Bezpečnosť v OUTSIDE

Bezpečnosť je základom účelu a prevádzky OUTSIDE. Platforma pomáha organizáciám porozumieť verejne viditeľnej infraštruktúre, nájsť expozície podložené dôkazmi a sledovať zmeny. Uplatňujeme viacvrstvovú ochranu vo vývoji, infraštruktúre, prístupe a prevádzke. Táto stránka opisuje súčasný prístup, nie certifikáciu ani záruku. Kontakt: security@outsideguardian.eu.

1. Bezpečnostné princípy

Dôkaz pred tvrdením. Rozlišujeme pozorovaný fakt, odvodenie a možnú obavu; bez dôkazu netvrdíme kompromitáciu ani nesúlad.

Najnižšie oprávnenia a oddelenie tenantov. Používateľ, služba aj proces majú iba potrebný prístup a údaje organizácií sú logicky oddelené serverovými kontrolami.

Predvolene pasívne a pod kontrolou človeka. Verejné zdroje a ohraničené pozorovanie sú predvolené. Overené, autentifikované alebo aktívnejšie funkcie vyžadujú dodatočné oprávnenie. Automatizácia a AI podporujú, nie nahrádzajú odborné rozhodnutie.

2. Bezpečnosť aplikácie

Používame autentifikované relácie, organizačné a rolové oprávnenia, serverové kontroly, validáciu vstupov, bezpečné kódovanie výstupov, limity veľkosti a frekvencie, časové limity, bezpečné chyby, audit citlivých akcií, ochranu administrácie, kontrolu závislostí a automatické testy.

3. Oprávnenie domén a cieľov

OUTSIDE sa smie používať iba na vlastnené alebo oprávnene posudzované systémy. Monitoring, integrácie a citlivé operácie môžu vyžadovať DNS, e-mail, súbor, účet poskytovateľa alebo iný dôkaz kontroly.

Vylúčenie anonymného skenovania

Prevádzkovateľ domény môže zverejniť DNS TXT záznam _outside-optout.yourdomain.com s hodnotou outside-optout=1. Platí pre doménu a subdomény približne do desiatich minút po propagácii. Overený vlastník môže naďalej skenovať a monitorovať vlastný povrch. Stav: `/api/optout?domain=yourdomain.com`.

4. Bezpečný sieťový prístup

Ciele normalizujeme a overujeme; blokujeme privátne, loopback, link-local, rezervované a cloud-metadata adresy, kontrolujeme vyriešené IP, obmedzujeme presmerovania, protokoly, čas a veľkosť odpovede a chránime sa pred DNS rebindingom a SSRF.

5. Šifrovanie

Produkčná prevádzka používa TLS. Citlivé údaje chránime obmedzeným prístupom, správou tajomstiev a dostupným šifrovaním úložísk. Zákazník zodpovedá za bezpečné integrácie, exporty a poverenia mimo OUTSIDE.

6. Autentifikácia a prístup

Používame jedinečné účty, chránené relácie, role, obmedzenú administráciu, zrušenie relácií, audit a limity autentifikácie; podľa plánu aj podnikové identity. Zákazník má používať silné jedinečné poverenia, MFA alebo SSO, pravidelne kontrolovať členstvo a okamžite odoberať bývalých pracovníkov.

7. Bezpečnosť infraštruktúry

Produkcia beží v Európskej únii: aplikácia, jej databáza aj zálohy sú v európskom regióne poskytovateľa. Niektorí sprostredkovatelia uvedení v zásadách ochrany súkromia pôsobia mimo EÚ a prenosy k nim sa opierajú o záruky opísané tam.

Infraštruktúra oddeľuje aplikáciu a databázu, obmedzuje sieťovú expozíciu a administráciu, používa spravované tajomstvá, kontroly zdravia, limity zdrojov, logovanie, monitoring, riadené nasadenie, zálohy a obnovu. Presné riešenie závisí od regiónu a poskytovateľa.

8. Bezpečný vývoj

Životný cyklus zahŕňa kontrolu kódu, typov, linting, jednotkové, integračné a prehliadačové testy, overenie migrácií, kontajnerov a infraštruktúry, sken závislostí a tajomstiev, chránené nasadenie a oddelenie prostredí. Bezpečnostná oprava môže dostať mimoriadnu prioritu.

9. Zraniteľnosti a závislosti

Sledujeme závislosti, obrazy, runtime, infraštruktúru, poskytovateľov a integrácie. Prioritu nápravy určujeme podľa zneužiteľnosti, expozície, citlivosti, dopadu, dostupnej mitigácie a aktívneho zneužívania, nie iba podľa štítku závažnosti.

10. Logovanie a monitoring

Zaznamenávať môžeme autentifikáciu, neúspešné prístupy, citlivé akcie, skeny, overenie domén, zmeny integrácií, fakturáciu, prístup k reportom, administráciu, chyby a anomálie. Logy chránime pred bežnou zmenou, uchovávame primerane a zámerne do nich nevkladáme zbytočné tajomstvá ani celé citlivé payloady.

