/securitya vezérlők, egyesével

szűkített.

minden adatbázis-lekérdezés az Ön szervezetére és projektjére van szűkítve

Titkosítás, hozzáférés-vezérlés, bérlői izoláció és auditnapló – mindegyiknél megnevezzük a kikényszerítő mechanizmust. Azokat a dolgokat, amelyeket még nem építettünk be, itt hiányosságként tüntetjük fel.

tls 1.2 vagy újabb átvitel során
hmac-aláírt webhookok
csak bővíthető audit sorok
négy szerepkör, öt token jogosultság

a vezérlők

Titkosítás, hozzáférés, izoláció és audit.

minden csempe megnevezi azt a mechanizmust, amely ezt biztosítja, és a hiányosságot jelző csempe a leghasznosabb az oldalon

AES-256

Titkosítva, mielőtt elhagyná a hostot

Az adatbázis-biztonsági mentések kimenetkor titkosítva vannak. A fájlmentési tároló jelszóval védett, és kulcs nélkül nem futtatható. A csatlakoztatott alkalmazások hitelesítő adatait és a webhook-titkokat titkosított oszlopokban tároljuk. A telepítési tokeneket SHA-256 hash-ként tároljuk, és csak egyszer, létrehozáskor jelenítjük meg. Az éles lemezek kötet szintjén nincsenek titkosítva, mivel ezt a funkciót még nem valósítottuk meg, így ezt az információt itt kell megszereznie, nem pedig az átvilágítás során.

Kimenetkor aláírva

A kimenő webhookokat HMAC-SHA256 algoritmussal írjuk alá az időbélyeg és a törzs alapján. Az időbélyeget is elküldjük, így Ön saját replay-ablakot állíthat be.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Identitás és hozzáférés

Minden csomagban, beleértve az Ingyeneset is, négy munkaterületi szerepkör érhető el: adminisztrátor, fejlesztő, lektor és fordító, valamint fióktulajdonosok és számlázási tagok. Ezekre épülnek a projektenkénti és nyelvenkénti jogosultságok, így egy szabadúszó csak egy nyelvet láthat, mást nem. Az Enterprise csomag tartalmazza a SAML 2.0 alapú bejelentkezést just-in-time kiépítéssel és SCIM 2.0 kiépítéssel, a jelszavas bejelentkezés pedig letiltható az egész munkaterületen.

Bérlői izoláció

Minden lekérdezés az Ön szervezete és projektje szerint van szűkítve. Ha egy azonosító másvalakihez tartozik, 404-es választ kap 403 helyett, így egy másik munkaterület létezése sosem szivárog ki. A megosztott pontos egyezésű memóriapool az egyetlen szándékos kivétel, amelyet bármely projekt egy kapcsolóval elhagyhat.

Az ellenőrzési napló

A szerepkör-változtatások, tokenlétrehozások, számlázási módosítások, SSO-konfigurációk és SSO-bejelentkezések rögzítésre kerülnek, és a sorok nem szerkeszthetők vagy törölhetők: a modell mindkét esetben hibát dob. A jelszavas bejelentkezések ma még nem szerepelnek a naplóban. Az Enterprise csomag tulajdonosai és adminisztrátorai CSV-formátumban exportálhatják a teljes naplót. Nincs hash-lánc és nincs kriptográfiai aláírás, tehát semmi nem garantálja a manipulálás észlelhetőségét.

Üzemidő és jóváírás

Itt nem teszünk közzé százalékos értéket, mert bármilyen általunk megadott szám csak a saját rendelkezésre állásunkra vonatkozó állítás lenne. A Business és Enterprise csomagok szerződéses havi üzemidő-céllal és szolgáltatási jóváírási ütemtervvel rendelkeznek, és ez az ütemterv képezi az SLA-t.

A megfelelőség valós állapota

Ugyanaz a négy sor, amelyet a bizalmi oldal és a trust center olvas, ugyanabból a konfigurációból. Egy pecsét csak akkor mondhatja azt, hogy „megvan”, ha egy logikai érték is ezt jelzi, és jelenleg egyik sem teszi.

SOC 2 Type II: audit folyamatban
ISO/IEC 42001 (AI management): folyamatban
GDPR: igazodó, nem tanúsított
CCPA / CPRA: igazodó, nem tanúsított

a rövid válaszok

Amire a lektor kérdez, azt először megválaszoljuk.

