HodeiShield®

Zure datuak babesten dituena, eta agintzen ez duguna.

Zure DPOak eta zure auditoreak zer dagoen non eta zer dagoen ziurtatuta galdetuko dute. Orri honek ñabardura osoarekin erantzuten du, eskaeraren bidean dagoen AEBetako hornitzailea barne.

Eskatu demo batIkusi azpiprozesatzaileak (fitxa berri batean irekitzen da)
  • ENS ziurtagiria (Ertaina kategoria), 34/5704/26/09103 zk., OCA Instituto de Certificación, eta ISO/IEC 27001 ziurtagiria · Hodeitek S.L.; irismenak HodeiShield SaaS zerbitzua barne hartzen du.
  • Plataformaren segurtasuna OWASP ASVSrekin lerrokatua, ziurtagirik gabe.
Segurtasun-fitxa
Ostatatzea
OVH, Gravelines (Frantzia, EB)
Bidean
Cloudflare (AEB): DNS, CDN eta TLS
Pasahitzak
Indar gordinaren erasoei aurre egiteko diseinatutako algoritmo batekin gordeak
Bi faktoreko autentifikazioa
Aldi baterako kodeak, passkeyak eta SSO; zure erakundeak exigi dezake
Sekretuak
Kredentzialak eta sekretuak zifratuak
Isolamendua
Bezero bakoitzak bere datuak soilik ikusten ditu; datu-baseak berak betearazten du
Auditoretza
Auditoretza-erregistro aldaezina
Erreferentzia
OWASP ASVSrekin lerrokatua (ziurtatu gabea)
Xehetasun teknikoa
  • Pasahitzak: Argon2id hasha.
  • Bi faktoreko autentifikazioa: TOTP, passkeyak eta SSO.
  • Sekretuak: AES-256-GCM zifratzea.
  • Isolamendua: errenkada mailako segurtasun behartua (RLS FORCE-rekin) PostgreSQLn.

Plataformaren datuak, erabilgarritasun-zifrarik eta zigilurik gabe.

Zure datuak non dauden eta nork erantzuten duen

Azpiegitura eta datuak EBn ostatatzen dira. Cloudflare, AEBetakoa, eskaera bakoitzaren bidean dago. Bi gauzak egiazkoak dira aldi berean.

Eskaera baten bidea

  1. Zure erakundea

    Nabigatzailea, CLIa edo endpoint agentea

    Eskaeraren jatorria

  2. Cloudflare

    DNS, CDN eta TLS

    AEBetako enpresa

  3. OVH

    Kudeatutako aplikazioa, datu-basea eta biltegiratzea

    Gravelines, Frantzia (EB)

OVHk aplikazioa, datu-basea eta biltegiratzea ostatatzen ditu. Cloudflarek DNS, CDN eta TLS zerbitzatzen ditu, beraz plataformarako trafikoa haren saretik pasatzen da.

Zer dagoen EBn

Aplikazioa, datu-basea eta objektuen biltegiratzea, OVH Gravelinesen. Kopilotuaren AA Mistral AIk eskaintzen du; ez dugu bere tratamendu-eskualdea adierazten.

Docs · Azpiprozesatzaileak (fitxa berri batean irekitzen da)

Zer ezin dugun esan

Ez dugu esaten inongo datuk AEBetako azpiegiturarik ukitzen ez duenik, ez eta plataforma AEBetako hornitzailerik gabekoa denik: Cloudflare bidean dago. Horrek zure arrisku-azterketa baldintzatzen badu, galdetu iezaguzu demoa baino lehen.

Plataformaren arkitektura

Nola babesten den plataforma

Kontsolak gaur egun ezartzen dituen kontrolak, bermatzen dutenaren arabera azalduak. Izen tekniko zehatza «Xehetasun teknikoa» bakoitzean dago. Erreferentzia-esparrua OWASP ASVS da: plataforma harekin lerrokatua dago, ez ziurtatua.

Kredentzialak eta sarbidea

Nor sartzen den eta zer bermerekin.

  • Pasahitzak indar gordinaren erasoei aurre egiteko diseinatutako algoritmo batekin gordetzen dira.
  • Bi faktoreko autentifikazioa aldi baterako kodeekin, passkeyekin eta sarbide bakarrarekin (SSO).
  • Bi faktoreko autentifikazioa lehenespenez aukerakoa da, eta administratzaile batek exigi dezake erakundearen politikaren bidez.