11. Zálohy a obnova

Podľa prostredia používame plánované databázové zálohy, redundanciu poskytovateľa, retenčné pravidlá, obmedzený prístup, testy obnovy a zdokumentované postupy. Zákazník má uchovať exporty potrebné pre vlastnú kontinuitu alebo povinnosti.

12. Reakcia na incident

Proces zahŕňa detekciu a triedenie, obmedzenie, vyšetrovanie, nápravu, obnovu, potrebné oznámenie a následné vyhodnotenie. Oznamovacie povinnosti posudzujeme podľa práva, zmluvy a povahy incidentu a môžeme žiadať spoluprácu zákazníka.

13. Minimalizácia údajov

Spracúvame iba primerane potrebné údaje, minimalizujeme AI kontext, podľa možností redigujeme citlivé hodnoty, obmedzujeme produkčný prístup, oddeľujeme zákaznícke a verejné technické údaje, neukladáme zbytočné kartové údaje a po lehote údaje vymazávame alebo anonymizujeme.

14. Bezpečnosť a limity AI

AI vysvetľuje už dostupné dôkazy; autonómne nezneužíva systémy, nevykonáva nápravu v prostredí zákazníka, nepotvrdzuje kompromitáciu bez dôkazov ani necertifikuje súlad. Výstup sa musí skontrolovať a kontext prechádza riadenou serverovou vrstvou.

15. Riziko tretích strán

Pri infraštruktúre, databázach, e-maile, platbách, dátach o hrozbách, autentifikácii, AI a monitoringu závisíme od vybraných poskytovateľov a hodnotíme ich podľa rizika. Ich výpadok alebo incident môže ovplyvniť OUTSIDE; nezávislú službu nemožno absolútne zaručiť.

16. Zodpovednosť zákazníka

Zákazník musí používať iba oprávnené ciele, chrániť účty, API kľúče a webhooky, riadiť prístupy a integrácie, kontrolovať nálezy, bezpečne vykonávať nápravu, aktualizovať vlastné systémy, uchovať potrebné exporty, hlásiť podozrivú aktivitu a dodržiavať právo. OUTSIDE nenahrádza vlastné bezpečnostné kontroly ani incidentný proces.

17. Zodpovedné hlásenie zraniteľností

Hlásenia posielajte na security@outsideguardian.eu s opisom, zasiahnutou URL alebo komponentom, krokmi reprodukcie, bezpečným dôkazom, dopadom a kontaktom.

Čomu sa vyhnúť

Nepristupujte k cudzím údajom, nesťahujte viac než je nutné, nemeňte ani nemažte údaje, nevytvárajte trvalý prístup, nenasadzujte malvér, nevykonávajte DoS, nenarúšajte produkciu, nepreťažujte automatizáciou, netestujte cudzie systémy a nezverejňujte nevyriešenú chybu bez primeraného času na reakciu.

Výskum v dobrej viere

Ak konáte v dobrej viere, minimalizujete škodu, rešpektujete súkromie a rozsah, rýchlo nahlásite problém a dáte primeraný čas, budeme sa usilovať považovať činnosť za oprávnený výskum. Nelegalizuje to protiprávne konanie ani zásah do systémov tretích strán.

Bez automatickej odmeny

Bez výslovného písomného oznámenia neprevádzkujeme garantovaný bug bounty program; hlásenie nevytvára nárok na odmenu ani úhradu.

18. Proces zverejnenia

Dôveryhodné hlásenie potvrdíme, posúdime rozsah a závažnosť, podľa potreby vyžiadame údaje, pripravíme mitigáciu alebo opravu a primerane koordinujeme zverejnenie. Čas závisí od zložitosti a dopadu; nezverejníme údaje zvyšujúce riziko alebo odhaľujúce zákazníka.

19. Bezpečnostná dokumentácia

Podnikom možno za primeranej dôvernosti poskytnúť dostupnú architektúru, dátové toky, prístupy, zálohy, subdodávateľov, vývoj, incidentné postupy a súhrny testov. Dokumentácia nie je certifikáciou, ak to výslovne neuvádza.

20. Vyhlásenia o súlade

Certifikáciu, audit alebo regulačný stav tvrdíme iba vtedy, ak sú výslovne zdokumentované a aktuálne. Používanie OUTSIDE môže podporiť bezpečnostné a compliance činnosti, samo osebe však súlad nezabezpečí.

21. Zmeny stránky

Stránku môžeme meniť podľa vývoja služby, architektúry, kontrol a práva. Aktuálna verzia bude zverejnená s dátumom revízie.

22. Kontakt

VeDomEll s. r. o. · Alžbetina 55, 040 01 Košice – mestská časť Staré Mesto, Slovensko

IČO: 52498751 · DIČ: 2121045729 · IČ DPH: SK2121045729 · security@outsideguardian.eu