Förtroende & Säkerhet

1. Säkeretsarkitektur

• Kryptering i vila

  Alla känsliga data, inklusive anslutningsuppgifter och identitetsleverantörsertifikat, är krypterade i vila med AES-256-GCM.

• Kryptering under överföring

  All trafik serveras över TLS 1.3 (HTTPS), med HSTS aktiverat så webbläsare vägrar att ansluta osäkert.

• Autentisering & MFA

  Logga in med Google eller med e-postadress och lösenord — minst 12 tecken, lagrat endast som saltade scrypt-hash med hastighetsbegränsad inloggning. Tvåfaktorsautentisering (TOTP plus säkerhetskoder) är tillgänglig för alla och kan krävas organisationsvitt; Enterprise lägger till SAML (kommer snart) enkel inloggning (Okta, Azure AD, Google Workspace, OneLogin) med just-in-time-etablering och skydd mot assertion-repetition.

• Rollbaserad åtkomstkontroll

  Inbyggda roller Owner, Admin och Viewer plus detaljerade anpassade roller låter dig bevilja minsta behörighetsåtkomst. Behörigheter tillämpas på varje begäran.

• Sessions- och nätverkskontroller

  Konfigurerbara principper för maximal sessionslängd och inaktivitetstimeout, plus IP-vitlistning som begränsar åtkomst till intervall du litar på (Enterprise).

• Kantskydd

  Cloudflare tillhandahåller en Web Application Firewall och DDoS-skydd framför applikationen, med säkerhetshuvuden (CSP, HSTS, frame-deny) på varje svar.

2. Datahantering

Övervakning är skrivskyddad. Plattformen ansluter med de snävaste omfång som låter den bedöma din säkerhetsposition, den behöver aldrig innehållet i dina filer, och den ändrar ingenting i dina källor om du inte aktiverar automatisk åtgärd.

• Skrivskyddad övervakning

  Anslutningar övervakar genom skrivskyddade omfång. För Google Workspace körs skanningen på drive.metadata.readonly — den kan läsa delningsmetadata, inte filinnehål. Skrivåtkomst finns endast för automatisk åtgärd: av som standard, beviljas separat per anslutning, och begränsad till att återkalla eller minska åtkomst.

• Endast metadata och fynd

  Vi lagrar behörighetsmetadata, åtkomstgrafen och fynd vi härleder från den. Vi lagrar, indexerar eller överför aldrig innehållet i dina dokument.

• Konfigurerbar lagring

  Operativ data följer din lagrings­princip — till exempel upp till 24 månaders granskningshistorik och ett 90-dagars fönster för övergående data — med ett säkerhetsgolv så ingenting rensas av misstag.

• Självbetjäning export & radering

  Ägare kan exportera sin organisations data och begära kontoborttagning själva. Radering körs på ett respitfönster och tar sedan bort datan.

• AI Exposure Check (endast offentliga poster)

  Den kostnadsfria AI Exposure Check läser endast de offentliga DNS-posterna för en domän som du anger, genom offentliga DNS-upplösare (Cloudflare, med Googles offentliga DNS-upplösare som reserv). Den ansluter inte till domänens servrar eller webbplats själv (den offentliga upplösaren kan fråga domänens namnservrar, som normal DNS-upplösning gör), och den returnerar endast ett värde, antal och statusflaggor: inga tjänstnamn, underdomäner eller postvärden. Ett sparat resultat raderas efter 24 timmar och ett delningskort efter 30 dagar; kopior kan stanna i våra krypterade säkerhetskopior i upp till omkring 56 dagar. Posten som innehåller en e-postadress som du väljer att ge raderas inom 48 timmar om du inte bekräftar den via en länk, och senast efter 12 månader; de e-postmeddelanden vi skickar behålls som leveransposter i upp till 30 dagar.

3. Efterlevnad

Vi mappar våra kontroller och bevis som produkten genererar till de stora ramverken. Det här är mappningar för att stödja din egen revision — 8200.dev är inte certifierad mot dessa standarder, och vi kommer aldrig att göra detta påstående.

• Ramverksmappning

  Kontroller och produktbevis är mappade till SOC 2, ISO 27001, GDPR, HIPAA och NIST CSF 2.0. Instrumentpanelen för efterlevnad i appen spårar alla fem sida vid sida med analysluckor och ett exporterbart bevispaket.

• Google API Limited Use

  Användningen av råa eller härledda användardata mottagna från Workspace-API:er kommer att följa Googles användardata­policy, inklusive Limited Use-kraven. Workspace-data används endast för att tillhandahålla och förbättra de säkerhetsfunktioner du aktiverar — vi använder aldrig den för att utveckla, förbättra eller träna generaliserade AI eller maskininlärningsmodeller, och vi överför den aldrig till tredjepartsverktyg eller tjänster för AI eller ML för träningssyften.

• Google OAuth-verifiering

  Google godkände 8200.dev:s OAuth-verifiering den 2026-08-23 för de tre omfång den begär: drive.metadata.readonly för skanningen och admin.directory.user.readonly och admin.directory.user.security för den valfria tredjepartsapp-revisionen. Alla nya omfång — inklusive skrivomfånget automatisk åtgärd skulle behöva på Google Workspace — kräver en ny verifiering innan vi använder det. Den 2026-09-21 godkände Google också den separata, valfria 8200.dev Admin Insights-appen för dess två skrivskyddade omfång: cloud-identity.policies.readonly och admin.directory.domain.readonly.

4. AI Agent Accountability

Ansvarsöverföringen 2026 håller företaget som distribuerar AI ansvarigt för vad dess agenter gör. 8200.dev tillhandahåller beviset att du styrde denna åtkomst. Detta stödjer din efterlevnadsposition; det är inte juridisk rådgivning och garanterar inte något resultat.

• Fullständigt agentinventering

  Agent Guard upprätthåller ett live-lager över varje AI-agent och tjänstkonto som kan nå dina data, plus OAuth-bidrag från tredje part bakom skugga-AI — du kan inte styra det du inte kan se.

• Oföränderlig åtkomstpost

  Varje åtkomstbeslut och förändring registreras i ett exporterbart granskningslogg (CSV / JSON / CEF / SIEM), så du kan rekonstruera vad en AI-agent kunde nå och när.

• Påvisbar styrning

  Förebyggande regler, åtkomststyrning och en dokumenterad risktidslinje visar aktiv kontroll och respons — beviset bakom ett försvarbart AI-styrningsprogram.

5. Driftssäkerhet

• Kontinuerliga hälsokontroller

  Automatiserade hälsokontroller körs var femte minut på plattformen, databasen och anslutningarna, och öppnar en incident automatiskt när något försämras.

• Offentlig statusssida

  En offentlig statussida publicerar drifttidshistorik och incidentuppdateringar så du alltid vet det aktuella läget.

• Automatiserad testning

  Kodbasen täcks av mer än 4 000 automatiserade tester som körs på varje ändring, så regressioner fångas innan utgåvan.

• Granskningsloggning & SIEM-export

  Säkerhetsbeslutande åtgärder registreras i en oföränderlig revisionsproveniering per organisation som du kan exportera som CSV, JSON eller CEF, och strömma till din SIEM (Enterprise).

6. Underprocessorer

Vi använder en liten uppsättning granskade underprocessorer. Var och en får endast de data den behöver för att utföra sin funktion.

7. Kontakt

Behöver du säkerhetsdokumentation, en underprocessorlista eller svar för en leverantörsöversyn? E-posta [email protected].