การแยกพื้นที่ลูกค้า
ลูกค้าแต่ละรายมีผู้ใช้ Linux โฮม พื้นที่ทำงาน สถานะระบบ ความลับ บริการ และพื้นที่เบราว์เซอร์แยกจากกัน
พร้อมใช้งานแล้ว ความปลอดภัยที่ไม่ใช่แค่ภาพลักษณ์การควบคุมควรอยู่ในตัวผลิตภัณฑ์
การควบคุมควรอยู่ในตัวผลิตภัณฑ์
ไม่ใช่เป็นเพียงคำสัญญา
Principal มีประโยชน์เพราะใช้เครื่องมือและทำงานให้เสร็จได้ รูปแบบความปลอดภัยจึงออกแบบตามความจริงนี้: แยกสภาพแวดล้อมของลูกค้า จำกัดขอบเขตข้อมูลรับรอง บังคับโควตาการใช้งาน มีจุดขออนุมัติ และให้สิทธิ์ช่วยเหลือแบบชั่วคราว
ลูกค้าเป็นเจ้าของการตัดสินใจ
↓
ระบบควบคุม Principalตัวตน · การอนุมัติ · วงจรการใช้งาน
↓
พื้นที่ลูกค้าที่แยกออกจากกันพื้นที่ทำงาน · เครื่องมือ · บริบทธุรกิจ
เกตเวย์ที่เจ้าของระบบดูแลสิทธิ์โมเดลแบบจำกัด · โควตา
ข้อมูลรับรองของผู้ให้บริการอยู่นอกตัวผู้ช่วย
✓พื้นที่แยกเฉพาะลูกค้าแยกต่อราย
✓สิทธิ์แบบจำกัดขอบเขตเพิกถอนแยกกันได้
✓โควตาแบบบังคับตรวจสอบก่อนใช้ผู้ให้บริการ
✓สิทธิ์ช่วยเหลือมีวันหมดอายุลูกค้าเป็นผู้อนุมัติ
ชั้นการควบคุม
ผู้ช่วยได้รับพื้นที่ทำงาน ไม่ใช่กุญแจทั้งอาคาร
ขอบเขตสำคัญถูกบังคับใช้นอกคำสั่งของผู้ช่วย จึงไม่สามารถถูกหลีกเลี่ยงด้วยข้อความหรือพรอมต์
การแยกข้อมูลรับรอง
ผู้ช่วยได้รับโทเคนภายในที่เพิกถอนได้ ส่วนข้อมูลรับรองจริงของผู้ให้บริการถูกเข้ารหัสและอยู่หลังเกตเวย์ที่เจ้าของระบบดูแล
พร้อมใช้งานแล้วขีดจำกัดการใช้งานแบบบังคับ
ระบบตรวจสอบโควตาคำขอรายเดือน โควตาโทเคนที่เลือกใช้ได้ ขีดจำกัดผลลัพธ์ และขนาดคำขอก่อนเรียกผู้ให้บริการ
พร้อมใช้งานแล้วจุดขออนุมัติ
ข้อความ การจอง การใช้จ่าย การแชร์ไฟล์ และการดำเนินการภายนอกที่สำคัญสามารถหยุดรอลูกค้าได้
พร้อมใช้งานแล้วการควบคุมวงจรการใช้งาน
เมื่อเดโมหมดอายุ ระบบจะหยุดทำงานและเพิกถอนสิทธิ์โมเดล การทำลายระบบจะลบบริการ ไฟล์ลูกค้า ผู้ใช้ และโทเคนเฉพาะขอบเขต
พร้อมใช้งานแล้วข้อมูลสำรองที่ตรวจสอบแล้ว
สถานะระบบ พื้นที่ทำงาน ความลับ ทะเบียนโทเคน และข้อกำหนดบริการรวมอยู่ในข้อมูลสำรองรายวันที่เข้ารหัส
พร้อมใช้งานแล้ว การดำเนินการสำคัญยังต้องผ่านคน
ข้อความทั่วไปไม่สามารถสร้างสิทธิ์อนุมัติให้ตัวเองได้
กฎอนุมัติออกแบบมาเพื่อไม่ให้ผู้ช่วยตีความบทสนทนาทั่วไปเป็นอำนาจสำหรับการดำเนินการที่ละเอียดอ่อน เวิร์กโฟลว์จะแสดงสิ่งที่เสนอและรอการตัดสินใจผ่านช่องทางที่ถูกต้อง
ส่งอีเมลถึงลูกค้ายืนยันการจองผูกพันการใช้จ่ายแชร์ไฟล์เปลี่ยนระบบธุรกิจ
การดำเนินการกำลังรอส่งการยืนยันให้ซัพพลายเออร์?
