Podejście do bezpieczeństwa
Sytance stosuje zabezpieczenia techniczne i organizacyjne w hostowanej Usłudze, cyklu rozwoju oprogramowania i działaniach pomocniczych. Zabezpieczenia dobieramy i weryfikujemy z uwzględnieniem przetwarzanych informacji, architektury Usługi, wiarygodnych zagrożeń i potencjalnego wpływu na klientów.
Ta strona zawiera publiczny przegląd, a nie raport z audytu, certyfikację, wynik testu penetracyjnego ani umowny wykaz zabezpieczeń. Wymagania dotyczące bezpieczeństwa, potwierdzenia stosowanych zabezpieczeń, lokalizacji danych lub zawiadomień specyficzne dla Klienta należy uzgodnić w ramach właściwego procesu handlowego.
Tożsamość i dostęp
- Dostęp opiera się na indywidualnych kontach użytkowników i uprawnieniach przydzielanych na podstawie ról.
- Administratorzy Klienta zarządzają członkostwem i przypisywaniem ról w swojej organizacji i obszarach roboczych.
- Żądania dotyczące Treści Klienta są sprawdzane pod kątem reguł dostępu na poziomie dzierżawcy, obszaru roboczego i obiektu.
- Sesje uwierzytelniania korzystają z plików cookie HTTP-only ustawianych przez serwer i produkcyjnych zabezpieczeń przed żądaniami między witrynami.
- Upoważniony administracyjny dostęp pomocy technicznej jest ograniczony do środowiska danego Klienta i rejestrowany.
Ochrona dzierżawców i danych
- Zabezpieczenia aplikacji i bazy danych pomagają oddzielać zapisy różnych dzierżawców.
- Produkcyjny ruch przeglądarki i API jest chroniony podczas przesyłania za pomocą HTTPS na publicznym punkcie dostępu do Usługi.
- Pliki i multimedia Klienta są udostępniane za pośrednictwem uwierzytelnionych ścieżek dostępu, a nie nieograniczonych łączy publicznych.
- Wybrane podglądy i pliki do pobrania korzystają z łączy dostępu ograniczonych czasowo.
- Znane pola z danymi uwierzytelniającymi, tokenami, plikami cookie i tajemnicami są wyłączane ze zwykłych dzienników aplikacji lub maskowane przed ich zapisaniem.
- Dostęp do danych ogranicza się do zakresu funkcji Usługi, instrukcji Klienta, potrzeby pomocy technicznej lub obowiązku operacyjnego, który go wymaga.
Bezpieczny rozwój i zarządzanie zmianami
- Podczas projektowania i przeglądu odpowiednich funkcji uwzględniamy wymagania bezpieczeństwa i architekturę.
- Przegląd kodu i kontrole automatyczne pomagają wykrywać wady przed wdrożeniem.
- Zmiany są wprowadzane z użyciem kontrolowanych praktyk budowania i wdrażania oraz z oddzieleniem prac rozwojowych od działania środowiska produkcyjnego.
- Zależności i zgłoszone podatności oceniamy pod kątem ich istotności, możliwości wykorzystania, ekspozycji i potencjalnego wpływu na Usługę.
Monitorowanie i reagowanie na incydenty
Zdarzenia dotyczące uwierzytelniania, uprawnień, administracji, aplikacji i infrastruktury, które mają znaczenie dla bezpieczeństwa, są w odpowiednich przypadkach rejestrowane lub monitorowane w celu wspierania wykrywania, dochodzeń i rozliczalności.
Uwierzytelnianie i wybrane publiczne punkty końcowe korzystają z limitów liczby żądań i zabezpieczeń zapobiegających nadużyciom. Podejrzane incydenty oceniamy w ramach procesu obejmującego wstępną kwalifikację, ograniczenie skutków, dochodzenie, działania naprawcze, odzyskiwanie sprawności i wnioski na przyszłość.
Jeśli incydent wymaga powiadomienia Klienta lub organu regulacyjnego, przekażemy takie powiadomienie zgodnie z właściwym prawem i odpowiednią umową z Klientem.
W przypadku podejrzenia przejęcia konta skontaktuj się z support@sytance.com; podejrzenie podatności lub ujawnienia danych zgłoś na security@sytance.com. Podaj konto lub zasób, którego dotyczy sprawa, czas i zaobserwowane działanie, ale nie wysyłaj haseł, tokenów sesji ani zbędnych plików Klienta. Możemy zaproponować bezpieczny sposób przekazania dodatkowych dowodów.
Jeśli przetwarzamy w imieniu Klienta dane osobowe objęte incydentem, zawiadomienia o incydencie i współpraca podlegają załącznikowi A do Warunków korzystania z usługi. Nie wstrzymujemy wstępnego zawiadomienia do czasu ustalenia wszystkich faktów; kolejne informacje przekazujemy w miarę postępu dochodzenia.
Przetwarzanie wspomagane przez AI
Działania wspomagane przez AI odbywają się w uwierzytelnionych procesach produktu. Usługa przesyła instrukcje i kontekst obszaru roboczego właściwe dla zamówionej funkcji, a uzyskany wynik nadal podlega weryfikacji przez Klienta.
Zarządzanie podatnościami
Potencjalne podatności mogą zostać wykryte podczas kontroli w procesie rozwoju, monitorowania operacyjnego, analizy informacji o zależnościach, obsługi zgłoszeń klientów lub badaczy oraz ukierunkowanych ocen bezpieczeństwa. Ustalenia weryfikujemy i priorytetyzujemy na podstawie czynników ryzyka, takich jak dotkliwość, możliwość wykorzystania, ekspozycja, objęte dane i użytkownicy, dowody aktywnego wykorzystywania oraz dostępne środki ograniczające ryzyko.
Zewnętrzni badacze mogą zgłaszać podejrzenia podatności w ramach naszego procesu skoordynowanego ujawniania. Polityka określa zasady upoważnionych badań, wymagania dotyczące zgłoszeń, docelowe terminy odpowiedzi, ochronę badaczy i koordynację ujawniania.
Pytania o bezpieczeństwo i informacje potwierdzające
Klienci i potencjalni klienci mogą zadawać pytania dotyczące bezpieczeństwa lub prosić o informacje potwierdzające, pisząc na hello@sytance.com albo kontaktując się ze swoją zwykłą osobą biznesową. Zakres żądań powinien odpowiadać ich potrzebom. Obecni klienci powinni zgłaszać podejrzenie przejęcia konta lub problem bezpieczeństwa dotyczący Usługi na support@sytance.com.
Podejrzenie podatności zgłoś poufnie na security@sytance.com zgodnie z Polityką ujawniania podatności.
Informacje dotyczące bezpieczeństwa mogą być udostępniane na podstawie proporcjonalnych ustaleń dotyczących poufności i dostępu, aby nie ujawniać danych innych klientów ani szczegółów technicznych możliwych do wykorzystania. Żądanie informacji potwierdzających nie upoważnia do testów penetracyjnych. Umowne prawa audytowe i ustawowe uprawnienia organów regulacyjnych nadal podlegają właściwej umowie i prawu.
