Affidabilità e sicurezza
Cosa facciamo con i tuoi dati, dove risiedono e cosa non abbiamo ancora. Scritto per chi, di mestiere, deve dire di no.
Controlli
Cosa è davvero attivo
Verde significa che è attivo oggi. Abbiamo elencato anche le lacune, perché a una pagina piena solo di spunte non crede nessuno.
Dati isolati per clienteAttivo
Ogni tabella contiene un id di organizzazione e ogni query è limitata in base a esso, con la row level security applicata nel database e non solo nel codice dell'applicazione. Un bug in una pagina non può restituire le righe di un altro cliente.
Crittografia in transito e a riposoAttivo
TLS su ogni connessione. I dati a riposo sono crittografati con AES-256 dal nostro fornitore di database e storage.
Credenziali mai salvate in forma leggibileAttivo
Le chiavi API e i token di ingestione sono salvati come digest SHA-256. Il testo in chiaro viene mostrato una sola volta alla creazione e nessuno può recuperarlo, nemmeno noi.
Privilegio minimo sulle colonne segreteAttivo
Le colonne che contengono credenziali di terze parti sono escluse dai permessi della tua sessione, quindi sono illeggibili anche per un membro autenticato della tua stessa organizzazione.
Registro degli accessiAttivo
Gli eventi di autenticazione e l'uso delle chiavi API vengono registrati. Gli accessi al database sono registrati dal nostro fornitore.
Backup e ripristinoAttivo
Backup automatici giornalieri conservati dal nostro fornitore di database, con ripristino point-in-time disponibile sul livello di produzione.
Single sign-on con SAMLDisponibile su richiesta
L'applicazione tratta già l'identità come esterna e legge i ruoli dal record della tua organizzazione, quindi aggiungere SAML è una configurazione, non una riscrittura. Serve un identity provider aziendale dalla tua parte e un piano a pagamento dalla nostra. Chiedilo e lo attiveremo per il tuo account.
SOC 2 Type IINon ancora
Non lo abbiamo. SOC 2 è un audit indipendente su un periodo di osservazione, non una funzionalità: richiede un auditor, diversi mesi di evidenze e un budget a cinque cifre. Lo avvieremo quando la domanda enterprise lo giustificherà, e preferiamo dirlo piuttosto che lasciar intendere il contrario su una pagina come questa. Nel frattempo i controlli qui sopra sono reali e risponderemo nel dettaglio a qualsiasi questionario.
Penetration testNon ancora
Nessun test di terze parti è stato ancora eseguito. La revisione interna in ottica avversaria fa parte del modo in cui rilasciamo le modifiche, ma non è la stessa cosa e non la presenteremo come tale.
Dove risiedono i tuoi dati
L'hosting dell'applicazione e il database sono forniti dai nostri sub-responsabili del trattamento, elencati per intero nella pagina dei sub-responsabili, che indica ogni terza parte che può accedere ai dati dei clienti e cosa fa ciascuna. I nostri termini sul trattamento dei dati sono nel DPA.
QUORIAN - F.Z.E è registrata nella Ajman Free Zone, Ajman, United Arab Emirates.
Segnalare un problema
Se pensi di aver trovato una vulnerabilità, scrivi a info@quorian.com. Dicci cosa hai trovato e come riprodurlo. Confermeremo la ricezione entro due giorni lavorativi. Al momento non abbiamo un programma di bounty a pagamento, e non perseguiremo chi segnala in buona fede un problema reale senza accedere ai dati di altri clienti.
Qualcosa che qui manca? Scrivi a info@quorian.com e chiedi. Quorian risponde ai questionari di sicurezza.