Luottamus ja turvallisuus

1. Turvallisuusarkkitehtuuri

• Salaus levossa

  Kaikki arkaluontoiset tiedot, myös yhdistimet tunnistetiedot ja identiteetin toimittajan varmenteet, salataan levossa AES-256-GCM:llä.

• Salaus siirron aikana

  Kaikki liikenne toimitetaan TLS 1.3:n (HTTPS) päälle, ja HSTS on pakotettu, joten selaimet kieltäytyvät muodostamasta epäturvallis yhteyttä.

• Todennus ja MFA

  Kirjaudu sisään Googlen kautta tai sähköpostilla ja salasanalla — vähintään 12 merkkiä, tallennettu vain suolattuina scrypt-tiivistelminä, rajoitetuilla kirjautumisyrityksillä. Kaksivaiheinen todennus (TOTP ja varmuuskoodit) on kaikkien käytettävissä ja voidaan vaatia organisaatioksi; Enterprise lisää SAML (tulossa pian) kertakirjautumisen (Okta, Azure AD, Google Workspace, OneLogin) vain-aika-kunnistuksella ja väitteen toistoksuojauksella.

• Roolipohjainen pääsynvalvonta

  Sisäänrakennetut Omistaja-, Ylläpitäjä- ja Katsojaroolit sekä hienostuneita mukautettuja rooleja antavat sinulle mahdollisuuden myöntää vähimmän oikeuksien pääsy. Käyttöoikeudet pakotetaan joka pyynnössä.

• Istunto- ja verkkokontrollit

  Määritettävät istunnon enimmäiskestoaika ja vapaatoimimisaikoutumiskäytännöt sekä IP-sallittujen luetteloiden käyttö, joka rajoittaa pääsyn luottamiisi alueisiin (Enterprise).

• Reunan suojaus

  Cloudflare tarjoaa Web Application Firewall -palomuurin ja DDoS-suojan sovelluksen edessä, jossa on turvallisuuden otsikot (CSP, HSTS, kehys-kielto) jokaisessa vastauksessa.

2. Tietojen käsittely

Valvonta on vain luku -muotoa. Alusta muodostaa yhteyden kapeimman laajuuden kanssa, joka antaa sille mahdollisuuden arvioida asentoasi, se ei koskaan tarvitse tiedostojen sisältöä, eikä se muuta mitään lähteissä elleivät ota käyttöön automaattista korjausta.

• Vain luku -valvonta

  Yhdistimet valvovat vain luku -laajuuksilla. Google Workspacessa skannaus toimii osoitteella drive.metadata.readonly — se voi lukea jakamismetatietoja, ei tiedostojen sisältöä. Kirjoituspääsy on olemassa vain automaattista korjausta varten: poistettu oletuksena, myönnetty erikseen yhdistin kerrallaan, ja rajoitettu pääsyn peruuttamiseen tai vähentämiseen.

• Vain metatiedot ja havainnot

  Säilytämme oikeuksien metatietoja, pääsyn graafia ja sen tuloksia. Emme tallenna, indeksoi tai läheta tiedostojen sisältöä.

• Määritettävä säilyttäminen

  Käyttötiedot noudattavat säilyttämiskäytäntöäsi — esimerkiksi jopa 24 kuukauden tilintarkastushistoria ja 90 päivän ikkuna ohimenevien tietojen osalta — turvallisuuslattialla, joten mitään ei poisteta vahingossa.

• Itsensä palvelu vie ja poista

  Omistajat voivat viedä organisaationsa tiedot ja pyytää poistoa itse. Poisto toimii armonaikana ja poistaa sitten tiedot.

• Tekoälyn avulla suoritettu altistumisen tarkistus (vain julkiset tietueet)

  Ilmainen tekoälyn avulla suoritettu altistumisen tarkistus lukee vain verkkotunnuksesi julkisia DNS-tietueita julkisten DNS-resolverien (Cloudflare, Google-julkisen DNS-resolverin ollessa varamenetelmä) kautta. Se ei muodosta yhteyttä verkkotunnuksen palvelimiin tai verkkosivustoihin (julkinen resolveri voi kyselyä verkkotunnuksen nimipalvelimiin normaalin DNS-resoluution tapaan), ja se palauttaa vain pistemäärän, lukumäärät ja tilaliput: ei palvelun nimiä, aliverkkotunnuksia tai tietuearvoja. Tallennettu tulos poistetaan 24 tunnin jälkeen ja jaettu kortti 30 päivän jälkeen; kopiot voivat jäädä salattuihin varmuuskopiointiimme noin 56 päivää. Sähköpostiosoitteen sisältävä merkintä, jonka päätät antaa, poistetaan 48 tunnin kuluessa, ellei vahvista sitä linkillä, ja viimeistään 12 kuukauden kuluttua; lähettämämme sähköpostit säilytetään toimintotietueena enintään 30 päivää.

