/securityohjaimet, yksi kerrallaan

rajattu.

jokainen tietokantakysely on rajattu organisaatioosi ja projektiisi

Salaus, käyttöoikeuksien hallinta, vuokraajien eristäminen ja auditointiketju, joista kuksi nimeää sen toteuttavan mekanismin. Asiat, joita emme ole rakentaneet, on kirjattu tänne aukkojen muodossa.

TLS 1.2 tai uudempi siirrossa
HMAC-allekirjoitetut webhookit
vain lisättävät auditointirivit
neljä roolia, viisi token-oikeutta

ohjaimet

Salaus, pääsyoikeudet, eristäminen ja auditointi.

jokainen laatikko nimeää mekanismin, joka tekee siitä totta, ja aukon nimeävä laatikko on sivun hyödyllisin

AES-256

Salattu ennen kuin se poistuu isännältä

Tietokantavarmuuskopiot salataan ulosmenovaiheessa. Tiedostovarmuuskopioiden arkisto on salattu salasanalla, eikä se suostu toimimaan ilman avaintaan. Liitettyjen sovellusten tunnistetiedot ja webhook-salaisuudet tallennetaan salattuihin sarakkeisiin. Käyttöönotto-tokenit tallennetaan SHA-256-hashina ja näytetään kerran luontihetkellä. Live-levyjä ei ole salattu volyymitasolla, koska emme ole rakentaneet sitä, ja sinun tulisi oppia se täällä eikä due diligence -vaiheessa.

Allekirjoitettu ulosmenovaiheessa

Lähtevät webhookit allekirjoitetaan HMAC-SHA256:llä aikaleiman ja sisällön yli. Aikaleima lähetetään myös, jotta voit pakottaa oman toistamisikkunasi.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Identiteetti ja pääsyoikeudet

Neljä työtilaroolia jokaisessa suunnitelmassa, Free mukaan lukien: admin, developer, reviewer ja translator, plus tilinomistajat ja laskutusjäsenet. Projekti- ja kielikohtaiset oikeudet ovat päällä, joten freelancerille voidaan antaa yksi kieli, eikä hän näe mitään muuta. SAML 2.0 -kirjautuminen just-in-time-provisioinnilla ja SCIM 2.0 -provisiointi sisältyvät Enterprise-suunnitelmaan, ja salasanakirjautuminen voidaan kytkeä pois koko työtilasta.

Vuokraajan eristäminen

Jokainen kysely on rajattu organisaatioosi ja projektiisi. Jollekin muulle kuuluva id vastaa 404 eikä 403, joten toisen työtilan olemassaolo ei vuoda. Jaettu tarkka osuma-muistipooli on ainoa tietoinen poikkeus, ja mikä tahansa projekti voi poistua siitä kytkimellä.

Auditointiketju

Roolimuutokset, tokenien luonti, laskutusmuutokset, SSO-konfiguraatio ja SSO-kirjautumiset tallennetaan, eikä rivejä voi muokata tai poistaa: malli heittää virheen molemmissa tapauksissa. Salasanakirjautumisia ei ole ketjussa tänään. Omistajat ja adminit Enterprise-suunnitelmassa voivat viedä koko ketjun CSV:nä. Hash-ketjua tai kryptografista allekirjoitusta ei ole, joten mikään tässä ei sano olevan manipulointia havaitseva.

Käyttöaste ja hyvitykset

Emme julkaise prosenttia täällä, koska mikä tahansa kirjoittamamme luku olisi vain sanamme omasta saatavuudestamme. Business- ja Enterprise-suunnitelmiin sisältyy sopimuksellinen kuukausittainen käyttöastetavoite palveluhyvitysaikataulun kanssa, ja tämä aikataulu on SLA.

Missä vaatimustenmukaisuus todellisuudessa seisoo

Samat neljä riviä, jotka luottamus-sivulla ja luottamuskeskuksessa lukee, samasta konfiguraatiosta. Leima voi sanoa "voimassa" vain, kun boolean-arvo niin sanoo, eikä mikään niistä tee sitä tänään.

SOC 2 Type II: auditointi käynnissä
ISO/IEC 42001 (AI management): haussa
GDPR: yhdenmukainen, ei sertifioitu
CCPA / CPRA: yhdenmukainen, ei sertifioitu

lyhyet vastaukset

Mitä tarkastaja kysyy, vastattu ensin.

