Стандарты безопасности

В ProcureLabs безопасность является основой нашей платформы. На этой странице описаны действующие меры по защите ваших данных о закупках, а также указано, что они покрывают и чего не покрывают.

Соответствие требованиям сертификаций

Шифрование данных

Безопасность инфраструктуры

• Облачная инфраструктура: Размещается в AWS, который имеет сертификации SOC 2, ISO 27001 и PCI DSS. Это сертификации AWS, а не ProcureLabs.
• Изоляция данных: Безопасность на уровне строк включена для таблиц базы данных, содержащих данные клиентов, поэтому запросы вошедшего пользователя возвращают только строки его собственной организации. Фоновые задания и административные пути, выполняющиеся с повышенным доступом к базе данных, не проходят через безопасность на уровне строк; они применяют фильтр арендатора в коде приложения.
• Доступность: Один регион AWS (Сингапур); отказоустойчивое переключение между регионами отсутствует
• Аварийное восстановление: Резервные копии базы данных с восстановлением на определённый момент времени, предоставляемые хостинг-провайдером базы данных (Supabase)

Контроль доступа

Мониторинг и реагирование на угрозы безопасности

• Управление уязвимостями: Каждый запрос на слияние проверяется на наличие зафиксированных секретов (Gitleaks) и критических уязвимостей зависимостей, которые можно устранить (Trivy).
• Реагирование на инциденты: Обработкой инцидентов занимается основатель ProcureLabs с использованием плейбуков платформы по реагированию на инциденты; затронутые клиенты уведомляются по электронной почте.
• О проблемах безопасности можно сообщить нашему специалисту по безопасности, указанному ниже.

Безопасность обработки данных ИИ

Наши функции ИИ разработаны с учётом требований безопасности и конфиденциальности:

• Обработка данных OpenAI OpenAI поддерживает чат, анализ и ограниченные оценки Decisions для выбора инструментов и проверки доказательств по закупкам. При наличии действующего разрешения клиента и согласованной региональной конфигурации Decisions получает минимизированный контекст со скрытыми конфиденциальными данными и вопросы для разрешённой цели. Данные OpenAI API используются для обучения моделей только при явном согласии на участие. Decisions может хранить зашифрованное состояние кэша запросов до 24 часов и стандартные журналы мониторинга злоупотреблений до 30 дней с учётом применимых исключений по безопасности, защите или закону.
• Разрешение на обработку Decisions Обработка Decisions требует действующих инструкций клиента и разрешения для конкретной цели, учётной записи, обработчика и передачи в США. Отключение ИИ или отзыв соответствующих полномочий предотвращает новые запросы Decisions. Действия с существенными последствиями по-прежнему подлежат требуемым мерам защиты и независимой проверке.
• Хранение зависит от категории данных, инструкций клиента, юридических требований о сохранении и условий поставщика. История чата, производный контент, записи аудита и журналы поставщика имеют отдельные условия хранения. Запросы на удаление обрабатываются согласно соглашению об обработке данных и применимому законодательству.
• Необязательные функции ИИ могут быть отключены администраторами
• Администратор может отключить функции ИИ для всей организации, а каждый пользователь — для себя
• Журнал аудита решений по действиям, предложенным ИИ

Местоположение данных

Все данные клиентов хранятся в одном регионе. Функции ИИ обрабатывают необходимые им данные у поставщиков ИИ в США. Дополнительные регионы хранения в настоящее время недоступны.

Управление

• Мы поддерживаем письменную политику информационной безопасности с перечнем наших политик и процедур; пересмотр проводится не реже одного раза в год.
• Мы поддерживаем письменный кодекс поведения, охватывающий вопросы честности, конфиденциальности и конфликта интересов.
• У ProcureLabs три основателя. Дэвид Ходж, генеральный директор и директор, отвечает за безопасность и защиту данных. Проверка сооснователями и независимые меры восстановления документируются и проверяются.
• Мы поддерживаем письменный реестр рисков; его пересмотр проводится не реже одного раза в год и до внесения значительных изменений.
• Мы поддерживаем письменный процесс проверки и пересмотра наших субобработчиков. Физическую безопасность серверов, на которых работает ProcureLabs, обеспечивают AWS и Supabase; собственных центров обработки данных мы не эксплуатируем.
• Мы поддерживаем письменный план обеспечения непрерывности бизнеса; его пересмотр проводится не реже одного раза в год.
• У нас есть письменная процедура тестового восстановления базы данных из резервной копии. Упражнение по восстановлению только базы данных завершено, а временная копия удалена. Полное восстановление приложения, аутентификации и объектного хранилища, а также независимый доступ альтернативного оператора ещё предстоит проверить.

Управление изменениями и целостность обработки

• Изменения кода попадают в основную ветку через запросы на слияние, которые должны пройти обязательные проверки конвейера, включая сканирование секретов, проверки миграций базы данных и проверку того, что заявления о безопасности и конфиденциальности на этом сайте по-прежнему соответствуют коду. Выпуск в рабочую среду выполняется только из этой ветки. Автоматический тест завершается с ошибкой, если обязательная проверка удалена или ей разрешено завершиться с ошибкой.
• Известные недостатки кода фиксируются в базовых показателях и реестре доказательств соответствия. Изменение, добавляющее новый недостаток, например обработчик ошибок, который молча отбрасывает ошибку, или опубликованное заявление, подтверждающий код которого изменился, блокируется до устранения недостатка или его регистрации.
• Большинство конечных точек записи в нашем API проверяют тело каждого запроса по объявленной схеме и отклоняют запрос, который ей не соответствует, с ошибкой 400.
• Каждый запуск наших механизмов обнаружения фиксирует для каждого детектора, завершился ли он и сколько результатов вернул, либо что он завершился с ошибкой. Ошибка регистрируется как ошибка, а не как «ничего не найдено».