Bezpieczeństwo w OUTSIDE

Bezpieczeństwo jest podstawą działania OUTSIDE. Platforma pomaga organizacjom zrozumieć publicznie widoczną infrastrukturę, wykrywać ekspozycje poparte dowodami i śledzić zmiany. Stosujemy ochronę warstwową w rozwoju, infrastrukturze, dostępie i operacjach. Ta strona opisuje obecne podejście, a nie certyfikat ani gwarancję. Kontakt: security@outsideguardian.eu.

1. Zasady bezpieczeństwa

Dowód przed stwierdzeniem. Rozróżniamy obserwowany fakt, wniosek i możliwe zagrożenie; bez dowodu nie stwierdzamy naruszenia ani niezgodności.

Najmniejsze uprawnienia i separacja tenantów. Użytkownik, usługa i proces otrzymują tylko niezbędny dostęp, a dane organizacji są logicznie oddzielone kontrolami serwerowymi.

Domyślnie pasywne i pod kontrolą człowieka. Podstawą są źródła publiczne i ograniczona obserwacja. Funkcje zweryfikowane, uwierzytelnione lub bardziej aktywne wymagają dodatkowych uprawnień. Automatyzacja i AI wspierają, a nie zastępują profesjonalną decyzję.

2. Bezpieczeństwo aplikacji

Stosujemy uwierzytelnione sesje, uprawnienia organizacyjne i rolowe, kontrole serwerowe, walidację wejścia, bezpieczne kodowanie wyjścia, limity rozmiaru i częstotliwości, timeouty, bezpieczną obsługę błędów, audyt działań wrażliwych, ochronę administracji, przegląd zależności i testy automatyczne.

3. Autoryzacja domen i celów

OUTSIDE wolno używać tylko wobec systemów własnych lub objętych upoważnieniem. Monitoring, integracje i operacje wrażliwe mogą wymagać DNS, e-maila, pliku, konta dostawcy lub innego dowodu kontroli.

Rezygnacja z anonimowego skanowania

Operator domeny może opublikować rekord DNS TXT _outside-optout.yourdomain.com o wartości outside-optout=1. Obejmuje domenę i subdomeny mniej więcej w ciągu dziesięciu minut od propagacji. Zweryfikowany właściciel nadal może skanować własną powierzchnię. Stan: `/api/optout?domain=yourdomain.com`.

4. Bezpieczny dostęp sieciowy

Normalizujemy i weryfikujemy cele; blokujemy adresy prywatne, loopback, link-local, zarezerwowane i metadane chmurowe, sprawdzamy rozwiązane IP, ograniczamy przekierowania, protokoły, czas i rozmiar odpowiedzi oraz chronimy przed DNS rebinding i SSRF.

5. Szyfrowanie

Ruch produkcyjny używa TLS. Dane wrażliwe chronimy ograniczonym dostępem, zarządzaniem sekretami i dostępnym szyfrowaniem pamięci. Klient odpowiada za bezpieczne integracje, eksporty i dane uwierzytelniające poza OUTSIDE.

6. Uwierzytelnianie i dostęp

Stosujemy unikalne konta, chronione sesje, role, ograniczoną administrację, unieważnianie sesji, audyt i limity uwierzytelniania; zależnie od planu również tożsamość firmową. Klient powinien stosować silne unikalne dane, MFA lub SSO, regularnie sprawdzać członkostwo i szybko usuwać byłych pracowników.

7. Bezpieczeństwo infrastruktury

Produkcja działa w Unii Europejskiej: aplikacja, jej baza danych i kopie zapasowe znajdują się w europejskim regionie dostawcy. Część podmiotów przetwarzających wymienionych w polityce prywatności działa poza UE, a przekazywanie do nich opiera się na opisanych tam zabezpieczeniach.

Infrastruktura rozdziela aplikację i bazę danych, ogranicza ekspozycję sieciową i administrację, używa zarządzanych sekretów, kontroli stanu, limitów zasobów, logowania, monitoringu, kontrolowanych wdrożeń, kopii i odtwarzania. Szczegóły zależą od regionu i dostawcy.

8. Bezpieczny rozwój

Cykl obejmuje przegląd kodu i typów, linting, testy jednostkowe, integracyjne i przeglądarkowe, weryfikację migracji, kontenerów i infrastruktury, skan zależności i sekretów, chronione wdrożenia oraz separację środowisk. Poprawka bezpieczeństwa może otrzymać nadzwyczajny priorytet.

9. Podatności i zależności

Monitorujemy zależności, obrazy, środowiska uruchomieniowe, infrastrukturę, dostawców i integracje. Priorytet naprawy zależy od możliwości wykorzystania, ekspozycji, wrażliwości, wpływu, dostępnej mitygacji i aktywnego wykorzystania, a nie tylko etykiety ważności.

10. Logowanie i monitoring

Możemy rejestrować uwierzytelnienie, nieudane dostępy, działania wrażliwe, skany, weryfikacje domen, zmiany integracji, rozliczenia, dostęp do raportów, administrację, błędy i anomalie. Logi chronimy przed zwykłą modyfikacją, przechowujemy proporcjonalnie i nie zapisujemy celowo zbędnych sekretów ani pełnych wrażliwych payloadów.

