Vertrauen und Sicherheit

Was wir mit Ihren Daten tun, wo sie liegen und was wir noch nicht haben. Geschrieben für die Person, deren Job es ist, Nein zu sagen.

Kontrollen

Was tatsächlich umgesetzt ist

Grün heißt, es läuft heute. Wir haben auch die Lücken aufgeführt, denn einer Seite voller Häkchen glaubt niemand.

  • Daten pro Kunde isoliertUmgesetzt

    Jede Tabelle trägt eine Organisations-ID, und jede Abfrage ist darauf beschränkt, durchgesetzt durch Row Level Security in der Datenbank und nicht nur im Anwendungscode. Ein Fehler in einer Seite kann keine Zeilen eines anderen Kunden zurückgeben.

  • Verschlüsselung bei der Übertragung und im RuhezustandUmgesetzt

    TLS auf jeder Verbindung. Daten im Ruhezustand werden von unserem Datenbank- und Speicheranbieter mit AES-256 verschlüsselt.

  • Zugangsdaten nie in lesbarer Form gespeichertUmgesetzt

    API-Schlüssel und Ingestion-Tokens werden als SHA-256-Digests gespeichert. Der Klartext wird einmal bei der Erstellung angezeigt und kann von niemandem wiederhergestellt werden, auch nicht von uns.

  • Minimale Rechte auf geheimen SpaltenUmgesetzt

    Spalten mit Zugangsdaten Dritter sind aus den Rechten Ihrer Sitzung entfernt, sodass sie selbst für ein angemeldetes Mitglied Ihrer eigenen Organisation nicht lesbar sind.

  • ZugriffsprotokollierungUmgesetzt

    Authentifizierungsereignisse und die Nutzung von API-Schlüsseln werden erfasst. Datenbankzugriffe protokolliert unser Anbieter.

  • Backups und WiederherstellungUmgesetzt

    Tägliche automatische Backups bei unserem Datenbankanbieter, mit Point-in-Time-Recovery, verfügbar auf der Produktionsstufe.

  • Single Sign-on mit SAMLAuf Anfrage verfügbar

    Die Anwendung behandelt Identität bereits als extern und liest Rollen aus dem Datensatz Ihrer Organisation, daher ist SAML eine Frage der Konfiguration und keine Neuentwicklung. Dafür braucht es einen Enterprise-Identity-Provider auf Ihrer Seite und eine kostenpflichtige Stufe auf unserer. Fragen Sie, und wir schalten es für Ihr Konto frei.

  • SOC 2 Type IINoch nicht

    Das haben wir nicht. SOC 2 ist ein unabhängiges Audit über einen Beobachtungszeitraum, keine Funktion: Es braucht einen Prüfer, mehrere Monate Nachweise und ein fünfstelliges Budget. Wir beginnen damit, wenn die Nachfrage von Großkunden es rechtfertigt, und sagen das lieber offen, als auf einer Seite wie dieser etwas anderes anzudeuten. Bis dahin sind die Kontrollen oben echt, und wir beantworten jeden Fragebogen im Detail.

  • PenetrationstestNoch nicht

    Es wurde noch kein Test durch Dritte durchgeführt. Eine interne Prüfung aus Angreifersicht gehört dazu, wie Änderungen ausgeliefert werden, aber das ist nicht dasselbe, und wir stellen es nicht so dar.

Wo Ihre Daten liegen

Das Hosting der Anwendung und die Datenbank stellen unsere Unterauftragsverarbeiter bereit, vollständig aufgeführt auf der Seite der Unterauftragsverarbeiter, die jeden Dritten nennt, der Kundendaten berühren kann, und was er jeweils tut. Unsere Bedingungen zur Datenverarbeitung stehen im DPA.

QUORIAN - F.Z.E ist eingetragen in der Ajman Free Zone, Ajman, United Arab Emirates.

Etwas melden

Wenn Sie glauben, eine Schwachstelle gefunden zu haben, schreiben Sie an info@quorian.com. Sagen Sie uns, was Sie gefunden haben und wie es sich reproduzieren lässt. Wir bestätigen den Eingang innerhalb von zwei Werktagen. Derzeit bieten wir kein bezahltes Bounty-Programm an, und wir gehen gegen niemanden vor, der in gutem Glauben ein echtes Problem meldet, ohne auf Daten anderer Kunden zuzugreifen.

Etwas fehlt hier? Schreiben Sie an info@quorian.com und fragen Sie. Quorian beantwortet Sicherheitsfragebögen.