Stashek

5. Security Measures

Środki techniczne i organizacyjne

Stashek stosuje środki techniczne i organizacyjne dobierane odpowiednio do charakteru Usługi, zakresu przetwarzanych informacji oraz zidentyfikowanego ryzyka.

5.1. Szyfrowanie transmisji

Transmisja danych pomiędzy obsługiwanymi komponentami Stashek jest zabezpieczana za pomocą aktualnych protokołów szyfrowanych, w szczególności HTTPS/TLS.

5.2. Szyfrowanie przechowywanych danych

Dane przechowywane w podstawowych systemach produkcyjnych są szyfrowane w spoczynku przy wykorzystaniu mechanizmów zapewnianych przez dostawcę infrastruktury.

5.3. Kontrola dostępu

Dostęp do systemów produkcyjnych jest ograniczony do upoważnionych osób zgodnie z zasadą minimalnych wymaganych uprawnień.

Uprawnienia są nadawane zgodnie z rolą użytkownika i podlegają okresowemu przeglądowi.

5.4. Uwierzytelnianie

Dostęp administracyjny zabezpieczony jest poprzez silne uwierzytelnianie.

Hasła, jeżeli są przechowywane przez Stashek, nie są przechowywane w postaci jawnej.

5.5. Izolacja klientów

Dane klientów są logicznie oddzielone i dostęp do nich jest kontrolowany poprzez mechanizmy autoryzacji aplikacji.

5.6. Zarządzanie sekretami

Klucze API, hasła oraz inne dane uwierzytelniające systemów produkcyjnych są przechowywane w przeznaczonych do tego mechanizmach i nie powinny znajdować się w publicznym kodzie źródłowym.

5.7. Kopie zapasowe

Stashek wykonuje kopie zapasowe danych kluczowych dla działania Usługi.

Kopie zapasowe podlegają kontrolowanej retencji oraz ograniczeniom dostępu.

5.8. Monitoring

Systemy produkcyjne mogą być monitorowane w zakresie:

  • dostępności;
  • błędów aplikacji;
  • anomalii;
  • prób nieuprawnionego dostępu;
  • wykorzystania zasobów.

5.9. Aktualizacje i podatności

Stashek stosuje proces aktualizowania kluczowych zależności i komponentów infrastruktury.

Istotne podatności bezpieczeństwa są analizowane i usuwane zgodnie z poziomem ryzyka.

5.10. Logowanie zdarzeń

Istotne operacje administracyjne oraz zdarzenia bezpieczeństwa mogą być rejestrowane w celu wykrywania nadużyć, diagnostyki oraz wyjaśniania incydentów.

5.11. Reakcja na incydenty

Stashek utrzymuje proces reagowania na incydenty bezpieczeństwa obejmujący:

  1. identyfikację;
  2. ograniczenie skutków;
  3. analizę;
  4. usunięcie przyczyny;
  5. przywrócenie działania;
  6. odpowiednią komunikację z zainteresowanymi podmiotami.

5.12. Bezpieczeństwo AI

Stashek stosuje odpowiednie zabezpieczenia mające ograniczać ryzyka związane z wykorzystaniem modeli AI, w tym — w zależności od dostępnych funkcjonalności:

  • ograniczenia zakresu danych przekazywanych modelom;
  • separację danych klientów;
  • kontrolę dostępu do baz wiedzy;
  • ograniczenia dotyczące wykonywania narzędzi i integracji;
  • ochronę przed nieautoryzowanym wykonaniem operacji;
  • mechanizmy ograniczające skutki prompt injection;
  • możliwość konfiguracji instrukcji systemowych;
  • kontrolę uprawnień do zewnętrznych źródeł danych.

Żaden system AI nie jest całkowicie odporny na błędne lub niepożądane odpowiedzi. Klient powinien dostosować zakres uprawnień asystenta do ryzyka danego zastosowania.

5.13. Retencja i usuwanie

Dane są przechowywane przez czas wynikający z konfiguracji, umowy lub obowiązujących przepisów.

Po upływie okresu retencji dane są usuwane albo anonimizowane zgodnie z obowiązującymi procedurami.

5.14. Personel

Osoby posiadające dostęp do danych są zobowiązane do zachowania poufności.

Zakres dostępu ograniczany jest do zakresu niezbędnego do wykonywania ich obowiązków.

5.15. Przeglądy bezpieczeństwa

Środki bezpieczeństwa są okresowo przeglądane i mogą być aktualizowane wraz z rozwojem Usługi, zmianą technologii oraz zmianami poziomu ryzyka.

Kontakt dotyczący bezpieczeństwa: [email protected]