Güvenlik Standartları

ProcureLabs'te güvenlik platformumuzun temel unsurudur. Bu sayfa, tedarik verilerinizi korumak için uygulanan önlemleri ve bu önlemlerin neleri kapsayıp neleri kapsamadığını açıklar.

Sertifikasyonlara Uyum

Veri Şifreleme

Altyapı Güvenliği

• Bulut Altyapısı: SOC 2, ISO 27001 ve PCI DSS sertifikalarına sahip AWS üzerinde barındırılır. Bunlar ProcureLabs'e değil, AWS'ye ait sertifikalardır.
• Veri İzolasyonu: Müşteri verilerini tutan veritabanı tablolarında satır düzeyinde güvenlik etkinleştirilmiştir; böylece oturum açmış bir kullanıcının sorguları yalnızca kendi kuruluşunun satırlarını döndürür. Yükseltilmiş veritabanı erişimiyle çalışan arka plan işleri ve yönetim yolları satır düzeyinde güvenlikten geçmez; kiracı filtresini uygulama kodunda uygular.
• Kullanılabilirlik: Tek AWS bölgesi (Singapore); bölgeler arası yük devretme yoktur
• Felaket Kurtarma: Veritabanı sunucumuz (Supabase) tarafından sağlanan, belirli bir zamana geri dönmeyi destekleyen veritabanı yedekleri

Erişim Kontrolü

Güvenlik İzleme ve Müdahale

• Güvenlik Açığı Yönetimi: Her birleştirme isteği, işlenen gizli bilgileri (Gitleaks) ve düzeltilebilir kritik bağımlılık güvenlik açıklarını (Trivy) tespit etmek üzere taranır.
• Olay Müdahalesi: Olaylar, ProcureLabs'ın kurucusu tarafından platformun olay müdahalesi oyun kitapları kullanılarak ele alınır ve etkilenen müşterilere e-posta yoluyla bildirim yapılır.
• Güvenlik sorunları aşağıdaki güvenlik iletişim noktamıza bildirilebilir.

Yapay Zekâ Veri İşleme Güvenliği

Yapay zekâ özelliklerimiz güvenlik ve gizlilik gözetilerek tasarlanmıştır:

• OpenAI işlemesi OpenAI sohbet, analiz ve araç seçimi ile satın alma kanıtları için sınırlı Decisions değerlendirmelerini destekler. Güncel müşteri iznine ve üzerinde anlaşılmış bölgesel yapılandırmaya tabi olarak Decisions, izin verilen amaç için asgariye indirilmiş ve hassas bilgileri gizlenmiş bağlamı ve soruları alır. OpenAI API verileri yalnızca açıkça katılım seçildiğinde model eğitimi için kullanılır. Decisions, geçerli güvenlik, koruma veya yasal istisnalara tabi olarak, şifrelenmiş istem önbelleği durumunu 24 saate kadar ve standart kötüye kullanım izleme günlüklerini 30 güne kadar saklayabilir.
• Decisions işlemesi için izin Decisions işlemesi, güncel müşteri talimatları ile belirli amaç, hesap, veri işleyen ve ABD’ye aktarım için izin gerektirir. AI’ın devre dışı bırakılması veya ilgili yetkinin geri çekilmesi yeni Decisions isteklerini engeller. Sonuç doğuran eylemler gerekli güvencelere ve bağımsız incelemeye tabi olmaya devam eder.
• Saklama, ilgili veri kategorisi, müşteri talimatları, yasal muhafaza yükümlülükleri ve sağlayıcı koşullarına göre yapılır. Sohbet geçmişi, türetilmiş içerik, denetim kayıtları ve sağlayıcı günlükleri ayrı saklama koşullarına sahiptir. Silme talepleri veri işleme sözleşmesi ve geçerli hukuk kapsamında ele alınır.
• İsteğe bağlı yapay zekâ özellikleri yöneticiler tarafından devre dışı bırakılabilir
• Yapay zekâ özellikleri bir yönetici tarafından kuruluş genelinde veya her kullanıcı tarafından kendisi için kapatılabilir
• Yapay zekânın önerdiği eylemlere ilişkin kararların denetim günlüğü

Veri Yerleşimi

Tüm müşteri verileri tek bir bölgede depolanır. Yapay zekâ özellikleri, ihtiyaç duydukları verileri Amerika Birleşik Devletleri'ndeki yapay zekâ sağlayıcılarıyla işler. Bugün itibarıyla ek depolama bölgeleri mevcut değildir.

Yönetişim

• Politikalarımızın ve prosedürlerimizin bir dizinini içeren yazılı bir bilgi güvenliği politikası tutuyor ve bunu en az yılda bir kez gözden geçiriyoruz.
• Dürüstlük, gizlilik ve çıkar çatışmalarını kapsayan yazılı bir davranış kuralları bütünü tutuyoruz.
• ProcureLabs'ın üç kurucusu vardır. CEO ve Direktör David Hodge, güvenlik ve veri korumasından sorumludur. Kurucu ortak incelemesi ve bağımsız kurtarma düzenlemeleri belgelenmekte ve doğrulanmaktadır.
• En az yılda bir kez ve önemli değişikliklerden önce gözden geçirilen yazılı bir risk kaydı tutuyoruz.
• Alt işleyicilerimizi kontrol etme ve gözden geçirme sürecini yazılı olarak tutuyoruz. ProcureLabs'ı çalıştıran sunucuların fiziksel güvenliği AWS ve Supabase tarafından sağlanır; kendimize ait veri merkezleri işletmiyoruz.
• En az yılda bir kez gözden geçirilen yazılı bir iş sürekliliği planı tutuyoruz.
• Veritabanımızı yedekten test amaçlı geri yüklemeye ilişkin yazılı bir prosedürümüz vardır. Yalnızca veritabanı geri yükleme tatbikatı tamamlanmış ve geçici kopya silinmiştir. Uygulamanın tamamının, kimlik doğrulamanın ve nesne depolamanın kurtarılması ile bağımsız alternatif operatör erişiminin doğrulanması devam etmektedir.

Değişiklik yönetimi ve işleme bütünlüğü

• Kod değişiklikleri, gizli bilgi taraması, veritabanı geçişi kontrolleri ve bu sitedeki güvenlik ve gizlilik beyanlarının kodla hâlâ eşleştiğini kontrol eden bir test dâhil olmak üzere gerekli işlem hattı kontrollerini geçmesi gereken birleştirme istekleri aracılığıyla ana dalımıza ulaşır. Üretim sürümü yalnızca bu daldan yayımlanır. Gerekli bir kontrol kaldırılır veya başarısız olmasına izin verilirse otomatik test başarısız olur.
• Koddaki bilinen zayıflıklar, temel çizgilerde ve uyumluluk kanıtı kaydımızda tutulur. Bir hatayı sessizce yok sayan hata işleyicisi veya destekleyici kodu değişmiş yayımlanmış bir beyan gibi yeni bir zayıflık ekleyen değişiklik, düzeltilene veya kayda geçirilene kadar engellenir.
• API'mizdeki yazma uç noktalarının çoğu, her istek gövdesini beyan edilmiş bir şemaya göre kontrol eder ve eşleşmeyen bir isteği 400 hatasıyla reddeder.
• Tespit motorlarımızın her çalıştırması, her tespit aracı için tamamlanıp tamamlanmadığını ve kaç sonuç döndürdüğünü veya başarısız olduğunu kaydeder. Başarısızlık, hiçbir zaman “bulgu yok” olarak değil, başarısızlık olarak kaydedilir.