Kepercayaan & Keamanan

1. Arsitektur Keamanan

• Enkripsi saat istirahat

  Semua data sensitif, termasuk kredensial konektor dan sertifikat penyedia identitas, dienkripsi saat istirahat dengan AES-256-GCM.

• Enkripsi dalam perjalanan

  Semua lalu lintas disajikan melalui TLS 1.3 (HTTPS), dengan HSTS yang diterapkan sehingga browser menolak untuk terhubung secara tidak aman.

• Autentikasi & MFA

  Masuk dengan Google, atau dengan email dan kata sandi — minimal 12 karakter, disimpan hanya sebagai hash scrypt bergaram, dengan percobaan masuk terbatas kecepatan. Autentikasi dua faktor (TOTP plus kode cadangan) tersedia untuk semua orang dan dapat diperlukan di seluruh organisasi; Enterprise menambahkan single sign-on (SSO) SAML (segera hadir) (Okta, Azure AD, Google Workspace, OneLogin) dengan penyediaan just-in-time dan perlindungan replay pernyataan.

• Kontrol akses berbasis peran

  Peran Owner, Admin, dan Viewer bawaan ditambah peran kustom berbutir halus memungkinkan Anda memberikan akses least-privilege. Izin diterapkan pada setiap permintaan.

• Kontrol sesi & jaringan

  Kebijakan durasi maksimum sesi yang dapat dikonfigurasi dan idle-timeout, ditambah IP allowlisting yang membatasi akses ke rentang yang Anda percayai (Enterprise).

• Perlindungan edge

  Cloudflare menyediakan Web Application Firewall dan perlindungan DDoS di depan aplikasi, dengan header keamanan (CSP, HSTS, frame-deny) pada setiap respons.

2. Penanganan Data

Pemantauan adalah read-only. Platform terhubung dengan cakupan terbatas yang memungkinkannya menilai postur Anda, tidak pernah memerlukan isi file Anda, dan tidak mengubah apa pun di sumber Anda kecuali Anda mengaktifkan auto-remediation.

• Pemantauan read-only

  Konektor memantau melalui cakupan read-only. Untuk Google Workspace, pemindaian berjalan pada drive.metadata.readonly — dapat membaca metadata berbagi, bukan isi file. Akses tulis hanya ada untuk auto-remediation: dinonaktifkan secara default, diberikan terpisah per konektor, dan terbatas pada pencabutan atau pengurangan akses.

• Metadata dan temuan saja

  Kami menyimpan metadata izin, grafik akses, dan temuan yang kami turunkan darinya. Kami tidak menyimpan, mengindeks, atau mengirimkan isi dokumen Anda.

• Retensi yang dapat dikonfigurasi

  Data operasional mengikuti kebijakan retensi Anda — misalnya hingga 24 bulan riwayat audit dan jendela 90 hari untuk data sementara — dengan lantai keselamatan sehingga tidak ada yang dihapus secara tidak sengaja.

• Ekspor & penghapusan self-serve

  Pemilik dapat mengekspor data organisasi mereka dan meminta penghapusan akun sendiri. Penghapusan berjalan pada jendela masa tenggang dan kemudian menghapus data.

• Pemeriksaan Eksposur AI (catatan publik saja)

  Pemeriksaan Eksposur AI gratis hanya membaca catatan DNS publik domain yang Anda masukkan, melalui pengurai DNS publik (Cloudflare, dengan pengurai DNS publik Google sebagai fallback). Ini tidak terhubung ke server atau situs web domain tersebut (pengurai publik dapat menanyakan server nama domain, seperti yang dilakukan resolusi DNS normal), dan hanya mengembalikan skor, hitungan, dan bendera status: tidak ada nama layanan, subdomain, atau nilai catatan. Hasil yang disimpan dihapus setelah 24 jam dan kartu bagian setelah 30 hari; salinan dapat tetap dalam cadangan terenkripsi kami hingga sekitar 56 hari. Entri yang menyimpan alamat email yang Anda pilih untuk diberikan dihapus dalam 48 jam kecuali Anda mengonfirmasinya melalui tautan, dan paling lambat setelah 12 bulan; email yang kami kirim disimpan sebagai catatan pengiriman hingga 30 hari.

