Tillit og sikkerhet

1. Sikkerhetsarkitektur

• Kryptering i ro

  Alle sensitive data, inkludert konnektørlegitimasjon og sertifikater fra identitetsleverandører, krypteres i ro med AES-256-GCM.

• Kryptering under transport

  All trafikk serveres over TLS 1.3 (HTTPS), med HSTS aktivert slik at nettlesere nekter usikre forbindelser.

• Autentisering og MFA

  Logg inn med Google, eller med e-post og passord — minst 12 tegn, lagret kun som saltede scrypt-hashes, med hastighetsbegrensede påloggingsforsøk. To-faktor-autentisering (TOTP pluss sikkerhetskoder) er tilgjengelig for alle og kan kreves i hele organisasjonen; Enterprise legger til SAML (kommer snart) enkel pålogging (Okta, Azure AD, Google Workspace, OneLogin) med just-in-time-etablering og beskyttelse mot assertion-replay.

• Rollebasert tilgangskontroll

  Innebygde roller for eier, administrator og visning, samt granulære egendefinerte roller lar deg gi minste-rettighets-tilgang. Tillatelser håndheves på hver forespørsel.

• Sesjons- og nettverkskontroller

  Konfigurerbar maksimal sesjonvarighet og inaktivitetstidspolitikk, pluss IP-tillateliste som begrenser tilgang til områder du stoler på (Enterprise).

• Kantsikring

  Cloudflare tilbyr en Web Application Firewall og DDoS-beskyttelse foran applikasjonen, med sikkerhetshoder (CSP, HSTS, frame-deny) på hver respons.

2. Datahåndtering

Overvåking er skrivebeskyttet. Plattformen kobler seg til med de smaleste mulige omfang som tillater den å vurdere sikkerhetsstilstanden, den trenger aldri innholdet i filene dine, og den endrer ingenting i kildene dine med mindre du aktiverer automatisk korrigering.

• Skrivebeskyttet overvåking

  Konnektører overvåker gjennom skrivebeskyttede omfang. For Google Workspace kjøres skanningen på drive.metadata.readonly — den kan lese delingsmetadata, ikke filinnhold. Skrivtilgang finnes kun for automatisk korrigering: deaktivert som standard, gitt separat per konnektør, og begrenset til å tilbakekalle eller redusere tilgang.

• Kun metadata og funn

  Vi lagrer tillatelses-metadata, tilgrafens struktur og funnene vi utleder fra det. Vi lagrer, indekserer eller sender ikke innholdet av dokumentene dine.

• Konfigurerbar oppbevaring

  Operasjonelle data følger oppbevaringspolicyen din — for eksempel inntil 24 måneder med revisjonhistorikk og et 90-dagers vindu for midlertidige data — med et sikkerhetsgulv slik at ingenting blir slettet ved et uhell.

• Selvbetjent eksport og sletting

  Eiere kan eksportere organisasjonens data og be om kontosletting selv. Sletting kjøres på et henstandsvindu og fjerner deretter dataene.

• AI Exposure Check (kun offentlige poster)

  Den gratis AI Exposure Check leser bare de offentlige DNS-postene for et domenenavn du angir, gjennom offentlige DNS-resolvere (Cloudflare, med Googles offentlige DNS-resolver som fallback). Den kobler seg ikke til domenes servere eller nettsted selv (den offentlige resolveren kan spørre domenets navnservere, som normal DNS-oppløsning gjør), og den returnerer bare en poengsum, tellinger og statusflagg: ingen tjenestenavn, underdomener eller postverdier. Et lagret resultat slettes etter 24 timer og et delekort etter 30 dager; kopier kan holdes i våre krypterte sikkerhetskopier i opptil cirka 56 dager. Oppføringen som inneholder en e-postadresse du velger å oppgi, blir slettet innen 48 timer hvis du ikke bekrefter den via en lenke, og senest etter 12 måneder; e-postene vi sender, oppbevares som en leveringspost i opptil 30 dager.

