Bezpečnost v OUTSIDE

Bezpečnost je základem účelu a provozu OUTSIDE. Platforma pomáhá organizacím porozumět veřejně viditelné infrastruktuře, najít expozice podložené důkazy a sledovat změny. Uplatňujeme vícevrstvou ochranu ve vývoji, infrastruktuře, přístupu a provozu. Tato stránka popisuje současný přístup, nikoli certifikaci ani záruku. Kontakt: security@outsideguardian.eu.

1. Bezpečnostní principy

Důkaz před tvrzením. Rozlišujeme pozorovaný fakt, odvození a možnou obavu; bez důkazu netvrdíme kompromitaci ani nesoulad.

Nejnižší oprávnění a oddělení tenantů. Uživatel, služba i proces mají jen nutný přístup a údaje organizací jsou logicky odděleny serverovými kontrolami.

Ve výchozím stavu pasivní a pod lidskou kontrolou. Výchozí jsou veřejné zdroje a ohraničené pozorování. Ověřené, autentizované nebo aktivnější funkce vyžadují další oprávnění. Automatizace a AI podporují, nikoli nahrazují odborné rozhodnutí.

2. Bezpečnost aplikace

Používáme autentizované relace, organizační a rolová oprávnění, serverové kontroly, validaci vstupů, bezpečné kódování výstupů, limity velikosti a frekvence, časové limity, bezpečné chyby, audit citlivých akcí, ochranu administrace, kontrolu závislostí a automatické testy.

3. Oprávnění domén a cílů

OUTSIDE se smí používat jen na vlastněné nebo oprávněně posuzované systémy. Monitoring, integrace a citlivé operace mohou vyžadovat DNS, e-mail, soubor, účet poskytovatele nebo jiný důkaz kontroly.

Vyloučení anonymního skenování

Provozovatel domény může zveřejnit DNS TXT záznam _outside-optout.yourdomain.com s hodnotou outside-optout=1. Platí pro doménu a subdomény zhruba do deseti minut po propagaci. Ověřený vlastník může dál skenovat vlastní povrch. Stav: `/api/optout?domain=yourdomain.com`.

4. Bezpečný síťový přístup

Cíle normalizujeme a ověřujeme; blokujeme privátní, loopback, link-local, rezervované a cloud-metadata adresy, kontrolujeme vyřešené IP, omezujeme přesměrování, protokoly, čas a velikost odpovědi a chráníme se před DNS rebindingem a SSRF.

5. Šifrování

Produkční provoz používá TLS. Citlivé údaje chráníme omezeným přístupem, správou tajemství a dostupným šifrováním úložišť. Zákazník odpovídá za bezpečné integrace, exporty a pověření mimo OUTSIDE.

6. Autentizace a přístup

Používáme jedinečné účty, chráněné relace, role, omezenou administraci, zrušení relací, audit a limity autentizace; podle plánu i podnikové identity. Zákazník má používat silná jedinečná pověření, MFA nebo SSO, pravidelně kontrolovat členství a ihned odebírat bývalé pracovníky.

7. Bezpečnost infrastruktury

Produkce běží v Evropské unii: aplikace, její databáze i zálohy jsou v evropském regionu poskytovatele. Někteří zpracovatelé uvedení v zásadách ochrany soukromí působí mimo EU a přenosy k nim se opírají o záruky popsané tam.

Infrastruktura odděluje aplikaci a databázi, omezuje síťovou expozici a administraci, používá spravovaná tajemství, kontroly zdraví, limity zdrojů, logování, monitoring, řízené nasazení, zálohy a obnovu. Přesné řešení závisí na regionu a poskytovateli.

8. Bezpečný vývoj

Životní cyklus zahrnuje kontrolu kódu, typů, linting, jednotkové, integrační a prohlížečové testy, ověření migrací, kontejnerů a infrastruktury, sken závislostí a tajemství, chráněné nasazení a oddělení prostředí. Bezpečnostní oprava může dostat mimořádnou prioritu.

9. Zranitelnosti a závislosti

Sledujeme závislosti, obrazy, runtime, infrastrukturu, poskytovatele a integrace. Prioritu nápravy určujeme podle zneužitelnosti, expozice, citlivosti, dopadu, dostupné mitigace a aktivního zneužívání, nikoli jen podle štítku závažnosti.

10. Logování a monitoring

Zaznamenávat můžeme autentizaci, neúspěšné přístupy, citlivé akce, skeny, ověření domén, změny integrací, fakturaci, přístup k reportům, administraci, chyby a anomálie. Logy chráníme před běžnou změnou, uchováváme přiměřeně a záměrně do nich nevkládáme zbytečná tajemství ani celé citlivé payloady.