Irismena: Exigitzea zure administratzailearen erabakia da: ez dator ezarrita.

Xehetasun teknikoa
  • Pasahitzak: Argon2id hasha.
  • Bi faktoreko autentifikazioa: TOTP, passkeyak eta SSO.

Sekretu eta kredentzial zifratuak

Integrazio-kredentzialak eta bi faktoreko autentifikazioaren sekretuak zifratuta gordetzen dira.

  • Webhooken sekretuak sortzean behin bakarrik erakusten dira.
Xehetasun teknikoa
  • Zifratzea: AES-256-GCM.

Erakundeen arteko isolamendua

Bezero bakoitzak bere datuak soilik ikusten ditu: isolamendua datu-baseak berak betearazten du, ez aplikazioak soilik.

  • APIaren, CLIaren eta MCPren tokenek erakunde bakar bat estaltzen dute, sarbidea ematean aukeratzen duzuna.
Xehetasun teknikoa
  • Kontsulta bakoitza maizterraren testuingurutik pasatzen da.
  • PostgreSQLk errenkada mailako segurtasun behartua aplikatzen du (RLS FORCE-rekin).

Trazabilitatea

Plataformaren jardueraren auditoretza-erregistro aldaezin bat eta ACTen ekintzen erregistro bat, nork zer egin duen dioena.

  • Ekintza-erregistroan sarrerak gehitzen dira soilik, bakoitza aurrekoari lotuta geratzen da eta loteka sinatzen dira: edonork egiazta dezake gako publikoarekin.

Irismena: Sinadura postkuantikoek (ML-DSA-65) egiaztagiriak eta ekintza-erregistroa babesten dituzte. Ez dute trafiko bizia zifratzen.

Xehetasun teknikoa
  • Append-only ekintza-erregistroa, hash bidez kateatua eta ML-DSA-65ekin loteka sinatua, gako publikoarekin egiaztagarria.
  • ML-DSA-65 (FIPS 204) sinadura postkuantikoa da.

Zer gertatzen den zure datuekin HodeiAI erabiltzean

Kopilotuak edukia AA hornitzaile bati bidaltzen dio. Tratamendu horren muga zehatzak hauek dira.

Zer izenordetzen den

Bidali aurretik, HodeiShield-ek ezagutzen dituen datu pertsonalak markatzaileekin ordezkatzen ditu.

  • Zure erakundeko erabiltzaileen eta hornitzaileen kontaktuen posta elektronikoak, telefonoak, nortasun-agiriak, IBANak eta izenak.
  • Markatzailea eta balioa lotzen dituen taula eskaeraren iraupenean memorian soilik dago.

Irismena: Zure erakundeko erabiltzaileak edo hornitzaileen kontaktuak ez diren pertsonen izenak ez dira ezagutzen eta dauden bezala bidaltzen dira. Edukiak berak (adibidez, hornitzaile baten izenak) zure negozioa deskriba dezake. HodeiAI-ri eta CISO birtualari aplikatzen zaie. Hornitzaileen eskaneatzeen arrisku-analisiak ez du izenordetzen: hornitzailearen domeinua eta aurkikuntzak bidaltzen ditu. Dei hori HodeiAI zure erakundearentzat aktibatuta dagoenean bakarrik egiten da.

Zenbat denbora gordetzen den eta nork kontrolatzen duen

Elkarrizketak gehienez 90 egunez gordetzen dira, eta gero automatikoki ezabatzen dira.

  • Administratzaile batek HodeiAI desaktiba dezake; itzalita dagoenean ez zaio Mistral AIri deitzen erakunde horrentzat.
  • Inoiz ez du jarduten zure berariazko baieztapenik gabe.

Irismena: Zure erakundearen datu bizien kontsulta egiten du tresnen bidez; ez da RAG sistema bat.

Ziurtagiriak: ENS eta ISO/IEC 27001, HodeiShield irismenean dela

Dagoen bezala esaten dugu, auditoretzan asmatu beharrik ez egoteko.

Hodeitek S.L., enpresa

Baieztatzen ez duguna

  • Ez zure betetzea ziurtatzen, ez CPSTICHodeiShield-ek zure egoera neurtzen du, ez du zure betetzea ziurtatzen, eta ez dago CPSTIC katalogoan, hori beste gauza bat baita. Haren segurtasuna OWASP ASVSrekin lerrokatua dago, ziurtagirik gabe.