3. Samsvar

Vi kartlegger kontrollene våre og bevisene som produktet genererer, til de store rammene. Dette er kartlegginger for å hjelpe din egen revisjon — 8200.dev er ikke sertifisert etter disse standardene, og vi vil aldri hevde det motsatte.

• Rammekartlegging

  Kontroller og produktbevis er kartlagt til SOC 2, ISO 27001, GDPR, HIPAA og NIST CSF 2.0. Compliance-dashbordet i appen sporer alle fem samtidig med gapanalyse og en eksporterbar bevissamling.

• Begrenset bruk av Google API

  Bruken av råe eller avledede brukerdata mottatt fra Workspace API-er vil følge Google User Data Policy, inkludert kravene for begrenset bruk. Workspace-data brukes kun til å tilby og forbedre sikkerhetsfunksjonene du aktiverer — vi bruker det aldri til å utvikle, forbedre eller trene generaliserte kunstig intelligens- eller maskinlæringsmodeller, og vi overfører det aldri til tredjepartsverktøy eller tjenester for kunstig intelligens eller maskinlæring for treningsformål.

• Google OAuth-verifisering

  Google godkjente 8200.dev's OAuth-verifisering på 2026-08-23 for de tre omfangene den ber om: drive.metadata.readonly for skanningen, og admin.directory.user.readonly og admin.directory.user.security for den valgfrie revisjonen av tredjeparts-apper. Ethvert nytt omfang — inkludert skrivomfanget som automatisk korrigering ville trenge for Google Workspace — krever en ny verifisering før vi bruker det. Den 2026-09-21 godkjente Google også den separate, valgfrie 8200.dev Admin Insights-appen for dens to skrivebeskyttede omfang: cloud-identity.policies.readonly og admin.directory.domain.readonly.

4. Ansvar for kunstig intelligens-agent

Ansvarsskiftet i 2026 gjør virksomheten som distribuerer kunstig intelligens ansvarlig for hva agentene gjør. 8200.dev produserer bevisene for at du styrte denne tilgangen. Dette støtter samsvarsposisjonen din; det er ikke juridisk råd og garanterer ingen utfall.

• Fullstendig agent-inventar

  Agent Guard opprettholder en live-inventar over hver kunstig intelligens-agent og tjenestekonto som kan nå dataene dine, pluss tredjepartssamtykket bak skjult kunstig intelligens — du kan ikke styre det du ikke kan se.

• Uforanderlig tilgangspost

  Hver tilgangsbeslutning og endring registreres i en eksporterbar revisjonsspor (CSV / JSON / CEF / SIEM), slik at du kan rekonstruere hva en kunstig intelligens-agent kunne nå, og når.

• Påvisbar styring

  Forebyggingsregler, tilgangsthvanging og en dokumentert risikotidslinje viser aktiv kontroll og respons — bevisene bak et forsvarlig kunstig intelligens-styrings-program.

5. Operasjonell sikkerhet

• Kontinuerlige helsetilstandssjekker

  Automatiserte helsetilstandssjekker kjøres hvert femte minutt på tvers av plattformen, databasen og konnektørene, og åpner en hendelse automatisk når noe forringes.

• Offentlig statussside

  En offentlig statussside publiserer oppetidshistorikk og hendelsesoppdateringer slik at du alltid vet den nåværende tilstanden.

• Automatisert testing

  Kodegrunnlaget er dekket av mer enn 4000 automatiserte tester som kjøres ved hver endring, så regresjoner oppdages før lansering.

• Revisjonlogging og SIEM-eksport

  Sikkerhetskritiske handlinger registreres i en uforanderlig revisjonsspor per organisasjon som du kan eksportere som CSV, JSON eller CEF, og strømme til SIEM-systemet ditt (Enterprise).

6. Databehandlere

Vi bruker et lite sett med verifiserte databehandlere. Hver mottar kun dataene den trenger for å utføre sin funksjon.

7. Kontakt

Trenger du sikkerhetsdokumentasjon, en liste over databehandlere, eller svar til en leverandørgjennomgang? Send e-post til [email protected].