Ασφάλεια

Πώς προστατεύεται η ίδια η πλατφόρμα.

Ένα προϊόν συμμόρφωσης πρέπει να μπορεί να απαντήσει στις ερωτήσεις που θέτει στους άλλους. Αυτή η σελίδα περιγράφει τι ισχύει πραγματικά σήμερα, καθώς και τι δεν ισχύει ακόμη.

Απομόνωση των δεδομένων κάθε οργανισμού στη βάση δεδομένων

Σε κάθε πίνακα με δεδομένα που ανήκουν σε συγκεκριμένο οργανισμό, η ασφάλεια σε επίπεδο γραμμής (row-level security) της PostgreSQL είναι ενεργοποιημένη και επιβεβλημένη. Η εφαρμογή συνδέεται με έναν περιορισμένο ρόλο χωρίς δικαίωμα παράκαμψης· ένα ερώτημα εκτός του πλαισίου ενός οργανισμού δεν επιστρέφει τίποτα.

Συνεδρίες

Υπογεγραμμένα JSON Web Tokens σε cookie τύπου HTTP-only και same-site, με σήμανση secure στο περιβάλλον παραγωγής. Οι συνεδρίες εταιρειών λήγουν μετά από επτά ημέρες και οι συνεδρίες διαχειριστών μετά από δώδεκα ώρες. Οι κωδικοί πρόσβασης αποθηκεύονται ως κατακερματισμένες τιμές με salt.

Συνδέσεις μόνο για ανάγνωση

Οι συνδέσεις διαβάζουν τα συστήματα που ελέγχουν· δεν γράφουν ποτέ σε αυτά. Τα διαπιστευτήρια βρίσκονται στη διαμόρφωση του περιβάλλοντος, όχι στη βάση δεδομένων.

Τεκμήρια μόνο προσθήκης

Κάθε εγγραφή τεκμηρίου φέρει κατακερματισμό (hash) αλυσιδωτά συνδεδεμένο με την προηγούμενη εγγραφή. Στο ιστορικό μόνο προστίθενται στοιχεία, ποτέ δεν αντικαθίστανται, ώστε κάθε αξιολόγηση να μπορεί να αναχθεί σε ό,τι ήταν γνωστό εκείνη τη στιγμή.

Αρχείο καταγραφής ελέγχου

Οι ενέργειες των χρηστών στα δεδομένα κάθε οργανισμού καταγράφονται με τον χρήστη που τις εκτέλεσε, την ενέργεια, το αντικείμενο και τη χρονοσφραγίδα.

Δημόσια επίδειξη μόνο για ανάγνωση

Η ζωντανή επίδειξη συνδέει τους επισκέπτες σε έναν οργανισμό με δοκιμαστικά δεδομένα, με μια συνεδρία που απορρίπτει κάθε ενέργεια τροποποίησης σε ένα ενιαίο σημείο ελέγχου.

Πού λειτουργούν τα συστήματα

Βάση δεδομένων: PostgreSQL στο Supabase, Φρανκφούρτη (AWS eu-central-1). Τα αποθηκευμένα δεδομένα βρίσκονται στην ΕΕ.
Υπολογιστικοί πόροι της εφαρμογής: Λειτουργίες serverless της Vercel, προς το παρόν στην περιοχή US East (iad1). Η επεξεργασία των αιτημάτων γίνεται εκεί· τα δεδομένα αποθηκεύονται στη Φρανκφούρτη.
Email: Οι ειδοποιήσεις της φόρμας επικοινωνίας αποστέλλονται μέσω Resend, όταν αυτό έχει ρυθμιστεί· η υποβολή αποθηκεύεται πάντα πρώτα.
Πιστοποιήσεις: Καμία ακόμη. Δεν έχουμε ολοκληρώσει πιστοποίηση ISO 27001 ή SOC 2 και δεν ισχυριζόμαστε κάτι τέτοιο. Ρωτήστε μας για την τρέχουσα κατάσταση των παραπάνω μέτρων ελέγχου.

Αναφορά ευπάθειας

Γράψτε στο info@digimindsphere.com με τα βήματα αναπαραγωγής. Επιβεβαιώνουμε τη λήψη μέσα σε δύο εργάσιμες ημέρες και δεν θα κινηθούμε κατά όσων διεξάγουν έρευνα καλή τη πίστει.