/securityቁጥጥሮቹ፣ አንድ በአንድ

የተወሰነ።

እያንዳንዱ የዳታቤዝ ጥያቄ ወደ ድርጅትዎ እና ፕሮጀክትዎ የተወሰነ ነው

ምስጠራ፣ የመዳረሻ ቁጥጥር፣ የተከራይ መለያየት (tenant isolation) እና የኦዲት መንገድ፣ እያንዳንዳቸው የሚያስፈርምበትን ሜካኒዝም የሚጠሩ። ያላሰራናቸው ነገሮች እዚህ ላይ እንደ ክፍተቶች ተጽፈዋል።

በመጓጓዣ ላይ tls 1.2 ወይም ከዚያ በላይ
hmac-የተፈረሙ webhooks
append-only የኦዲት ረድፎች
አራት ሚናዎች፣ አምስት token ችሎታዎች

ቁጥጥሮቹ

ምስጠራ፣ መዳረሻ፣ መለያየት እና ኦዲት።

እያንዳንዱ ካርድ እውነት የሚያደርገውን ዘዴ ይጠቅስ፣ እና ክፍተትን የሚጠቅሰው ካርድ በገጹ ላይ ካሉት ሁሉም ውስጥ ጠቃሚው ነው።

AES-256

ከአስተናጋጊው (host) ከመውጣቱ በፊት የተመሰረተ (Encrypted)

የዳታቤዝ ቅጂዎች (backups) እየወጡ ሲሄዱ ይመሰረታሉ። የፋይል ቅጂ ማከማቻው በፓስዎርድ የተመሰረተ ሲሆን ቁልፉ ከሌለ ለማስኬድ ይከላከላል። የተገናኙ-አፕሊኬሽን ማስረጃዎች እና የ webhook ምስጢሮች እንደ የተመሰሩ ዓምዶች ይቀመጡ። የማስገባት (Deploy) ጥቅልሎች እንደ SHA-256 hash ተቀምጠው በመፍጠር ጊዜ አንድ ጊዜ ብቻ ይታያሉ። የቀጥተኛ ዲስኮች በድምጽ (volume) ደረጃ አልተመሰሩም፣ ምክንያቱም ያንን አላዘጋጀንም፣ እና በጥንቃቄ ምርመራ ሳይሆን እዚህ ላይ መማር አለቦት።

እየወጣ ሲሄድ የተፈረመ

ወደ ውጭ የሚወጡ webhooks በጊዜ ማህተም (timestamp) እና በአካል (body) ላይ HMAC-SHA256 ተፈርመዋል። ጊዜ ማህተሙም ይላካል፣ ስለዚህ የራስዎን የድግግሞስ መስኮት (replay window) ማስፈጸም ይችላሉ።

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

ማንነት እና መዳረሻ

በእያንዳንዱ እቅድ ላይ አራት የስራ ቦታ ሚናዎች፣ ነፃ (Free) ጨምሮ፡ አስተዳዳሪ፣ ገንቢ፣ ገምጋሚ እና ተርጓሚ፣ እንዲሁም የአካውንት ባለቤቶች እና የክፍያ አባላት። በፕሮጀክት እና በቋንቋ የተሰጡ ፈቃዶች ከላይ ይቀመጡ፣ ስለዚህ አንድ ፍሪላንሰር አንድ ቋንቋ ብቻ ሊሰጠው ይችላል እና ሌላ ምንም አያይም። SAML 2.0 መግባት ከጊዜው just-in-time አቅርቦት እና SCIM 2.0 አቅርቦት ጋር በ Enterprise ላይ ይቀርባሉ፣ እና የፓስዎርድ መግባት ለሙሉው የስራ ቦታ ሊጠፋ ይችላል።

የተጠቃሚ መለያ ነጠላነት (Tenant isolation)

እያንዳንዱ ጥያቄ ለእርስዎ ድርጅት እና ፕሮጀክት ብቻ የተገደበ ነው። የሌላ ሰው ID 403 ሳይሆን 404 ይመልሳል፣ ስለዚህ የሌላ የስራ ቦታ መኖር አይጋለጥም። የተጋራው ትክክለኛ-ግጥምጥም የማስታወስ ጉልበት (memory pool) ብቸኛው ዓላማዊ ልዩነት ነው፣ እና ማንኛውም ፕሮጀክት በመቀያየር (switch) ከዚህ ሊወጣ ይችላል።

የግምገማ መንገድ (Audit trail)

የሚና ለውጦች፣ የጥቅልል መፍጠር፣ የክፍያ ለውጦች፣ የ SSO አቀማመጥ እና የ SSO መግባቶች ይመዘገባሉ፣ እና መስመሮቹን ማርትዕ ወይም ማጥፋት አይቻልም፡ ሞዴሉ ለሁለቱም ይከለክላል። የፓስዎርድ መግባቶች አሁን ላይ በመንገዱ ላይ አይደሉም። በ Enterprise ላይ ያሉ ባለቤቶች እና አስተዳዳሪዎች ሙሉውን መንገድ እንደ CSV ያወጡታል። የ hash ሰንሰለት እና የ cryptographically ፊርማ የለም፣ ስለዚህ እዚህ ላይ ምንም ነገር ጣልቃ ገብነት-ግልጽ (tamper-evident) እንደሆነ አያሳይም።

