استقرار
بسیاری از مشتریان ما نمی‌توانند داده‌های عملیاتی را به خارج از شبکه‌ی خود ارسال کنند؛ از این رو محصولات ما برای نصب بر روی زیرساخت مشتری ساخته شده‌اند. مدل استقرار هر پروژه را در قرارداد توافق می‌کنیم و مستند می‌کنیم که چه چیزی در کجا اجرا می‌شود.
هنگامی که محصولی بر روی سرورهای شما نصب شود، داده‌هایی که پردازش می‌کند در زیرساخت شما باقی می‌ماند. این داده‌ها فقط در صورتی از شبکه‌ی شما خارج می‌شوند که محصول را به سامانه‌ی دیگری متصل کنید.
مسئولیت مشترک
در نصب در محل (on-premise)، مسئولیت امنیت میان تیم شما و تیم ما مشترک است.
| آشکار مسئول موارد زیر است | مشتری مسئول موارد زیر است |
|---|---|
| امنیت کد برنامه‌ی ما و پیکربندی پیش‌فرض آن | سرورها، سیستم‌عامل‌ها، شبکه‌ها و فایروال‌ها |
| رفع آسیب‌پذیری‌های محصولات ما و ارائه‌ی به‌روزرسانی‌ها | اعمال به‌روزرسانی‌ها بر روی نصب |
| راهنمای نصب، از جمله تنظیمات امن پیشنهادی | پشتیبان‌گیری، امنیت فیزیکی و گواهی‌ها برای اتصال‌های رمزگذاری‌شده |
| دسترسی پشتیبانی فقط در صورتی که شما آن را اعطا کنید و فقط تا زمانی که لازم است | حساب‌های کاربری، تخصیص نقش‌ها و دایرکتوری‌ای که حساب‌ها از آن می‌آیند |
برای هر بخشی از خدمت که ما برای شما میزبانی یا اداره می‌کنیم، قرارداد مسئولیت‌های ما را مشخص می‌کند.
هویت و دسترسی
- کنترل دسترسی مبتنی بر نقش در همه‌ی محصولات، در محدوده‌ی سازمان، سایت، منطقه یا واحدی که محصول با آن کار می‌کند.
- ثبت‌نام عمومی وجود ندارد: حساب‌ها را مدیران ایجاد می‌کنند.
- گنجور به Active Directory یا LDAP متصل می‌شود، بنابراین حساب‌ها از فرایند موجود شما برای ورود، جابه‌جایی و خروج کارکنان پیروی می‌کنند.
- گنجور برای محتوا سطوح محرمانگی (عادی، داخلی، محرمانه) اعمال می‌کند، تا مطالب حساس فقط به افرادی برسد که مجاز به دسترسی به آن‌ها هستند.
ممیزی و تاریخچه‌ی تغییرات
محصولات ما رویدادهایی را که برای پاسخ‌گویی اهمیت دارند ثبت می‌کنند:
- در گنجور: اینکه چه کسی محتوا را دیده، دانلود، ویرایش، بازبینی و تأیید کرده است، در یک گزارش ممیزی کامل.
- در مداف: هر تغییر در پرسش‌های ارزیابی، ضرایب، وزن واحدها، سمت‌ها و افراد، همراه با تاریخچه‌ی آن.
- در مداف، هر ارزیابی تکمیل‌شده یک تصویر لحظه‌ای (snapshot) از مدل مورد استفاده را ذخیره می‌کند، بنابراین تغییرهای بعدی هرگز نتایج گذشته را بازنویسی نمی‌کنند.
قابلیت‌های هوش مصنوعی
دستیار گنجور پرسش‌ها را با استفاده از مدلی زبانی پاسخ می‌دهد که روی زیرساخت خود مشتری اجرا می‌شود و به هیچ سرویس ابری بیرونی وابسته نیست. این دستیار فقط بر پایه‌ی دانشی پاسخ می‌دهد که در گنجور بازبینی و تأیید شده است، منبع هر پاسخ را ذکر می‌کند و حقوق دسترسی هر کاربر را رعایت می‌کند.
ما از داده‌های یک مشتری برای آموزش یا بهبود مدل‌هایی که مشتری دیگری از آن‌ها استفاده می‌کند، استفاده نمی‌کنیم.