3. Kepatuhan

Kami memetakan kontrol dan bukti yang dihasilkan produk ke kerangka kerja utama. Ini adalah pemetaan untuk membantu audit Anda sendiri — 8200.dev tidak disertifikasi terhadap standar ini, dan kami tidak akan pernah mengklaim sebaliknya.

• Pemetaan kerangka kerja

  Kontrol dan bukti produk dipetakan ke SOC 2, ISO 27001, GDPR, HIPAA, dan NIST CSF 2.0. Dashboard kepatuhan dalam aplikasi melacak semua lima secara berdampingan dengan analisis kesenjangan dan paket bukti yang dapat diekspor.

• Penggunaan API Google Terbatas

  Penggunaan data pengguna mentah atau turunan yang diterima dari API Workspace akan mematuhi Kebijakan Data Pengguna Google, termasuk persyaratan Penggunaan Terbatas. Data Workspace digunakan hanya untuk menyediakan dan meningkatkan fitur keamanan yang Anda aktifkan — kami tidak pernah menggunakannya untuk mengembangkan, meningkatkan, atau melatih model AI atau machine-learning yang digeneralisasi, dan kami tidak pernah mengirimkannya ke alat atau layanan AI atau ML pihak ketiga untuk tujuan pelatihan.

• Verifikasi OAuth Google

  Google menyetujui verifikasi OAuth 8200.dev pada 2026-08-23 untuk tiga cakupan yang dimintanya: drive.metadata.readonly untuk pemindaian, dan admin.directory.user.readonly serta admin.directory.user.security untuk audit aplikasi pihak ketiga opsional. Cakupan baru apa pun — termasuk cakupan tulis yang akan diperlukan auto-remediation di Google Workspace — memerlukan verifikasi baru sebelum kami menggunakannya. Pada 2026-09-21 Google juga menyetujui aplikasi 8200.dev Admin Insights terpisah dan opsional untuk dua cakupan read-only-nya: cloud-identity.policies.readonly dan admin.directory.domain.readonly.

4. Akuntabilitas Agen AI

Pergeseran tanggung jawab tahun 2026 menahan perusahaan yang menerapkan AI bertanggung jawab atas apa yang dilakukan agennya. 8200.dev menghasilkan bukti bahwa Anda mengatur akses itu. Ini mendukung postur kepatuhan Anda; itu bukan nasihat hukum dan tidak menjamin hasil apa pun.

• Inventaris agen lengkap

  Agent Guard menyimpan inventaris langsung dari setiap agen AI dan akun layanan yang dapat mencapai data Anda, ditambah hibah OAuth pihak ketiga di balik shadow AI — Anda tidak dapat mengatur apa yang tidak dapat Anda lihat.

• Catatan akses yang tidak dapat diubah

  Setiap keputusan akses dan perubahan dicatat dalam jejak audit yang dapat diekspor (CSV / JSON / CEF / SIEM), sehingga Anda dapat merekonstruksi apa yang dapat dijangkau oleh agen AI dan kapan.

• Pemerintahan yang dapat didemonstrasikan

  Aturan pencegahan, penegakan akses, dan timeline risiko yang terdokumentasi menunjukkan kontrol aktif dan respons — bukti di balik program tata kelola AI yang dapat dipertahankan.

5. Keamanan Operasional

• Pemeriksaan kesehatan berkelanjutan

  Pemeriksaan kesehatan otomatis berjalan setiap lima menit di seluruh platform, database, dan konektor, membuka insiden secara otomatis ketika sesuatu menurun.

• Halaman status publik

  Halaman status publik menerbitkan riwayat waktu henti dan pembaruan insiden sehingga Anda selalu mengetahui status saat ini.

• Pengujian otomatis

  Basis kode dicakup oleh lebih dari 4.000 tes otomatis yang berjalan pada setiap perubahan, sehingga regresi ditangkap sebelum rilis.

• Pencatatan audit & ekspor SIEM

  Tindakan yang relevan dengan keamanan dicatat dalam jejak audit per organisasi yang tidak dapat diubah yang dapat Anda ekspor sebagai CSV, JSON, atau CEF, dan alirkan ke SIEM Anda (Enterprise).

6. Subprosesor

Kami menggunakan set kecil subprosesor yang telah disaring. Masing-masing menerima hanya data yang diperlukan untuk melakukan fungsinya.

7. Kontak

Butuh dokumentasi keamanan, daftar subprosesor, atau jawaban untuk tinjauan vendor? Email [email protected].