Доступ к платформе защищен
Attesto это платформа доказуемой аттестации по охране труда. Ниже честно описано, как мы защищаем доступ и данные пользователей. Без выдуманных знаков доверия.
Пароли и сессии
Пароли хранятся только в виде криптографического хеша (bcrypt) и в открытом виде недоступны никому, включая нас. Сессия в защищенной httpOnly cookie, недоступной скриптам страницы.
Доступ по ролям
Администратор, инженер, работник, аудитор у каждой роли свой набор прав. На уровне каждого запроса проверяется, что роль вправе видеть и делать запрошенное.
Изоляция компаний
Платформа многокомпанийная. Данные одной организации недоступны другой: принадлежность проверяется при каждом обращении к серверу.
Шифрование и заголовки
Весь трафик по HTTPS с автоматическими сертификатами. Включены защитные заголовки: HSTS, запрет встраивания, политика контента, запрет угадывания типов.
Защита от перебора
Ограничение частоты на вход, регистрацию и операции ИИ. Серийные номера допусков не перечисляемы, подбор по публичной проверке исключен.
Прокторинг и доказательность
Подтверждение личности на экзамене (сравнение лица) и кадры. Снимки хранятся в защищенном хранилище вне публичного доступа их видит только уполномоченный сотрудник той же компании.
Неизменяемый аудит
Ключевые действия фиксируются в журнале это прослеживаемость для разбора, проверки инспектором и защита от незаметного изменения данных.
Данные и ИИ
Данные на выделенном сервере, без передачи третьим лицам без необходимости. Контент можно генерировать локальной моделью тогда материалы компании не покидают ее периметр.
Что это за документ
Это описание мер защиты, реализованных в платформе (внутренняя самооценка по результатам технического ревью кода). Это не независимая сертификация. Независимый тест на проникновение и отраслевые сертификации (SOC 2, ISO 27001) у нас на дорожной карте. Мы намеренно не используем выдуманные знаки вроде «проверено третьей стороной» там, где такой проверки не было.
Вопросы по безопасности: security@attesto.kz