Infrastruktura
Na czym stoi cosmetiFULL i na co te firmy mają certyfikaty
W branży regulowanej pytanie o to, do kogo należą fundamenty, prędzej czy później pada. Niżej stoją firmy, na których działa usługa, informacja, na co każda ma certyfikat, oraz odnośnik do firmy będącej właścicielem certyfikatu, w jej własnej domenie, żeby czytać to u właściciela, a nie u nas. Certyfikaty należą do nich, a ich rzeczywisty zakres jest wypisany niżej, w całości.
Cloudflare, na którym działają witryna i aplikacje
ISO 27001:2022 · ISO 27018:2019 · ISO 27701:2019 · SOC 2 Type II
Cloudflare serwuje tę witrynę, prowadzi aplikacje i trzyma ich dane oraz pliki. Firma podaje, że ma certyfikat ISO 27001 od 2019 roku, obecnie zgodny z ISO 27001:2022, certyfikat ISO 27018:2019 od 2022 roku oraz certyfikat ISO 27701:2019 jako podmiot przetwarzający i jako administrator danych osobowych od 2021 roku, a także raport SOC 2 Type II od 2019 roku. Same certyfikaty udostępnia przez konto Cloudflare albo na życzenie, a raport SOC 2 wydaje po podpisaniu umowy o poufności.
Anthropic, modele, które czytają i rozumują
ISO 27001:2022 · ISO/IEC 42001:2023 · SOC 2 Type I · SOC 2 Type II
LabelCheck wysyła etykietę do modeli zbudowanych przez Anthropic, żeby powstał raport, i te same modele odpowiadają na pytania o niego. Anthropic podaje, że ma ISO 27001:2022 dla bezpieczeństwa informacji oraz ISO/IEC 42001:2023 dla systemów zarządzania sztuczną inteligencją, a poza tym SOC 2 Type I i Type II. ISO/IEC 42001 to pierwsza norma międzynarodowa stawiająca wymagania nadzorowi nad sztuczną inteligencją i jedyna do sprawdzenia bez pytania kogokolwiek: Anthropic ogłosił certyfikat publicznie, a wystawiła go Schellman Compliance, LLC, jednostka certyfikująca ISO akredytowana przy ANSI National Accreditation Board. Pozostałe dokumenty przychodzą przez portal zaufania Anthropic, na życzenie.
Proton, poczta dla cosmetifull.com
ISO 27001 · SOC 2 Type II
Pocztę do i z naszych adresów nosi Proton, spółka szwajcarska, na podstawie szwajcarskiej ustawy federalnej o ochronie danych. Proton podaje, że ma certyfikat ISO 27001 od 2 maja 2024 r. oraz raport SOC 2 Type II. Odnośnik do certyfikatu stoi na jego własnej stronie zaufania.
Amazon Web Services, poczta transakcyjna z aplikacji
ISO 27001:2022 · ISO 27017:2015 · ISO 27018:2019 · ISO 27701:2019
Wiadomości wysyłane przez aplikacje, na przykład reset hasła, wychodzą przez Amazon Web Services z regionu Frankfurt. Amazon Web Services publikuje spis swoich programów zgodności i może go przeczytać każdy. Same certyfikaty i raporty z audytów przychodzą przez AWS Artifact, a do tego potrzebne jest konto AWS.
Co te certyfikaty naprawdę obejmują
Certyfikat dotyczy firmy, która go zdobyła, i zakresu poddanego przez nią audytowi. ISO 27001 Cloudflare mówi o tym, jak Cloudflare zarządza bezpieczeństwem informacji u siebie. Jesteśmy jej klientem, a za oprogramowanie działające na wierzchu odpowiadamy my. Dla oceniającego dostawcę to właśnie jest użyteczne rozróżnienie: fundamenty pokrywają certyfikaty powyżej, a naszą część wypisuje sekcja niżej oraz strona zaufania.
Co robimy sami
Każda strona tej witryny niesie tożsamość prawną spółki, numer w rejestrze handlowym i numer VAT, a jeśli którykolwiek z trzech zniknie, budowa się zatrzymuje. Kroje pism, obrazy i arkusze stylów idą z naszej własnej domeny, więc otwarcie strony wysyła adres IP wyłącznie do nas i do firmy hostującej witrynę: żaden podmiot trzeci nie dowiaduje się o tej wizycie. Skrypty wpisane w stronę uruchamiają się tylko wtedy, gdy ich odcisk jest dopuszczony w polityce bezpieczeństwa treści. Fakty z informacji o prywatności mieszkają w jednym pliku w naszym źródle, a każda budowa porównuje z nimi gotową witrynę, dzięki czemu informacja pozostaje prawdziwa. Sekrety mieszkają w zaszyfrowanym magazynie Cloudflare, nigdy w repozytorium. To wszystko dzieje się w tej samej budowie, z której wyszła czytana właśnie strona.
Poproś o certyfikat
Napisz na security@cosmetifull.com, podając dostawcę i potrzebny certyfikat. Gdzie dokument jest jawny, wysyłamy odnośnik, a gdzie nie jest, mówimy, w jaki sposób udostępnia go jego właściciel.
security@cosmetifull.com