Com Transglot està assegurat.
delimitat.
Com Transglot està assegurat.
Xifratge, control d'accés, aïllament de llogaters i registre d'auditoria, cadascun nomenant el mecanisme que l'aplica. Les coses que no hem construït estan escrites aquí com a buits.
- tls 1.2 o superior en trànsit
- webhooks signats amb hmac
- files d'auditoria només d'addició
- quatre rols, cinc capacitats de token
Xifratge, accés, aïllament i auditoria.
Xifrat abans de sortir de l’amfitrió
Les còpies de seguretat de la base de dades estan xifrades durant l’exportació. El repositori de còpies de fitxers està xifrat amb contrasenya i no s’executa sense la seva clau. Les credencials d’aplicacions connectades i els secrets de webhooks s’emmagatzemen com a columnes xifrades. Els tokens d’implementació s’emmagatzemen com un hash SHA-256 i es mostren una sola vegada, en el moment de la creació. Els discos en directe no estan xifrats a nivell de volum, perquè encara no hem implementat aquesta funcionalitat, i convé que ho sapigueu aquí en lloc de descobrir-ho durant la diligència deguda.
Signat en sortir
Els webhooks sortints estan signats amb HMAC-SHA256 sobre la marca de temps i el cos del missatge. La marca de temps també s’envia, de manera que podeu aplicar la vostra pròpia finestra de reutilització.
Identitat i accés
Quatre rols d’espai de treball en tots els plans, inclòs el gratuït: administrador, desenvolupador, revisor i traductor, a més dels propietaris del compte i els membres de facturació. Les autoritzacions per projecte i per idioma s’apliquen a sobre, de manera que un freelance pot rebre accés a un sol idioma i no veure res més. L’inici de sessió SAML 2.0 amb aprovisionament just-in-time i l’aprovisionament SCIM 2.0 estan disponibles al pla Enterprise, i l’inici de sessió amb contrasenya es pot desactivar per a tot l’espai de treball.
Aïllament de llogaters
Cada consulta està limitada a la vostra organització i projecte. Un identificador que pertany a una altra persona retorna un error 404 en lloc de 403, de manera que l’existència d’un altre espai de treball mai es filtra. El grup de memòria compartida de coincidència exacta és l’única excepció deliberada, i qualsevol projecte pot abandonar-lo mitjançant un interruptor.
El registre d’auditoria
Els canvis de rol, la creació de tokens, els canvis de facturació, la configuració de SSO i els inicis de sessió SSO queden registrats, i les files no es poden editar ni eliminar: el model genera un error en ambdós casos. Els inicis de sessió amb contrasenya no figuren actualment al registre. Els propietaris i administradors del pla Enterprise poden exportar tot el registre com a CSV. No hi ha cadena de hash ni signatura criptogràfica, de manera que res aquí garanteix la detecció de manipulacions.
Temps de funcionament i crèdits
No publiquem cap percentatge aquí, perquè qualsevol xifra que escrivíssim seria la nostra pròpara paraula sobre la nostra disponibilitat. Els plans Business i Enterprise inclouen un objectiu contractual mensual de temps de funcionament amb un calendari de crèdits de servei, i aquest calendari constitueix l’SLA.
On es troba realment el compliment normatiu
Les mateixes quatre files que es llegeixen a la pàgina de confiança i al centre de confiança, provinents de la mateixa configuració. Un segell només pot dir «mantingut» quan un valor booleà ho confirma, i avui cap d’ells ho fa.
- SOC 2 Type II: auditoria en curs
- ISO/IEC 42001 (AI management): en procés
- GDPR: alineat, no certificat
- CCPA / CPRA: alineat, no certificat
El que pregunta un revisor, respostes primer.
Les preguntes amb què comença una revisió de seguretat, i les respostes, en l’ordre habitual. Cada línia representa un control al codi font, no una afirmació sobre un cas concret. L’última línia assenyala una mancança, i es mantindrà aquí fins que deixi de ser certa.
- cap troballa citada, perquè encara no hi ha cap informe de tercers
- no s’implica cap certificació: la taula de compliment normatiu de /trust es llegeix des de la configuració
- la recerca de bona fe mai es troba amb advocats
PMF
La llista amb què sol arribar una revisió de seguretat.