11. Kopie i odtwarzanie

Zależnie od środowiska stosujemy planowane kopie bazy, redundancję dostawcy, zasady retencji, ograniczony dostęp, testy odzyskiwania i udokumentowane procedury. Klient powinien zachować eksporty potrzebne do własnej ciągłości lub obowiązków.

12. Reakcja na incydenty

Proces obejmuje wykrycie i triage, ograniczenie, dochodzenie, naprawę, odtworzenie, wymagane powiadomienie i przegląd po incydencie. Obowiązki oceniamy według prawa, umowy i charakteru incydentu; możemy potrzebować współpracy klienta.

13. Minimalizacja danych

Przetwarzamy tylko dane rozsądnie potrzebne, minimalizujemy kontekst AI, w miarę możliwości redagujemy wartości wrażliwe, ograniczamy dostęp produkcyjny, oddzielamy dane klienta i publiczne dane techniczne, nie przechowujemy zbędnych danych kart i po terminie usuwamy lub anonimizujemy dane.

14. Bezpieczeństwo i ograniczenia AI

AI objaśnia dostępne dowody; nie wykorzystuje autonomicznie systemów, nie wykonuje napraw u klienta, nie potwierdza naruszenia bez dowodu ani nie certyfikuje zgodności. Wynik wymaga przeglądu, a kontekst przechodzi kontrolowaną warstwą serwerową.

15. Ryzyko stron trzecich

W zakresie infrastruktury, baz, e-maila, płatności, danych o zagrożeniach, uwierzytelniania, AI i monitoringu zależymy od wybranych dostawców i oceniamy ich według ryzyka. Ich awaria lub incydent może wpłynąć na OUTSIDE; niezależnej usługi nie można bezwzględnie zagwarantować.

16. Obowiązki klienta

Klient musi używać tylko autoryzowanych celów, chronić konta, klucze API i webhooki, zarządzać dostępem i integracjami, przeglądać ustalenia, bezpiecznie wprowadzać naprawy, aktualizować własne systemy, zachować eksporty, zgłaszać podejrzaną aktywność i przestrzegać prawa. OUTSIDE nie zastępuje własnych zabezpieczeń ani reakcji na incydenty.

17. Odpowiedzialne zgłaszanie podatności

Zgłoszenia wysyłaj na security@outsideguardian.eu wraz z opisem, dotkniętym URL-em lub komponentem, krokami reprodukcji, bezpiecznym dowodem, wpływem i kontaktem.

Czego nie robić

Nie uzyskuj dostępu do cudzych danych, nie pobieraj więcej niż trzeba, nie zmieniaj ani nie usuwaj danych, nie twórz trwałego dostępu, nie wdrażaj malware, nie wykonuj DoS, nie zakłócaj produkcji, nie przeciążaj automatyzacją, nie testuj cudzych systemów i nie ujawniaj nierozwiązanej wady bez rozsądnego czasu na reakcję.

Badania w dobrej wierze

Jeśli działasz w dobrej wierze, minimalizujesz szkody, respektujesz prywatność i zakres, szybko zgłaszasz problem i dajesz rozsądny czas, dołożymy starań, by traktować działanie jako uprawnione badanie. Nie legalizuje to czynu bezprawnego ani ingerencji w systemy stron trzecich.

Brak automatycznej nagrody

Bez wyraźnego pisemnego ogłoszenia nie prowadzimy gwarantowanego programu bug bounty; zgłoszenie nie tworzy prawa do nagrody ani zwrotu kosztów.

18. Proces ujawnienia

Potwierdzimy wiarygodne zgłoszenie, ocenimy zakres i wagę, w razie potrzeby poprosimy o dane, przygotujemy mitygację lub poprawkę i odpowiednio skoordynujemy ujawnienie. Czas zależy od złożoności i wpływu; nie ujawnimy informacji zwiększających ryzyko ani danych klienta.

19. Dokumentacja bezpieczeństwa

Firmom można przy zachowaniu poufności udostępnić dostępną architekturę, przepływy danych, dostępy, kopie, podwykonawców, rozwój, procedury incydentowe i podsumowania testów. Dokumentacja nie jest certyfikatem, o ile nie stwierdzono tego wprost.

20. Oświadczenia o zgodności

Certyfikację, audyt lub status regulacyjny deklarujemy tylko, gdy są wyraźnie udokumentowane i aktualne. OUTSIDE może wspierać działania bezpieczeństwa i compliance, ale samo użycie nie zapewnia zgodności.

21. Zmiany strony

Możemy aktualizować stronę wraz z rozwojem usługi, architektury, kontroli i prawa. Bieżąca wersja będzie opublikowana z datą rewizji.

22. Kontakt

VeDomEll s. r. o. · Alžbetina 55, 040 01 Košice – mestská časť Staré Mesto, Słowacja

IČO: 52498751 · DIČ: 2121045729 · IČ DPH: SK2121045729 · security@outsideguardian.eu