1. A biztonság megközelítése
A DIRI AI a bizalmasság, a sértetlenség és a rendelkezésre állás védelmét szolgáló, kockázatalapú kontrollokat alkalmaz. A biztonság megosztott: a DIRI AI a szolgáltatást és a konfigurált infrastruktúrát védi; az ügyfelek a saját felhasználóikat, eszközeiket, hitelesítő adataikat, tartalmi döntéseiket és adminisztrátori döntéseiket.
Ez az áttekintés a kontrollok kialakítását írja le. Nem állítja, hogy a DIRI AI rendelkezne ISO 27001, SOC 2 vagy PCI DSS tanúsítvánnyal, behatolásteszt-lefedettséggel vagy megszakítás nélküli szolgáltatással. A szolgáltatók tanúsítványai nem válnak a DIRI AI tanúsítványaivá.
2. Identitás-, hozzáférés- és bérlői kontrollok
A kontrollok közé tartoznak:
- egyedi felhasználói azonosítók és védett éles munkamenet-sütik;
- szerveroldali, szerepkör-alapú és bérlőre korlátozott jogosultságkezelés;
- az adminisztrátor által kezelt meghívások, szerepkörök és tagok eltávolítása;
- a legkisebb jogosultság elvén alapuló hozzáférés az éles rendszerekhez és a szolgáltatói fiókokhoz;
- elkülönített nem éles és éles környezetek és konfigurációk;
- forgalomkorlátok és visszaélés elleni kontrollok; valamint
- a biztonság szempontjából releváns adminisztrátori és előfizetési események auditnaplói.
A DIRI AI teszteli a bérlők közötti hozzáférést, felülvizsgálja a jogosultságokat, és ellenőrzi a fiók-helyreállítási kontrollokat. A többtényezős hitelesítést a szolgáltatói és a kiemelt fiókokon engedélyezni kell, és – ahol támogatott – az ügyfelek számára is elérhetővé kell tenni.
3. Adatvédelem
A támogatott forgalom továbbítás közben TLS-t használ. A felügyelt szolgáltatók a tárolt adatokat nyugalmi állapotban a standard kontrolljaikkal titkosítják, a szolgáltatókra és az adattovábbításokra vonatkozó információk az Alfeldolgozók listájában találhatók. A titkokat a forráskódon és a szokásos naplókon kívül kell tartani. A fizetési kártya megadását a fizetési szolgáltató végzi, így a DIRI AI-nak nincs szüksége a teljes kártyaszámra.
A hangfelvételek tárolása alapértelmezés szerint ki van kapcsolva. A telemetriát meg kell tisztítani, az Ügyféltartalmat pedig, ahol lehetséges, ki kell zárni a rutinnaplókból. Az éles hibakeresésnek időben korlátozottnak, engedélyezettnek és naplózottnak kell lennie.
4. Alkalmazásbiztonság
A DIRI AI változtatás-felülvizsgálatot, automatizált teszteket, függőségi és titokellenőrzéseket, megbízható bejövő forgalom kontrollokat és aláírt szolgáltatói visszahívásokat alkalmaz az alkalmazásmódosítások és a külső integrációk védelmére.
A szolgáltatói hozzáférést, a regisztrációt és a számlázást az alkalmazandó hozzáférési, jogi, számlázási és biztonsági kontrollok védik. Ezeket a kontrollokat nem gyengítjük pusztán azért, hogy egy funkció elérhetővé váljon.
5. Megfigyelés és incidenskezelés
A szolgáltatás megtisztított alkalmazáshiba-telemetriát, működési mutatókat, auditnaplókat és szolgáltatói eseményeket használ. A DIRI AI lényeges változtatások után felülvizsgálja a megfigyelés lefedettségét, a kvótákat, a riasztások kézbesítését és a működési felelősséget. A belső mutatók nem marketing-analitika.
A feltételezett incidenseket a Biztonsági incidensek és értesítések szabályzata szerint elbíráljuk, megfékezzük, kivizsgáljuk, elhárítjuk és dokumentáljuk. A személyes adatok megsértésével kapcsolatos kötelezettségeket a szokásos rendelkezésre állási eseményektől külön értékeljük.
6. Rendelkezésre állás, biztonsági mentések és helyreállítás
Az architektúra felügyelt tárhely-, adatbázis-, gyorsítótár- és üzenetsor-, valamint objektumtároló-szolgáltatókat használ. A DIRI AI teszteli a biztonsági mentés, a visszaállítás, az üzenetsor-újrapróbálás és az adatéletciklus konfigurációját. A standard csomagokban nem ígérünk helyreállítási időre vagy helyreállítási pontra vonatkozó célértéket mindaddig, amíg azt formálisan nem mérik és nem szerződik róla.
A standard csomagokhoz nem tartozik százalékos rendelkezésre állási SLA. Ez nem korlátozza a fogyasztó kötelező szerződésszerűségi és jogorvoslati jogait.
7. Szolgáltatói kockázat
A szolgáltatókat a cél, a hozzáférés, a szerződéses feltételek, a biztonsági információk, a feldolgozási helyek, az adattovábbítási mechanizmus, a megőrzés és a törlés szempontjából vizsgáljuk. Csak a szükséges minimális adatokat küldjük el. Az Alfeldolgozók listája megjelöli a lefedett funkciókhoz használt szolgáltatókat.
8. Az ügyfél felelőssége
Az ügyfeleknek:
- erős, egyedi hitelesítő adatokat és – ahol elérhető – többtényezős hitelesítést kell használniuk;
- naprakészen kell tartaniuk az eszközöket, böngészőket és integrációkat;
- a legkisebb szükséges szerepköröket kell kiosztaniuk, át kell tekinteniük a tagságot, és haladéktalanul el kell távolítaniuk a távozókat;
- kerülniük kell a szükségtelen érzékeny adatok vagy valódi ügyféladatok feltöltését;
- a fiók lezárása előtt ellenőrizniük kell az exportokat, és védeniük kell a letöltött fájlokat;
- be kell állítaniuk a jogszerű megőrzést és a munkavállalói tájékoztatókat; valamint
- haladéktalanul jelenteniük kell a feltételezett kompromittálódást, kihasználható részletek nyilvános közzététele nélkül.
9. Sebezhetőségek bejelentése
Küldjön tömör bejelentést a security@diriai.com címre az érintett útvonallal, a reprodukálási lépésekkel, a hatással és egy biztonságos bizonyítékkal. Ne férjen hozzá más ügyfél adataihoz, ne zavarja meg a szolgáltatást, ne alkalmazzon social engineeringet, ne szivárogtasson ki adatokat, és ne követeljen fizetést. A probléma megerősítése után hagyja abba a tesztelést, és hagyjon észszerű időt a vizsgálatra.
Nyilvános hibavadász-program vagy széles körű biztonságos kikötőprogram nem létezik, hacsak külön nem teszik közzé. A jóhiszemű bejelentéseket felelősségteljesen kezeljük, de ez az áttekintés nem hatalmaz fel egyébként jogellenes magatartásra.
10. Kapcsolat és verzió
Biztonsági bejelentések: security@diriai.com. Adatvédelmi incidensek: privacy@diriai.com. Verzió: 1.2.0. Dátum: 2026. augusztus 30.