ECSO «Cybersecurity Made in Europe» zigilua

Hodeitek-ek zigilua du, eta autodeklaratutako europar jatorria adierazten du. Ez da ziurtagiri baten baliokidea. Hodeitek INCIBEren katalogoan ere agertzen da, zerrenda bat da eta ez akreditazio bat.

Zer ez dagoen bermatuta

Norbaitek emandakotzat jo dezakeena eta ez dena.

  1. Inongo datu AEBetatik ez pasatzea

    Cloudflarek, AEBetako enpresa batek, DNS, CDN eta TLS zerbitzatzen ditu eskaeraren bidean.

  2. Zure betetzea ziurtatzea

    Hodeitek S.L.ren ISO/IEC 27001 eta ENS Ertaina kategoriako ziurtagiriek HodeiShield barne hartzen dute irismenean, baina HodeiShield-ek ez du zure erakundearen betetzea ziurtatzen. OWASP ASVSrekiko lerrokatzea ez da ziurtagiri bat.

  3. Bi faktoreko autentifikazioa aktibo egotea

    Lehenespenez aukerakoa da. Zure erakundearen politikak aktibatzen edo exigitzen du.

  4. Egiaztagiri batek betetzea frogatzea

    Sinatutakoaren osotasuna, jatorria eta unea frogatzen ditu. Ez du frogatzen egiazkoa denik, eta ez dago gardentasun-erregistro publikorik. Sinadura-gakoak plataformaren sekretu gisa gordetzen dira, ez hardware-segurtasuneko modulu batean (HSM).

  5. HodeiAI-k datu pertsonalik ez ikustea

    Ezagutzen duena izenordetzen du, eta ezagutzen ez duena idatzita dagoen bezala bidaltzen da.

  6. Erabilgarritasun-zifrak

    Ez dugu web honetan SLArik ez erabilgarritasun-metrikarik argitaratzen.

Ahultasunen ezagutarazpen arduratsua

Ahultasun bat aurkitu duzula uste baduzu, idatzi iezaguzu publiko egin aurretik.

security@hodeitek.com

Hodeitek-en segurtasun-gaietarako kanala da. Ez dugu posta elektroniko zifraturik eskaintzen.

  1. Jakinarazi pribatuan: eragindako produktuaren biltegi publikoan GitHub-ek eskaintzen duen ahultasunen salaketa pribatuaren bidez (hodeishield-cli edo hodeishield-attest-verifier), edo security@hodeitek.com helbidera posta elektronikoz. Webgunea, kontsola eta agentea ez dute biltegi publikorik: horientzat, erabili posta elektronikoa.
  2. Adierazi eragindako URLa, maizterra edo produktua eta bertsioa, erreproduzitzeko urratsak, ikusten duzun inpaktua eta zurekin harremanetan jartzeko modu bat. Ez sartu inoiz benetako API gakorik edo tokenik.
  3. Jasotzea berresten dugu, azterketan zehar informatuta mantentzen zaitugu eta zurekin adosten dugu argitaratze-data.

Irismenaren barruan

  • hodeishield.com eta www.hodeishield.com.
  • app.hodeishield.com, betan parte hartzen baduzu soilik eta zure maizter edo lan-eremuaren barruan.
  • HodeiShield agentea. Ez du biltegi publikorik: jakinarazi posta elektronikoz.
  • Komando-lerroko tresna (hodeishield-cli), bere biltegi publikoan.
  • Ziurtagirien egiaztatzailea (hodeishield-attest-verifier), bere biltegi publikoan.

Irismenetik kanpo

  • Zerbitzua ukatzea eta karga-probak.
  • Ingeniaritza soziala eta eraso fisikoak.
  • Hirugarrenen zerbitzuak (Cloudflare, Turnstile, analitika-etiketak).
  • Eskaner automatikoen irteera, inpaktu frogatu gabe.
  • Falta diren goiburuak, ustiapen posiblerik gabe.
  • Inprimakietako spama.

Arauak

  • Erabili zure kontuak soilik.
  • Ez sartu beste pertsonen datuetara, ez aldatu eta ez gorde.
  • Datu agerian geratuak ikusten badituzu, gelditu lehenengoan eta jakinarazi iezaguzu.
  • Ez hondatu zerbitzua eta ez kaltetu bere erabiltzaileak.
  • Ez dugu ekintza juridikorik egingo, politika hau betetzen duen fede onezko ikerketa baten ondorioz.

