Bezpieczeństwo i zaufanie

1. Nasza filozofia bezpieczeństwa

Podstawowa zasada działania ARRAC brzmi: powstrzymuj, nigdy nie niszcz. Każde automatyczne działanie, jakie może podjąć Platforma, zaprojektowano jako odwracalne — izoluje podejrzane zagrożenie, by zyskać czas na decyzję człowieka, zamiast trwale usuwać konta, aplikacje czy dane. Tę samą dyscyplinę stosujemy do sposobu, w jaki ARRAC uzyskuje dostęp do Twojego środowiska, jakiej oczekujemy od Ciebie wobec Twojego własnego poziomu bezpieczeństwa.

2. Architektura dostępu

ARRAC łączy się z tenantem Microsoft 365 Klienta w modelu najmniejszych uprawnień z dwoma poświadczeniami: połączeniem tylko do odczytu, używanym do ciągłego monitorowania, oraz odrębnym połączeniem z prawem zapisu, wykorzystywanym wyłącznie do wykonania konkretnego, zatwierdzonego działania powstrzymującego zagrożenie. Poświadczenie z prawem zapisu nie pozostaje otwarte w trybie stałym — jest używane tylko przez czas, jakiego wymaga dane działanie. Uprawnienia umożliwiające działania destrukcyjne są z założenia wyłączone z zakresu, o jaki prosi ARRAC.

Podczas wdrożenia ARRAC żąda wyłącznie tych uprawnień Microsoft Graph, których wymagają jego funkcje wykrywania i powstrzymywania zagrożeń — nie zaś szerokiego dostępu administracyjnego wykraczającego poza potrzeby tych funkcji.

3. Szyfrowanie

Dane przesyłane pomiędzy Twoim środowiskiem, Platformą ARRAC i jej podprzetwarzającymi są szyfrowane przy użyciu standardowych branżowych mechanizmów szyfrowania transportu. Poświadczenia i wrażliwe wartości konfiguracyjne są szyfrowane w spoczynku.

4. Audyt i logowanie

Każde działanie podjęte przez ARRAC w Twoim środowisku — zarówno rekomendowane, jak i wykonane automatycznie — jest zapisywane w niezmiennym dzienniku audytu, rejestrującym co zostało zrobione, dlaczego i kiedy. Dziennik ten jest dostępny dla Klientów w Platformie i został zaprojektowany tak, by był odporny na manipulacje, również ze strony personelu samego ARRAC.

5. Hosting i infrastruktura

Platforma ARRAC jest hostowana na dedykowanej infrastrukturze dostarczanej przez europejskiego dostawcę hostingu. Dostęp sieciowy do infrastruktury bazowej Platformy jest ograniczony, a dostęp administracyjny zawężony do tego, co niezbędne do eksploatacji i wsparcia.

6. Integracje

ARRAC łączy się z narzędziami, które już masz w swoim stosie, zamiast wymagać ich wymiany. Aktywne, wspierane integracje dostępne dziś:

Integracja z Sentinel działa wyłącznie w trybie odczytu: ARRAC odpytuje dane przez KQL na potrzeby korelacji i dowodów, a niczego nie zapisuje z powrotem w Twoim obszarze roboczym Sentinel.

7. Dostęp personelu

Dostęp personelu ARRAC do Danych Klienta ogranicza się do tego, co niezbędne, aby świadczyć, utrzymywać i wspierać Platformę — na przykład w celu zbadania zgłoszenia serwisowego. ARRAC.IO jest obecnie prowadzony przez jednego założyciela; w miarę rozwoju zespołu dostęp nadal będzie podlegał zasadzie najmniejszych uprawnień opisanej w sekcji 2.

8. Certyfikacje

ARRAC pracuje nad uzyskaniem właściwych certyfikacji branżowych wraz z rozwojem firmy. Żadna certyfikacja nie jest przedstawiana jako uzyskana, o ile na tej stronie nie wskazano wyraźnie inaczej. Będziemy aktualizować tę stronę i informować Klientów bezpośrednio o kolejnych uzyskanych certyfikacjach.

9. Odpowiedzialne ujawnianie podatności

Jeśli uważasz, że znalazłeś podatność w Platformie lub witrynie ARRAC, chcemy o tym usłyszeć. Zgłoś ją na adres [email protected], podając szczegóły wystarczające do odtworzenia problemu. Prosimy nie uzyskiwać dostępu do danych, nie modyfikować ich ani nie wyprowadzać ich poza zakres niezbędny do wykazania podatności oraz zapewnić nam rozsądny czas na zbadanie i usunięcie problemu przed jakimkolwiek publicznym ujawnieniem. Rzetelne zgłoszenia potwierdzamy niezwłocznie i informujemy o postępach.

10. Reakcja na incydenty

W razie incydentu bezpieczeństwa dotyczącego Danych Klienta ARRAC niezwłocznie przeprowadzi dochodzenie, podejmie rozsądne kroki w celu powstrzymania i usunięcia skutków problemu oraz powiadomi dotkniętych Klientów zgodnie ze zobowiązaniami powiadomieniowymi zawartymi w naszej Umowie powierzenia przetwarzania danych.