11. Zálohy a obnova

Podle prostředí používáme plánované databázové zálohy, redundanci poskytovatele, retenční pravidla, omezený přístup, testy obnovy a zdokumentované postupy. Zákazník má uchovat exporty potřebné pro vlastní kontinuitu či povinnosti.

12. Reakce na incident

Proces zahrnuje detekci a třídění, omezení, vyšetřování, nápravu, obnovu, potřebná oznámení a následné vyhodnocení. Oznamovací povinnosti posuzujeme podle práva, smlouvy a povahy incidentu a můžeme žádat spolupráci zákazníka.

13. Minimalizace údajů

Zpracováváme jen přiměřeně nutné údaje, minimalizujeme AI kontext, podle možností redigujeme citlivé hodnoty, omezujeme produkční přístup, oddělujeme zákaznická a veřejná technická data, neukládáme zbytečné kartové údaje a po lhůtě data mažeme či anonymizujeme.

14. Bezpečnost a limity AI

AI vysvětluje již dostupné důkazy; autonomně nezneužívá systémy, neprovádí nápravu u zákazníka, nepotvrzuje kompromitaci bez důkazů ani necertifikuje soulad. Výstup se musí zkontrolovat a kontext prochází řízenou serverovou vrstvou.

15. Riziko třetích stran

U infrastruktury, databází, e-mailu, plateb, dat o hrozbách, autentizace, AI a monitoringu závisíme na vybraných poskytovatelích a hodnotíme je podle rizika. Jejich výpadek či incident může ovlivnit OUTSIDE; nezávislou službu nelze absolutně zaručit.

16. Odpovědnost zákazníka

Zákazník musí používat jen oprávněné cíle, chránit účty, API klíče a webhooky, řídit přístupy a integrace, kontrolovat nálezy, bezpečně provádět nápravu, aktualizovat vlastní systémy, uchovat potřebné exporty, hlásit podezřelou aktivitu a dodržovat právo. OUTSIDE nenahrazuje vlastní bezpečnostní kontroly ani incidentní proces.

17. Odpovědné hlášení zranitelností

Hlášení posílejte na security@outsideguardian.eu s popisem, zasaženou URL nebo komponentou, kroky reprodukce, bezpečným důkazem, dopadem a kontaktem.

Čemu se vyhnout

Nepřistupujte k cizím datům, nestahujte více než je nutné, neměňte ani nemažte data, nevytvářejte trvalý přístup, nenasazujte malware, neprovádějte DoS, nenarušujte produkci, nepřetěžujte automatizací, netestujte cizí systémy a nezveřejňujte nevyřešenou chybu bez přiměřené doby na reakci.

Výzkum v dobré víře

Jednáte-li v dobré víře, minimalizujete škodu, respektujete soukromí a rozsah, rychle problém nahlásíte a dáte přiměřený čas, budeme se snažit považovat činnost za oprávněný výzkum. Nelegalizuje to protiprávní jednání ani zásah do systémů třetích stran.

Bez automatické odměny

Bez výslovného písemného oznámení neprovozujeme garantovaný bug bounty program; hlášení nevytváří nárok na odměnu ani úhradu.

18. Proces zveřejnění

Důvěryhodné hlášení potvrdíme, posoudíme rozsah a závažnost, podle potřeby vyžádáme údaje, připravíme mitigaci či opravu a přiměřeně koordinujeme zveřejnění. Čas závisí na složitosti a dopadu; nezveřejníme data zvyšující riziko nebo odhalující zákazníka.

19. Bezpečnostní dokumentace

Podnikům lze za přiměřené důvěrnosti poskytnout dostupnou architekturu, datové toky, přístupy, zálohy, subdodavatele, vývoj, incidentní postupy a souhrny testů. Dokumentace není certifikací, pokud to výslovně neuvádí.

20. Prohlášení o souladu

Certifikaci, audit nebo regulatorní stav tvrdíme jen tehdy, jsou-li výslovně zdokumentované a aktuální. Používání OUTSIDE může podpořit bezpečnostní a compliance činnosti, samo však soulad nezajistí.

21. Změny stránky

Stránku můžeme měnit podle vývoje služby, architektury, kontrol a práva. Aktuální verze bude zveřejněna s datem revize.

22. Kontakt

VeDomEll s. r. o. · Alžbetina 55, 040 01 Košice – mestská časť Staré Mesto, Slovensko

IČO: 52498751 · DIČ: 2121045729 · IČ DPH: SK2121045729 · security@outsideguardian.eu