● Bezpečnosť a súlad s predpismi
V ROSTER žijú konkurenčné agentúry vedľa seba. Izolácia preto nie je voliteľné nastavenie: je to samotná architektúra produktu. A keďže sľub o bezpečnosti bez dôkazu nemá cenu, tu je presne to, čo zaručujeme, aj to, čo nezaručujeme.
Každý záznam nesie identitu vašej agentúry a izolácia sa vynucuje na DVOCH nezávislých úrovniach: v samotnej aplikácii a v jadre úložného stroja, ktorý odmietne vydať dáta inej agentúry, aj keby si ich aplikácia vyžiadala. Pred každým nasadením to dokazuje sada testov: ak zlyhá čo i len jeden, vydanie sa zruší.
Servery, dokumenty aj zálohy sú umiestnené v EÚ a podliehajú európskemu právu. Vaše obchodné dáta sa mimo Únie neprenášajú. Zoznam našich ďalších sprostredkovateľov je zverejnený a každé doplnenie oznamujeme 30 dní vopred.
Vaše najcitlivejšie dáta (bankové spojenie, fakturačné identity, poznámky, koncepty zmlúv) sú zašifrované (AES-256-GCM) kľúčom, ktorý patrí VAŠEJ agentúre, je uložený vo vyhradenej službe na správu kľúčov, pravidelne sa obnovuje a pri incidente sa dá okamžite vymeniť. Žiadne dve agentúry nikdy nezdieľajú jeden kľúč. Netvrdíme však, že je zašifrované „všetko“: to, v čom sa musí vyhľadávať, triediť alebo počítať (mená, mestá, sumy), zostáva pre produkt použiteľné a chráni to izolácia opísaná vyššie. Tvrdiť opak by bola lož.
Keď odídete, nezmažeme len riadky: ZNIČÍME váš kľúč. Bez neho sa zašifrované dáta stanú natrvalo nečitateľnými, a to aj v už vytvorených zálohách, na ktorých vyčistenie by nikto nemohol „zabudnúť“. Aplikácia navyše kľúč zničiť nesmie: túto právomoc má samostatná identita mimo jej dosahu. Prienik do služby preto dáta zákazníkov zmazať nedokáže.
Naše servery zálohu ZAPÍSAŤ dokážu, no prečítať ani zmazať ju nedokážu. Napadnutý server preto vaše zálohy nedokáže ani odniesť, ani zničiť, čo je presne scenár ransomvéru. Obnoviť ich vie jedine kľúč uložený mimo servera a obnovu testujeme s predpokladom, že server je stratený.
Prístupové údaje, ktoré naše služby používajú, nežijú ani na disku, ani v databáze: uchováva ich vyhradený trezor. Ukradnutý disk, kópia servera, export databázy: nič použiteľné z nich nevypadne.
Citlivé akcie sa zapisujú do registra, do ktorého sa dá LEN PRIDÁVAŤ a ktorý je kryptograficky reťazený: nič v ňom nemožno zmeniť ani zmazať, ani nami, pretože to úložný stroj odmietne. Zaznamenáva sa v ňom každý zásah našej podpory vo vašom účte a výpis si môžete kedykoľvek vyžiadať.
Prihlásite sa prístupovým kľúčom: stačí odtlačok prsta, tvár alebo PIN vášho zariadenia. Súkromný kľúč nikdy neopustí zariadenie a NEDÁ SA zopakovať na podvodnej stránke: je to jediná štrukturálna ochrana pred phishingom, kým jednorazový kód stačí prepísať do falošnej stránky. Popri ňom: dvojfaktorové overenie TOTP so záložnými kódmi, uzamknutie kódom PIN a relácie odvolateľné zariadenie po zariadení. Pokusy o prihlásenie navyše brzdíme priamo pri zdroji: opakované pokusy sa postupne spomaľujú a pri podozrivom správaní pribudne kontrola, či ide o človeka.
Každý člen vidí a upravuje len svoj okruh: pridelených interpretov, presné oprávnenia, zámky po podpise. Portál interpreta nikdy neodhalí maržu agentúry.
Samoobslužný export vašich dát, a to aj vtedy, keď je naplánovaný výmaz, pretože prenosnosť sa nevymieňa za uhradené predplatné. Výmaz vykonáme na požiadanie. Dohoda o spracúvaní údajov (článok 28) je súčasťou našich podmienok, o žiadny dodatok netreba prosiť. Uchovávanie: po 6 mesiacoch nečinnosti sa naplánuje výmaz a upozorníme vás 15 dní vopred; váš kľúč sa zničí 7 dní po vymazaní.
● Metóda
Automatizovaná sada testov overuje, že žiadna agentúra nedokáže čítať ani meniť dáta inej. Ak zlyhá čo i len jeden test, nasadenie sa odmietne. Nie je to varovanie, ktoré by sa dalo len tak prejsť.
Bežiaca služba dokáže šifrovať aj dešifrovať, ale NEDOKÁŽE ani zničiť kľúč, ani prečítať zálohu: tieto právomoci patria samostatným identitám mimo jej dosahu. Napadnutie aplikácie preto na zničenie vašich dát nestačí, a presne o to ide.
Známe zraniteľnosti v našom reťazci závislostí kontrolujeme pri každom vydaní a bezpečnostné záplaty nasadzujeme.
Vyhradený kanál pre bezpečnostných výskumníkov: zraniteľnosť nahláste na [email protected]. Prijatie potvrdíme, priebežne vás informujeme až do opravy a voči výskumníkom konajúcim v dobrej viere nepodnikáme žiadne kroky.
Bezplatné skúšobné obdobie
Vytvorte si priestor za dve minúty a prvé termíny riaďte ešte dnes: až 30 dní bezplatného skúšobného obdobia, bez platobnej karty.