Centrum dôvery

Ako overujeme bezpečnostné a dátové tvrdenia

Assurance Pack spája každé verejné tvrdenie s presným rozsahom, vlastníkom, dôkazom, dátumom a ďalšou kontrolou. Nie je to certifikát ani bezpečnostný odznak. Tvrdenie bez aktuálneho dôkazu sa nesmie zverejniť ako hotová vlastnosť.

Stav lokálneho kandidáta: publikačná brána rozlišuje overené tvrdenia, potvrdené obmedzenia a blokované alebo neúplné položky. Produkčné nastavenia, dodávatelia, regióny, zálohy a retencia sa musia znovu overiť po nasadení.

Register: 5 položiek spĺňa internú publikačnú schému; 2 položiek zostáva zablokovaných alebo neúplných. Počet nie je skóre bezpečnosti.

Otvoriť bezpečnostný prehľad a známe obmedzenia

Register verejných tvrdení

Každé tvrdenie má rozsah, vlastníka, dôkaz a dátum kontroly. Stav „overené v kóde“ ešte nepotvrdzuje nastavenie budúceho hostingu alebo zmluvy poskytovateľa.

Životný cyklus údajov

Technické a organizačné opatrenia

• serverové uloženie API kľúča bez jeho zobrazovania vo verejnom HTML,
• ochrana formulárov bezpečnostnými tokenmi WordPressu a obmedzenie počtu požiadaviek,
• kontrola verejných URL proti prístupu do interných alebo lokálnych adries,
• povolený zoznam typov súborov, limit veľkosti a kontrola rozbalených kancelárskych dokumentov,
• súkromné ukladanie výstupov a oddelenie používateľských účtov,
• súhrnné meranie interných prechodov medzi stránkami iba pre správcu, bez mena, e-mailu, účtu, cookies alebo identifikátora návštevy,
• automatické čistenie jednotlivých udalostí a súhrnnej analytiky po 90 dňoch,
• PWA ukladá offline iba verejnú ikonu aplikácie; súkromné stránky, audity, výstupy ani upozornenia sa do offline vyrovnávacej pamäte neukladajú,
• upozornenia prehliadača sú dobrovoľné a na zamknutej obrazovke zobrazujú iba všeobecnú informáciu bez názvu firmy či obsahu výstupu,
• bezpečnostné hlavičky, vypnutý verejný zoznam používateľov a XML-RPC,
• predvolený režim návrh + kontrola človekom; automatické konanie nie je zapnuté bez osobitného návrhu a súhlasu.

Tieto opatrenia znižujú riziko, ale nepredstavujú certifikáciu ani záruku absolútnej bezpečnosti.

Poskytovatelia, regióny a retencia

Pri AI výstupe môže byť spracovateľom poskytovateľ nakonfigurovaného AI API. Hosting a e-mail zabezpečujú príslušní poskytovatelia prevádzky webu. Konfigurovateľná možnosť v kóde nie je dôkazom aktuálnej produkčnej zmluvy, regiónu, nulovej retencie ani zákazu tréningu.

Otvorená brána pred plateným štartom: prevádzkovateľ musí zverejniť skutočný zoznam spracovateľov a subdodávateľov, účel, región, retenciu, tréningové podmienky, DPA, prenos mimo EHP, zálohy a lehotu vymazania pre každý dátový tok. Kým tieto dôkazy chýbajú, Educado nepoužíva všeobecné tvrdenia „zero retention“, „EÚ servery“ ani „údaje sa nepoužívajú na tréning“.

Educado zatiaľ štandardne nežiada heslá do e-mailu, kalendára, CRM, banky ani účtovníctva. Budúce integrácie majú používať samostatné konektory v prostredí klienta, minimálne oprávnenia, testovacie dáta, záznam krokov a možnosť prístup okamžite odobrať.

Bezpečnostné testovanie a certifikácia

Lokálny kandidát prechádza automatizovanými regresnými, uploadovými, vstupnými a výstupnými kontrolami. To nie je nezávislý penetračný test ani certifikácia. Nezávislý test produkčného webu, API, autentifikácie, tenantovej izolácie, uploadov, konektorov a relevantných AI útokov ešte nemá zverejnený rozsah, report a retest.

Educado zatiaľ neuvádza certifikát ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 42001 ani Europrivacy. Prípadný budúci certifikát musí uviesť číslo, certifikačný orgán, presný rozsah a platnosť; nebude sa prezentovať ako absolútna záruka bezpečnosti.

Incident a zodpovedné oznámenie zraniteľnosti

Bezpečnostný incident alebo podozrenie oznámte na kontaktný e-mail nižšie. Uveďte dotknutú časť, približný čas, pozorované správanie a bezpečný kontakt. Neposielajte heslá, API kľúče, celé databázy ani údaje iných osôb. Educado musí podanie zaevidovať, potvrdiť prijatie, ohraničiť dopad, zachovať dôkazy, určiť vlastníka nápravy a podľa právnej analýzy splniť oznamovacie povinnosti.

Zodpovedné oznámenie nie je oprávnenie na narušenie účtu, získavanie cudzích údajov, sociálne inžinierstvo, DoS ani pokračovanie po potvrdení zraniteľnosti.

Čo od používateľa potrebujeme

• vkladať iba údaje potrebné pre konkrétnu úlohu,
• anonymizovať osobné a citlivé údaje,
• neposielať heslá, tokeny ani celé databázy,
• overiť fakty, ceny, termíny a právne alebo finančné tvrdenia,
• nenechať AI samostatne vykonať krok s vysokým dopadom bez schválenia.

Úrovne prístupu A0 až A5

Súhlas s auditom nie je súhlasom s pripojením systému ani so zápisom. Každé zvýšenie úrovne sa schvaľuje samostatne, s konkrétnym rozsahom a možnosťou odvolania.