A kérdések, amelyekkel egy biztonsági felülvizsgálat kezdődik, és a válaszok abban a sorrendben, ahogy általában érkeznek. Minden sor egy vezérlőelem a kódbázisban, nem pedig állítás valamiről. Az utolsó sor egy hézag, és addig marad itt, amíg igaz marad.

nincsenek idézett megállapítások, mert még nincs harmadik féltől származó jelentés
nem implied tanúsítvány: a /trust oldalon lévő megfelelőségi táblázat konfigurációból olvas
a jóhiszemű kutatást soha nem fogadják ügyvédek

E-mail a security@transglot.ai címre A bizalmi központ

illusztratív kimenet. ez az oldal nem futtat vizsgálatot, sem Önnel, sem velünk kapcsolatban

helyzetjegyzetek, illusztratív jelleggel

# amit egy biztonsági felülvizsgálat először kér

tls 1.2 vagy jobb, alatta elutasítva a peremen

webhooks hmac-sha256 az időbélyeg és a törzs felett

tokens sha-256 hash-ként tárolva, egyszer megjelenítve

tenancy minden lekérdezés szervezet és projekt szerint szűkítve

abilities öt a projekt tokenen, három a telepítésnél

roles négy, minden csomagban, beleértve az ingyenesset is

audit csak hozzáadásos a modell rétegben, nincs lánc

memória egy megosztott, pontos egyezésű készlet, projektenként kikapcsolható

nyugalmi állapotban az élő kötetek nincsenek lemezszintű titkosítással védve. A biztonsági mentések AES-256 titkosítással készülnek.

GYIK

Az a lista, amely általában egy biztonsági felülvizsgálattal együtt érkezik.

Titkosítva vannak az adataim?

Átvitel során igen: TLS 1.2 vagy újabb verzió, és bármi régebbi elutasításra kerül a peremhálózaton. Nyugalmi állapotban az adatbázis-biztonsági mentések AES-256 titkosítással készülnek kiírás közben, a fájlbiztonságimásolat-tár pedig jelszóval van titkosítva. Az élő adatbáziskötetek jelenleg nincsenek lemezszintű titkosítással védve.

Rendelkezik SOC 2 tanúsítvánnyal?

Még nem. Egy SOC 2 Type II audit folyamatban van: először a felkészülés, majd a megfigyelési időszak. Jelenleg nincs harmadik féltől származó biztonsági tanúsítványunk, és a fenti jelölők egy konfigurációs boolean értékből származnak, amely addig nem állíthatja, hogy „megvan”, amíg valóban nincs ilyen tanúsítvány.

AI modelleket tanítanak a tartalmamból?

Nem, egyik csomag esetén sem. A karakterláncai csak a Trust Centerben megnevezett szolgáltatókhoz kerülnek fordítás céljából, és semmi másra, kereskedelmi feltételek mellett. A mérési naplók a tokenek számát rögzítik, soha nem magát a szöveget.

Hogyan akadályozzák meg, hogy egy ügyfél lássa egy másik adatait?

Minden lekérdezés az Ön szervezetére és projektjére van korlátozva, és egy nem az Önéhez tartozó azonosító 404-es választ ad 403 helyett, így egy másik munkaterület létezése soha nem szivárog ki. A megosztott, pontos egyezésű fordítási memória-készlet az egyetlen szándékos kivétel; ennek nincs tulajdonosa, és bármely projekt egy kapcsolóval kiléphet belőle.

Támogatják a SAML SSO-t, a SCIM-et és a kényszerített bejelentkezést?

Igen, az Enterprise csomagban: SAML 2.0 just-in-time kiépítéssel, SCIM 2.0 kiépítéssel, valamint a jelszavas bejelentkezés teljes munkaterületre vonatkozó kikapcsolásának lehetőségével. Négy munkaterületi szerepkör, valamint projektenkénti és nyelvenkénti jogosultságok minden csomagban elérhetők, beleértve az Ingyeneset is.

Vezettek auditnaplót, és ki tudom exportálni?

A szerepkör-változtatások, tokenlétrehozások, számlázási módosítások, SSO-konfigurációk és SSO-bejelentkezések mind rögzítésre kerülnek, és a sorok nem szerkeszthetők vagy törölhetők. A jelszavas bejelentkezések ma még nem részei a naplónak. Az Enterprise csomag tulajdonosai és adminisztrátorai CSV formátumban exportálhatják a teljes naplót. Nincs hash-lánc és nincs aláírás, ezért nem nevezzük hamisításbiztosnak.

Végeztek behatolási tesztet?

Nincs idézhető harmadik féltől származó jelentésünk. Amikor lesz ilyen, itt megnevezzük a dátumával és hatókörével, ahelyett, hogy a találatok számaként összefoglalnánk.

Hogyan jelenthetek egy sebezhetőséget, és fizetnek jutalmat?

Írjon a security@transglot.ai címre. A közzétett irányelv szerinti jóhiszemű kutatás írásbeli biztonságos kikötést, három munkanapon belüli visszaigazolást és tíz munkanapon belüli kezdeti értékelést garantál. Jelenleg nincs fizetett jutalomprogram.

Hogyan tárolják és scopedelik az API-tokeneket?

A projekttoken SHA-256 hashként van tárolva, és csak egyszer, létrehozáskor jelenik meg. A projekttokenek öt képességgel, a deploy tokenek pedig hármmal rendelkeznek, így a CI-nek átadott token szűkebb körű lehet, mint azt létrehozó személyé. A tokenek a fizetős csomagok funkciói: az Ingyenes csomag nem tud tokent létrehozni.

működik azokkal az eszközökkel, amelyeket már használ