የስራ ጊዜ (Uptime) እና ክሬዲቶች

እዚህ ላይ ምንም መቶኛ አናሳትም፣ ምክንያቱም የምንጽፈው ማንኛውም ቁጥር ስለ ራሳችን ተገኝነት የምንሰጠው ቃል ይሆናል። Business እና Enterprise ውል ያለው ወርሃዊ የስራ ጊዜ (uptime) ዒላማ ከአገልግሎት-ክሬዲት መርሃ ግብር ጋር ይዘዋሉ፣ እና ያ መርሃ ግብር SLA ነው።

የአግባብነት (Compliance) ትክክለኛ ሁኔታ

ከተመሳሳይ አቀማመጥ (config) የሚነበቡት ተመሳሳይ አራት መስመሮች በታማኝነት ገጽ እና በታማኝነት ማዕከል ላይ ይታያሉ። አንድ ማህተም "ተያዘ" ሊል የሚችለው ቦሊያን (boolean) ያለው ከሆነ ብቻ ነው፣ እና አሁን ላይ ከእነሱ ውስጥ ማንም አይደለም።

SOC 2 Type II: ኦዲት በሂደት ላይ
ISO/IEC 42001 (AI management): በመፈለግ ላይ
GDPR: ተስማምቷል፣ ነገር ግን የተረጋገጠ አይደለም
CCPA / CPRA: ተስማምቷል፣ ነገር ግን የተረጋገጠ አይደለም

አጭር መልሶች

ገምጋሚ የሚጠይቀው፣ በመጀመሪያ ተመልሷል።

የደህንነት ግምገማ የሚጀምራቸው ጥያቄዎች፣ እና መልሶቹ፣ በተለምዶ በሚደርሱበት ቅደም ተከተል። እያንዳንዱ መስመር በኮድ ቤዝ ውስጥ ያለ ቁጥጥር ነው እንጂ ስለ አንድ ነገር የሚደረግ ጥያቄ አይደለም። የመጨረሻው መስመር ክፍተት ነው፣ እና እውነት መሆኑ እስኪቆም ድረስ እዚህ ይቆያል።

ምንም ግኝት አልተጠቀሰም፣ ምክንያቱም እስካሁን ምንም የሶስተኛ ወገን ሪፖርት ስለሌለ
ምንም ማረጋገጫ (certification) አልተጠቆመም፡ በ /trust ላይ ያለው የአግባብነት ሰንጠረዥ ከአቀማመጥ (config) ያነባል
በጎ ፈቃደኝነት ያለው ጥናት በጠበቆች አይቀበልም

ደብዳቤ ይላኩ security@transglot.ai የታማኝነት ማዕከል

ማሳያ ውጤት። ይህ ገጽ ምንም ስካን አያደርግም፣ ስለ እርስዎም ሆነ ስለ እኛ

የአቀማመጥ ማስታወሻዎች፣ ማሳያ

# የደህንነት ግምገማ በመጀመሪያ የሚጠይቀው

tls 1.2 ወይም ከዚያ በላይ፣ በ edge ላይ ከዚያ በታች ተቀብሏል

webhooks hmac-sha256 በጊዜ ማህተም እና በአካል ላይ

tokens እንደ sha-256 hash ተቀምጧል፣ አንድ ጊዜ ብቻ ታይቷል

ተኝነት እያንዳንዱ ጥያቄ በድርጅት እና በፕሮጀክት የተገደበ

ችሎታዎች አምስት በፕሮጀክት ቶከን ላይ፣ ሶስት በመልቀቅ ላይ

ሚናዎች አራት፣ ነጻውንም ያካተተ በእያንዳንዱ እቅድ ላይ

ኦዲት በሞዴል ደረጃ ብቻ-ማያያዝ፣ ምንም ሰንሰለት የለም

ማስታወስ አንድ የተጋራ ትክክለኛ-መጣጠም ጉድጓድ፣ በፕሮጀክት ውጪ

በእረፍት ላይ የሚኖሩ መጠኖች በዲስክ አልተመሰረቱም። የግብአት ቅጂዎች aes-256 ናቸው።

ተደጋግሚ ጥያቄዎች

የደህንነት ግምገማ ብዙውን ጊዜ የሚመጣበት ዝርዝር።

መረጃዬ የተመሰረተ ነው?

በመጓጓዣ ላይ፣ አዎ፡ TLS 1.2 ወይም ከዚያ በላይ፣ እና ማንኛውም ያነሰው በጠርዝ ላይ ይታገዳል። በእረፍት ላይ፣ የዳታቤዝ ግብአት ቅጂዎች በ AES-256 በመውጣት ላይ የተመሰረቱ ሲሆን የፋይል ግብአት ቅጂ ማከማቻ በመለያ ቃል የተመሰረተ ነው። የሚኖሩ የዳታቤዝ መጠኖች አሁን በዲስክ አልተመሰረቱም።

SOC 2 የተረጋገጣችሁ ነዎት?

