Megbízhatóság és biztonság

1. Biztonsági architektúra

• Titkosítás inaktív állapotban

  Minden érzékeny adat, beleértve az összekötő hitelesítő adatokat és az identitásszolgáltató tanúsítványait, AES-256-GCM titkosítással titkosított inaktív állapotban.

• Titkosítás szállítás közben

  Az összes forgalom TLS 1.3-as verzión (HTTPS) keresztül történik, HSTS-sel érvényesítve, így a böngészők megtagadják a nem biztonságos csatlakozásokat.

• Hitelesítés és MFA

  Bejelentkezés Google-lel vagy e-mail és jelszóval — legalább 12 karakter, csak sózott scrypt-kivonatként tárolva, korlátozott bejelentkezési kísérletekkel. Kétfaktoros hitelesítés (TOTP plusz tartalék kódok) mindenki számára elérhető és szervezeti szinten megkövetelható; az Enterprise verzió SAML-alapú egyszeri bejelentkezést (Okta, Azure AD, Google Workspace, OneLogin) ad, valós idejű üzembe helyezéssel és visszajátszási védelemmel.

• Szerepkör-alapú hozzáférés-vezérlés

  Beépített Tulajdonos, Rendszergazda és Közönség szerepkörök, valamint részletgazdag egyéni szerepkörök lehetővé teszik a legkisebb jogosultság-alapú hozzáférés biztosítását. Az engedélyek érvényesítésre kerülnek minden kérésnél.

• Munkamenet és hálózati vezérlések

  Konfigurálható munkamenet-korlát és tétlenség-időtúllépési szabályzatok, valamint IP-cím-engedélyezési lista, amely korlátozza a hozzáférést az általad megbízható tartományokra (Enterprise).

• Perem-védelem

  A Cloudflare Web Application Firewall és DDoS-védelem az alkalmazás előtt, biztonsági fejlécekkel (CSP, HSTS, kerethiány) minden válaszban.

2. Adatkezelés

A monitorozás csak olvasható. A platform a legszűkebb hatókörrel csatlakozik, amely lehetővé teszi az álláspontod értékelését, soha nem szükséges a fájlok tartalma, és nem változtat semmit a forrásaidban, hacsak nem kapcsolod be az automatikus szervizelést.

• Csak olvasható monitorozás

  Az összekötők csak olvasható hatókörön keresztül monitoroznak. A Google Workspace-nél a vizsgálat a drive.metadata.readonly-on fut — az megosztási metaadatokat olvashat, fájltartalmakat nem. Az írási hozzáférés csak automatikus szervizeléshez létezik: alapértelmezés szerint ki van kapcsolva, összekötőnként külön adható meg, és csak hozzáférés visszavonására vagy csökkentésére korlátozódik.

• Csak metaadat és megállapítások

  Tárolunk engedélyek metaadatait, a hozzáférési gráfot és az ebből származó megállapításokat. Nem tároljuk, indexeljük vagy továbbítjuk a dokumentumaid tartalmát.

• Konfigurálható megőrzés

  A működési adatok az adatmegőrzési szabályzat szerint következnek — például legfeljebb 24 hónapos auditnapló és 90 napos időablak az átmeneti adatokhoz — biztonsági alsó korláttal, hogy semmit sem törlünk véletlenül.

• Önkiszolgáló exportálás és törlés

  A tulajdonosok exportálhatják szervezetük adatait és maguk kérhetik a fiók törlését. A törlés egy türelmi időszakon fut, majd eltávolítja az adatokat.

• AI kitettségi ellenőrzés (csak nyilvános rekordok)

  Az ingyenes AI kitettségi ellenőrzés csak a Ön által megadott tartomány nyilvános DNS-rekordjait olvassa be nyilvános DNS-feloldókon keresztül (Cloudflare, fallbackként a Google nyilvános DNS-feloldójával). Nem csatlakozik a tartomány kiszolgálóihoz vagy weboldalához (a nyilvános feloldó normál DNS-feloldás során szokásosan lekérdezheti a tartomány névkiszolgálóit), és csak egy pontszámot, számlákat és állapotjelzőket ad vissza: nincsenek szolgáltatásnevek, altartományok vagy rekordértékek. A mentett eredmény 24 óra után, a megosztási kártya pedig 30 nap után törlésre kerül; a másolatok akár 56 napig maradhatnak a titkosított biztonsági másolatokban. A kiválasztott e-mail-címet tartalmazó bejegyzés 48 órán belül törlésre kerül, hacsak nem megerősíti egy hivatkozással, és legkésőbb 12 hónap után; az elküldött e-mailek kézbesítési rekordként legfeljebb 30 napig megmaradnak.

