenę zakresu, ograniczenie skutków, zabezpieczenie dowodów oraz obowiązki notyfikacyjne wynikające z prawa i umowy.
Bezpieczeństwo jest wspólną odpowiedzialnością
- Rankora odpowiada za zabezpieczenie platformy i własnych procesów w uzgodnionym zakresie.
- Klient odpowiada za legalność danych, aktualne konta użytkowników i właściwy zakres nadanych dostępów.
- Dostawcy chmurowi, CMS i LLM działają na własnych warunkach, dlatego ich ryzyko jest monitorowane i ujawniane.
- Żaden opis bezpieczeństwa nie jest gwarancją całkowitego braku incydentów.