Erantzuteko eta zuzentzeko helburu-epeak

Jasotzearen berrespena eta lehen balorazioa, lanegunetan; gainerako epe guztiak, egutegiko egunetan. Zuzenketa-helburuek zuzendutako bertsio bat argitaratzea dute xede, lehen balorazioa egiten denetik zenbatuta. Lan egiteko erabiltzen ditugun epeak dira, ez SLA bat.

Jasotzearen berrespena
3 lanegun
Lehen balorazioa
10 lanegun
Egoera-eguneratzeak
Gutxienez 14 egunetik behin
Zuzenketa-helburua, kritikoa
7 egun
Zuzenketa-helburua, handia
30 egun
Zuzenketa-helburua, ertaina
90 egun
Zuzenketa-helburua, txikia
Hurrengo bertsioan
Ezagutarazpen koordinatua
90 egun zure jakinarazpenetik; lehenago argitara dezakegu ahultasuna aktiboki ustiatzen ari bada

Ez dugu diru-sarirurik eskaintzen. Baimena ematen badiguzu, publikoki aitortzen dizugu.

Konfiantza: dokumentu bakoitza non dagoen

Kontratatu aurretik eska edo egiazta dezakezunaren aurkibidea. Esteka bakoitzak indarrean dagoen testura eramaten du, ez laburpen batera.

Ziurtagiriak

Hodeitek S.L.k ISO/IEC 27001 eta ENS ziurtagiriak ditu, Ertaina kategoria (ENS: 34/5704/26/09103 zk.), HodeiShield SaaS zerbitzua irismenean dela. Ziurtatzen ez duguna atal berean dago.

Trust Center

HodeiShieldek ez du bere konfiantza-atari publikorik. Trust Center kontsolaren funtzio bat da, eta bezero bakoitzak berea argitaratzeko erabiltzen du; kontsolan kudeatzen da, saioa hasita.

Xehetasun gehiago

DPOaren eta auditoretzaren galderak

Gehien errepikatzen direnak, berrikuspen bati eusten dion erantzunarekin.

Datuak EBtik ateratzen al dira?

Aplikazioa, datu-basea eta biltegiratzea OVH Gravelinesen (Frantzia) daude. Cloudflarek, AEBetako enpresa batek, DNS, CDN eta TLS zerbitzatzen ditu eskaeraren bidean, beraz ezin dugu agindu inongo datuk AEBetako azpiegiturarik ukitzen ez duenik.

HodeiShield ISO 27001 edo ENS ziurtagiriduna al da?

Bai. Hodeitek S.L.k ISO/IEC 27001 eta ENS Ertaina kategoriako ziurtagiriak ditu (ENS: 34/5704/26/09103 zk., OCA Instituto de Certificaciónek emana), HodeiShield SaaS zerbitzua barne hartzen duen irismenarekin. Horrek ez du zure erakundearen betetzea ziurtatzen, eta CPSTIC katalogoa beste gauza bat da, eta ez dugu aldarrikatzen.

Zer esan nahi du «OWASP ASVSrekin lerrokatua»?

Plataformaren segurtasun-kontrolak ASVS erreferentziatzat hartuta diseinatu direla. Ez da ziurtagiri bat, eta ez du hirugarren batek igortzen.

HodeiAI-k datu pertsonalak bidaltzen al dizkio hirugarren bati?

Edukia Mistral AIri bidaltzen dio. Aurretik ezagutzen dituen datu pertsonalak izenordetzen ditu (posta elektronikoak, telefonoak, agiriak, IBANak eta zure erabiltzaile eta kontaktuen izenak), baina ez ezagutzen ez dituenak. Hornitzaileen eskaneatzeen arrisku-analisiak ez du izenordetzen: hornitzailearen domeinua eta aurkikuntzak bidaltzen ditu. Administratzaile batek itzali dezake.

Nola jakinarazten dut ahultasun bat?

Idatzi security@hodeitek.com helbidera, eragindako URLa edo maizterra, erreproduzitzeko urratsak, inpaktua eta zurekin harremanetan jartzeko modu bat adierazita. Irismena, arauak eta orientatiboak diren epeak orri honetako ezagutarazpen arduratsuaren atalean daude.

Berrikusi puntu hauek zure DPOarekin

Zure arrisku-azterketak xehetasun gehiago behar badu, demoan ikusten dugu zuk esaten duzunarekin.

Lan-elkarrizketa bat, konpromisorik gabe.

Eskatu demo batIkusi azpiprozesatzaileak (fitxa berri batean irekitzen da)