کنترل‌ها به تفکیک محصول
| محصول | کنترل‌های امنیتی |
|---|---|
| گنجور | نصب و مدل زبانی در محل (on-premise)؛ کنترل دسترسی مبتنی بر نقش همراه با سطوح محرمانگی؛ یکپارچگی با Active Directory و LDAP؛ گزارش ممیزی کامل؛ درج واترمارک روی اسناد؛ جلوگیری از دانلود انبوه. |
| مداف | کنترل دسترسی مبتنی بر نقش در پنج سطح سازمانی؛ نمایش رتبه‌بندی‌ها فقط در محدوده‌ی هر کاربر؛ تاریخچه‌ی کامل تغییرات؛ تصاویر لحظه‌ای ارزیابی. |
| نجوا | ایجاد حساب‌ها فقط توسط مدیران؛ محدودیت‌های مصرف قابل تنظیم برای هر حساب. |
داده‌های مشتری
- ما داده‌های مشتری را فقط برای ارائه، پشتیبانی و بهبود خدمت برای همان مشتری و مطابق قرارداد پردازش می‌کنیم.
- نمایش‌ها و مواد فروش ما از داده‌های نمایشی استفاده می‌کنند، نه داده‌های مشتری.
- هنگام پایان قرارداد، هر داده‌ی مشتری را که نزد ما باشد، مطابق مشخصات قرارداد بازمی‌گردانیم یا حذف می‌کنیم.
نحوه‌ی برخورد ما با داده‌های شخصی در سیاست حریم خصوصی ما شرح داده شده است.
تیم ما
فقط افرادی که روی پروژه‌ی یک مشتری کار می‌کنند می‌توانند به سامانه‌های آن مشتری دسترسی داشته باشند، آن هم فقط زمانی که مشتری دسترسی را اعطا کند و فقط برای مدتی که کار ایجاب می‌کند. همه‌ی اعضای تیم ما تحت تعهدات محرمانگی کار می‌کنند.
به‌روزرسانی‌های امنیتی
هنگامی که آسیب‌پذیری امنیتی یکی از محصولات خود را رفع می‌کنیم، مشتریانی را که از نسخه‌ی تحت‌تأثیر استفاده می‌کنند مطلع می‌کنیم و به‌روزرسانی را ارائه می‌دهیم. در نصب‌های در محل، مشتری به‌روزرسانی را اعمال می‌کند و ما در صورت نیاز کمک می‌کنیم.
پاسخ به رخدادها
اگر از رخداد امنیتی‌ای مطلع شویم که داده‌های مشتری را که نزد ما نگهداری یا توسط ما پردازش می‌شود تحت تأثیر قرار می‌دهد، این اقدامات را انجام خواهیم داد:
- مشتری تحت‌تأثیر را بدون تأخیر غیرموجه مطلع می‌کنیم؛
- توضیح می‌دهیم چه اتفاقی افتاده، چه داده‌هایی تحت تأثیر قرار گرفته و برای آن چه اقدامی می‌کنیم؛
- تا رفع رخداد با تیم مشتری همکاری می‌کنیم؛
- در مواردی که قانون ایجاب کند، مرجع صلاحیت‌دار را مطلع می‌کنیم، از جمله ظرف ۷۲ ساعت مطابق قانون حفاظت از داده‌های شخصی عمان.
گزارش آسیب‌پذیری
از گزارش‌های پژوهشگران امنیتی و مشتریان استقبال می‌کنیم. اگر باور دارید در یکی از محصولات ما یا در این وب‌سایت آسیب‌پذیری یافته‌اید، لطفاً برای ما ایمیل بفرستید.
ایمیل: [email protected]، با درج عبارت «Security report» در موضوع.
لطفاً موارد زیر را ذکر کنید: محصول یا صفحه‌ی تحت‌تأثیر، مراحل بازتولید مشکل، اثر احتمالی آن و راه ارتباط با شما.
ما دریافت گزارش‌ها را ظرف ۲ روز کاری تأیید می‌کنیم و تا رفع مشکل شما را در جریان می‌گذاریم.
لطفاً این کارها را انجام دهید: پیش از افشای مشکل، زمان معقولی برای رفع آن به ما بدهید، فقط از حساب‌های آزمایشی یا داده‌های متعلق به خودتان استفاده کنید و به‌محض تأیید مشکل متوقف شوید.
لطفاً از این کارها خودداری کنید: به داده‌های دیگران دسترسی پیدا نکنید، آن‌ها را تغییر ندهید یا حذف نکنید، آزمون‌های منع سرویس (denial-of-service) اجرا نکنید، از مهندسی اجتماعی یا فیشینگ استفاده نکنید و امنیت فیزیکی را آزمایش نکنید.
اگر با حسن نیت عمل کنید و این راهنما را رعایت کنید، به‌سبب پژوهش شما علیه شما اقدام قانونی نخواهیم کرد و در صورت تمایل شما، نام شما را به‌عنوان گزارش‌دهنده ذکر خواهیم کرد.