Kysymykset, joilla turvallisuustarkastus alkaa, ja vastaukset siinä järjestyksessä, jossa ne yleensä saapuvat. Jokainen rivi on kontrolli koodikannassa eikä väite yhdestä. Viimeinen rivi on aukko, ja se pysyy täällä, kunnes se lakkaa olemasta totta.

ei lainattuja havaintoja, koska kolmannen osapuolen raporttia ei vielä ole
ei sertifikaatin implikointia: vaatimustenmukaisuustaulukko /trust:ssa lukee konfiguraatiosta
vilpittömään tutkimukseen ei koskaan vastata asianajajilla

Lähetä sähköpostia osoitteeseen security@transglot.ai Luottamuskeskus

havainnollistava tuloste. tämä sivu ei suorita skannausta, sinusta eikä meistä

asemanoteeraukset, havainnollistavia

# mitä tietoturvakatsaus pyytää ensin

tls 1.2 tai parempi, hylätty alle reunassa

webhookit hmac-sha256 aikaleiman ja sisällön yli

tokenit tallennettu sha-256-hashina, näytetään kerran

monivuokraisuus jokainen kysely rajattu organisaation ja projektin mukaan

oikeudet viisi projektitokenissa, kolme julkaisussa

roolit neljä, kaikissa suunnitelmissa myös ilmaisessa

auditointi vain lisäystä mallikerroksessa, ei ketjua

muisti yksi jaettu tarkka osumien pooli, pois päältä per projekti

levolla live-volyymit eivät ole levykryptattuja. varmuuskopiot ovat aes-256.

UKK

Lista, joka saapuu yleensä tietoturvakatsauksen mukana.

Onko datani salattu?

Siirron aikana kyllä: TLS 1.2 tai uudempi, ja vanhemmat versiot hylätään reunassa. Levolla tietokannan varmuuskopiot salataan AES-256:lla ulosmenovaiheessa ja tiedostovarmuuskopioiden arkisto on salasanasalattu. Live-tietokantavolyymit eivät ole tällä hetkellä levykryptattuja.

Oletko SOC 2 -sertifioitu?

Ei vielä. SOC 2 Type II -auditointi on käynnissä: ensin valmius, sitten havaintoikkuna. Meillä ei ole tällä hetkellä kolmannen osapuolen tietoturvasertifikaattia, ja yllä olevat merkit on johdettu konfiguraatioboolista, joka ei voi sanoa "hallussa", ennen kuin sellainen on.

Koulutatteko tekoälymalleja sisällölläni?

Ette missään suunnitelmassa. Merkkijonosi lähetetään luottamuskeskuksessa nimettyihin palveluntarjoajiin käännettäväksi eikä mihinkään muuhun kaupallisten ehtojen mukaisesti. Mittaus kirjaa tokenimäärät, ei itse tekstiä.

Miten estätte yhden asiakkaan näkemästä toisen tietoja?

Jokainen kysely on rajattu organisaatioosi ja projektiisi, ja id, joka ei ole sinun, vastaa 404 eikä 403, joten toisen työtilan olemassaolo ei vuoda. Jaettu tarkka osumien käännösmuistipooli on ainoa tarkoituksellinen poikkeus; sillä ei ole omistajaa lainkaan, ja mikä tahansa projekti voi poistua siitä yhdellä kytkimellä.

Tuetko SAML SSO:a, SCIM:iä ja pakotettua kirjautumista?

Kyllä, Enterprise-suunnitelmassa: SAML 2.0 just-in-time-provisioinnilla, SCIM 2.0 -provisiointi ja mahdollisuus kytkeä salasanakirjautuminen pois päältä koko työtilasta. Neljä työtilaroolia sekä projekti- ja kielikohtaiset oikeudet ovat saatavilla kaikissa suunnitelmissa, myös ilmaisessa.

Pidättekö auditointilokia, ja voinko viedä sen ulos?

Roolimuutokset, tokenien luominen, laskutusmuutokset, SSO-konfiguraatio ja SSO-kirjautumiset kaikki tallennetaan, ja rivejä ei voi muokata tai poistaa. Salasanakirjautumisia ei ole nykyisin lokissa. Omistajat ja ylläpitäjät Enterprise-suunnitelmassa voivat viedä koko lokin CSV-muodossa. Ei hash-ketjua eikä allekirjoitusta, joten emme kutsu sitä manipulointia havaitsevaksi.

Oletteko tehneet tunkeutumistestin?

Meillä ei ole kolmannen osapuolen raporttia lainattavaksi. Kun sellainen on olemassa, se nimetään tässä päivämäärineen ja laajuudellaan sen sijaan, että tiivistettäisiin löydösten määränä.

Miten ilmoitan haavoittuvuudesta, ja maksatteko palkkion?

Lähetä sähköpostia osoitteeseen security@transglot.ai. Hyvässä uskossa julkaistun käytännön mukaisesti tehtyyn tutkimukseen sisältyy kirjallinen turvasatama, vahvistus kolmen arkipäivän kuluessa ja alustava arvio kymmenen arkipäivän kuluessa. Tällä hetkellä ei makseta palkkiota.

Miten API-tunnisteet tallennetaan ja miten niiden käyttöoikeudet rajataan?

Projektitunniste tallennetaan SHA-256 -tiivisteeksi ja näytetään vain kerran luontihetkellä. Projektitunnisteissa on viisi oikeutta ja käyttöönototunnisteissa kolme, joten CI-järjestelmälle annettu tunniste voi olla suppeampi kuin sen luoneella henkilöllä. Tunnisteet ovat maksullisen tilauksen ominaisuus: Free-tilaus ei voi luoda niitä.