3. Megfelelőség

A vezérléseinket és a termék által generált bizonyítékokat a fő keretrendszerekre leképezzük. Ezek a leképezések segítségül szolgálnak a saját auditodnak — a 8200.dev nincs tanúsítva ezen szabványok ellen, és soha nem fogjuk ezt állítani.

• Keretrendszer-leképezés

  A vezérlések és termékbizonyítékok az SOC 2, ISO 27001, GDPR, HIPAA és NIST CSF 2.0 keretrendszerre vannak leképezve. Az alkalmazáson belüli megfelelőségi irányítópult mind az öt keretrendszert egyszerre követi nyesési elemzésével és exportálható bizonyítékcsaládjával.

• Google API korlátozott felhasználás

  A Workspace API-okból kapott nyers vagy származtatott felhasználói adatok felhasználása megfelel a Google User Data Policy-nak, beleértve a Limited Use követelményeit. A Workspace adatokat csak az engedélyezett biztonsági funkciók biztosítására és javítására használjuk — soha nem használjuk általánosított AI vagy gépi tanulás modellek fejlesztésére, javítására vagy betanítására, és soha nem továbbítjuk őket harmadik féltől származó AI vagy gépi tanulás eszközöknek vagy szolgáltatásoknak.

• Google OAuth-ellenőrzés

  A Google jóváhagyta a 8200.dev OAuth-ellenőrzését 2026-08-23-án az általa kért három hatókörhöz: drive.metadata.readonly a vizsgálathoz, admin.directory.user.readonly és admin.directory.user.security az opcionális harmadik féltől származó alkalmazás auditához. Bármely új hatókör — beleértve azt az írási hatókört, amelyre az automatikus szervizelésnek szüksége lenne a Google Workspace-ben — szükséges az új ellenőrzés, mielőtt használnánk. 2026-09-21-én a Google jóváhagyta a külön, opcionális 8200.dev Admin Insights alkalmazást annak két csak olvasható hatóköréhez: cloud-identity.policies.readonly és admin.directory.domain.readonly.

4. AI-ügynök felelősségvállalás

A 2026-os felelősségváltás az AI-t telepítő vállalatot teszi felelőssé azért, amit az ügynökei csinálnak. A 8200.dev azt a bizonyítékot állítja elő, amellyel irányítottad a hozzáférést. Ez támogatja a megfelelőségi álláspontod; nem jogi tanács, és nem garantálja az egyetlen eredményt sem.

• Teljes ügynök-leltár

  Az Agent Guard egy élő leltárat tart fenn minden AI-ügynökről és szolgáltatás fiókról, amely elérheti az adataidat, valamint a shadow AI mögött lévő harmadik féltől származó OAuth-engedélyekről — nem tudod irányítani azt, amit nem látsz.

• Megváltozhatatlan hozzáférési rekord

  Minden hozzáférési döntést és módosítást egy exportálható auditnapló (CSV / JSON / CEF / SIEM) rögzíti, így rekonstruálhatod, mit érhetett el egy AI-ügynök, és mikor.

• Igazolható irányítás

  A megelőzési szabályok, hozzáférés-kényszerítés és dokumentált kockázat-ütemterv aktív vezérlést és reagálást mutatnak — a védhető AI-irányítási program mögöttes bizonyítéka.

5. Üzemeltetési biztonság

• Folyamatos állapot-ellenőrzések

  Automatizált állapot-ellenőrzések futnak ötpercenként a platform, adatbázis és összekötők között, és automatikusan megnyitnak egy incidenst, amikor valami romlásnak indul.

• Nyilvános állapot-oldal

  A nyilvános állapot-oldal közzéteszi az üzemidő-történetet és az incidens-frissítéseket, így mindig ismered az aktuális állapotot.

• Automatizált tesztelés

  A kódbázis több mint 4000 automatizált teszttel van felépítve, amelyek minden módosításnál futnak, így a regressziók a kiadás előtt azonosíthatók.

• Auditnapló és SIEM-exportálás

  A biztonsággal kapcsolatos műveletek egy megváltozhatatlan szervezeti auditnaplobban rögzítésre kerülnek, amelyet CSV, JSON vagy CEF formátumban exportálhatsz és a SIEM-be streamelhetsz (Enterprise).

6. Szolgáltatók

Kis számú, szűrt szolgáltatót használunk. Mindegyik csak az adatokat kapja meg, amelyekre a funkciók végrehajtásához szüksége van.

7. Kapcsolat

Biztonsági dokumentációra, szolgáltató listára vagy szállítói felülvizsgálat válaszaira van szükséged? E-mail: [email protected].