3. Vaatimustenmukaisuus

Kartoitamme hallinnot ja tuotteen luoman todisteen suuriin kehyksiin. Nämä ovat kartotuksia auttamaan omaa tilintarkastusta — 8200.dev ei ole sertifioitu näitä standardeja vastaan, emmekä koskaan väitä muutoin.

• Kehyksen kartoitus

  Hallinnot ja tuotteen todisteet kartoitetaan SOC 2:lle, ISO 27001:lle, GDPR:lle, HIPAA:lle ja NIST CSF 2.0:lle. Sovelluksessä oleva compliance-kojelauta seuraa kaikkia viittä rinnakkain aukkotietojen kanssa ja vietävä todistuspaketti.

• Google API rajoitettu käyttö

  Workspace-sovellusliittymistä vastaanotettujen raa'iden tai johdettujen käyttäjätietojen käyttö noudattaa Googlen käyttäjätietokäytäntöä, mukaan lukien rajoitetun käytön vaatimukset. Workspace-tietoja käytetään vain ottamasi käyttöön turvallisuusominaisuuksien tarjoamiseen ja parantamiseen — emme koskaan käytä sitä yleisten tekoäly- tai koneoppimistekniikoiden kehittämiseen, parantamiseen tai kouluttamiseen, eikä koskaan siirtää sitä kolmansien osapuolten tekoäly- tai ML-työkaluihin tai palveluihin koulutusta varten.

• Google OAuth-todistus

  Google hyväksyi 8200.dev:n OAuth-todistuksen 2026-08-23:lla kolmella pyynnöllä olevalla laajuuksella: drive.metadata.readonly skannausta varten sekä admin.directory.user.readonly ja admin.directory.user.security valinnaista kolmannen osapuolen sovelluksen tarkastusta varten. Kaikki uudet soveltamisalat — mukaan lukien kirjoituslaajuus, jonka automaattinen korjaus tarvitsisi Google Workspacella — vaativat uuden todistuksen ennen kuin käytämme sitä. 2026-09-21:ssä Google hyväksyi myös erillisen, valinnaiset 8200.dev Admin Insights -sovelluksen kahdelle vain luku -laajuukselle: cloud-identity.policies.readonly ja admin.directory.domain.readonly.

4. AI Agent -vastuu

2026 vastuumuutoksella asetetaan yritys, joka ottaa tekoäly -agentit käyttöön, vastuuseen siitä, mitä niiden tekemät tekevät. 8200.dev tuottaa todisteen siitä, että hallitsit pääsyä. Tämä tukee compliance-asentoasi; se ei ole juridista neuvontaa eikä takaa mitään tulosta.

• Täydellinen agent-inventaario

  Agent Guard pitää yllä elävää luetteloa jokaisesta tekoäly -agentista ja palvelutilistä, joka voi saada tietoihisi, sekä kolmannen osapuolen OAuth-apurahasta varjotekoälyn takaa — et voi hallita sitä, mitä et näe.

• Muuttumaton pääsyn tietue

  Jokainen pääsypäätös ja muutos tallennetaan vietävään tilintarkastuksen kirjaan (CSV / JSON / CEF / SIEM), jotta voit jäljittää, mitä tekoäly -agentti pystyi saavuttamaan ja milloin.

• Osoitettava hallinto

  Estosäännöt, pääsynvalvonta ja dokumentoitu riskitapahtuma näyttävät aktiivisen hallinnan ja vastauksen — todisteen takaa puolustettavaa tekoälyjen hallinnan ohjelmaa.

5. Operatiivinen turvallisuus

• Jatkuvat terveystarkastukset

  Automatisoitu terveystarkastuksessa toimii viiden minuutin välein koko alustan, tietokannan ja yhdistimien yli, avaamalla tapahtuman automaattisesti kun jotain heikkenee.

• Julkinen tilasivu

  Julkinen tilasivu julkaisee ylöspitohistorian ja tapahtumapäivitykset, jotta tiedät aina nykyisen tilan.

• Automatisoitu testaus

  Koodikantaa peittää yli 4 000 automatisoitu testi, jotka toimivat jokaisella muutoksella, joten regressiot kiinni ennen julkaisua.

• Tilintarkastuksen kirjaus ja SIEM-vienti

  Turvallisuuteen liittyvät toiminnot tallennetaan muuttumattomaan organisaation laajuiseen tilintarkastuksen kirjaan, jonka voit viedä CSV, JSON tai CEF-muodossa ja lähettää SIEM:iin (Enterprise).

6. Alamme toimittajat

Käytämme pientä joukkoa tarkastettuja alamme toimittajia. Jokainen saa vain tiedot, jotka se tarvitsee tehtävänsä suorittamiseen.

7. Contact

Need security documentation, a subprocessor list, or answers for a vendor review? Email [email protected].