እስካሁን አይደለም። የ SOC 2 Type II ኦዲት በሂደት ላይ ነው፡ መጀመሪያ ዝግጅት፣ ከዚያም የምልከታ ጊዜ። አሁን ምንም የሶስተኛ ወገን የደህንነት ማረጋገጫ አይደለም፣ እና ከላይ ያሉት ቺፖች "ያለ" ሊል የማይችል ከሆነ ከአንድ ኮንፊግ ቦሊያን የተወሰዱ ናቸው።

AI ሞዴሎችን በእኔ ይዘት ላይ ታሰራራላችሁ?

አይ፣ በማንኛውም እቅድ። የእርስዎ ጽሑፎች ለመተርጎም እና ለሌላ ነገር ወደ ታማኝ ማዕከል ውስጥ በተጠቀሱት አቅራቢዎች ይሄዳሉ፣ በንግድ ውሎች መሰረት። መለኪያ መዝገቦች የቶከን ብዛትን ይመዘግባሉ፣ ጽሑፉን ግን አይደለም።

አንድ ደንበኛ ሌላውን እንዳያይ እንዴት ታደርጋላችሁ?

እያንዳንዱ ጥያቄ ወደ እርስዎ ድርጅት እና ፕሮጀክት የተገደበ ሲሆን፣ የእርስዎ ያልሆነ መለያ 403 ሳይሆን 404 ይመልሳል፣ ስለዚህ የሌላ የስራ ቦታ መኖር አይገለጽም። የተጋራው ትክክለኛ-መጣጠም የትርጉም ማስታወስ ጉድጓድ ብቸኛው ተገቢ ልዩነት ነው፣ ምንም ባለቤት አይደለም፣ እና ማንኛውም ፕሮጀክት በአንድ ቁልፍ ሊወጣው ይችላል።

SAML SSO፣ SCIM እና የተገደደ መግባትን ትደግፋላችሁ?

አዎ፣ በEnterprise ላይ፡ በትክክል-ጊዜ አቅርቦት ያለው SAML 2.0፣ SCIM 2.0 አቅርቦት፣ እና የመለያ ቃል መግባትን ለሙሉ የስራ ቦታ ማጥፋት የሚያስችል አማራጭ። አራት የስራ ቦታ ሚናዎች እንዲሁም በፕሮጀክት እና በቋንቋ የተሰጡ ፈቃዶች በነጻውንም ያካተተ በእያንዳንዱ እቅድ ላይ አሉ።

ኦዲት መዝገብ ትይዛላችሁ? እና ማውጣት እችላለሁ?

የሚና ለውጦች፣ ቶከን መፍጠር፣ የክፍያ ለውጦች፣ የSSO አቀማመጥ እና የSSO መግባቶች ሁሉ ተመዝግበዋል፣ እና ረድፎቹ ሊሰሩ ወይም ሊሰረዙ አይችሉም። የመለያ ቃል መግባቶች አሁን በመንገድ ላይ አይደሉም። በEnterprise ላይ ያሉ ባለቤቶች እና አስተዳዳሪዎች ሙሉውን መንገድ እንደ CSV ያወጡታል። ምንም የሃሽ ሰንሰለት እና ምንም ፊርማ የለም፣ ስለዚህ እንደ ጣልቃ-ገብነት-ግልጽ አንጠራውም።

የጥልቀት ሙከና አድርጋላችሁ?

ለመጥቀስ የሶስተኛ ወገን ሪፖርት የለንም። አንድ ሲኖር በግኝቶች ብዛት ሳይጠቃለል በቀኑ እና በወሰኑ ከዚህ ጋር ይጠቀሳል።

ጉድለትን እንዴት ሪፖርት ማድረግ እችላለሁ? እና ሽልማት ትከፍላላችሁ?

ደብዳቤ security@transglot.ai። በተለቀቀው ፖሊሲ መሰረት በቅንነት የተደረገ ጥናት የተጻፈ ደህንነት ወደብ፣ በሶስት የስራ ቀናት ውስጥ እውቅና እና በአስር የስራ ቀናት ውስጥ የመጀመሪያ ግምገማ ይሸጋገራል። አሁን የተከፈለ ሽልማት የለም።

የ API ምልክቶች (tokens) እንዴት ይቀመጡና ክልላቸው (scope) ምንድን ነው?

የፕሮጀክት ምልክት (token) በ SHA-256 hash መልክ ተቀምጦ በመፍጠር ጊዜ አንድ ጊዜ ብቻ ይታያል። የፕሮጀክት ምልክቶች አምስት አቅማዎችን ሲይዙ፣ የአሰራር (deploy) ምልክቶች ግን ሶስት አቅማዎችን ይይዛሉ፤ ስለዚህ ለ CI የተሰጠ ምልክት ከፈጠረው ሰው ይልቅ ጠባብ ሊሆን ይችላል። ምልክቶች በክፍያ እቅድ (paid plan) ብቻ የሚገኙ ባህሪ ናቸው፤ ነጻ (Free) እቅድ አንድንም ማምረት አይችልም።

ከእርስዎ አስቀድሞ ከሚጠቀሙት ጋር ይሰራል