ผู้รับ ร่างข้อความ และเหตุผลพร้อมให้ตรวจสอบ
Principal เตรียมงาน→เจ้าของตรวจสอบ→ดำเนินการต่อ
ยังไม่มีการส่งกำลังรอลูกค้า
การช่วยเหลือโดยไม่มีประตูหลังถาวร
การเข้าช่วยเหลือต้องได้รับอนุญาตและมีเวลาสิ้นสุด
ผู้ดูแลที่ระบุชื่อขอเข้าถึงสภาพแวดล้อมของลูกค้าหนึ่งรายด้วยเหตุผลและระยะเวลาที่แจ้งไว้ ลูกค้าอนุมัติผ่านขั้นตอนส่วนตัว โฮสต์ดำเนินงานจะตรวจสอบสิทธิ์อีกครั้งก่อนทุกการดำเนินการ และปฏิเสธเมื่อสิทธิ์ถูกเพิกถอนหรือหมดอายุ
- ช่องทางยืนยันผ่าน Telegram และอีเมลที่ลงทะเบียนแยกจากกัน
- ขั้นตอนกู้คืนเมื่อช่องทางของลูกค้าใช้งานไม่ได้
- การตรวจวินิจฉัยและควบคุมบริการแบบกำหนดตายตัว
- บันทึกเฉพาะข้อมูลกำกับโดยไม่เก็บพรอมต์หรือผลลัพธ์ของลูกค้าจากการช่วยเหลือ
สิ่งที่เกิดขึ้นกับสิทธิ์เข้าถึง
ทุกช่วงตั้งแต่เริ่มใช้งานจนถึงการลบมีขอบเขต
เตรียม
สร้างชุดติดตั้งที่ไม่มีข้อมูลรับรองและติดตั้งในสถานะหยุดทำงาน
ปรับให้เหมาะ
คำตอบจากการเริ่มใช้งานกลายเป็นบริบทที่ดูแลไว้และกฎอนุมัติ
เปิดใช้งาน
ตรวจสอบสิทธิ์ผู้ให้บริการแบบจำกัดขอบเขตและช่องทางลูกค้าก่อนใช้งาน
ดำเนินงาน
โควตา ข้อมูลกำกับการตรวจสอบ วันหมดอายุ และระบบช่วยเหลือยังทำงานอยู่
ทำลาย
ลบบริการระบบ ผู้ใช้ OS ไฟล์ และสิทธิ์เฉพาะขอบเขต
สถานะการรับรองตามจริง
มองเห็นปลายทางไว้ แต่อย่าอ้างว่าเราไปถึงแล้ว
การรับรองอย่างเป็นทางการมีคุณค่าและยังอยู่ในทิศทางของผลิตภัณฑ์ สถานะด้านล่างแยกระบบควบคุมที่ใช้งานจริงออกจากการตรวจสอบภายนอกที่อยู่ในแผน
ระบบควบคุมที่ดำเนินงานอยู่
- การแยกพื้นที่ลูกค้า
- สิทธิ์ผู้ให้บริการแบบจำกัดขอบเขตและเพิกถอนได้
- โควตาแบบบังคับและข้อมูลกำกับการตรวจสอบ
- การช่วยเหลือชั่วคราวที่ลูกค้าอนุมัติ
- ข้อมูลสำรองการปฏิบัติงานที่เข้ารหัส
การทบทวนความเป็นส่วนตัวและความเสี่ยง
- ประเมิน PDPA ของไทยสำหรับเวิร์กโฟลว์ในประเทศ
- ตัดสินใจเรื่องการลดข้อมูลและระยะเวลาเก็บ
- ทบทวนเพิ่มเติมสำหรับคลินิก โรงเรียน การเงิน และข้อมูลเด็ก
- นโยบายอนุมัติเฉพาะลูกค้า
- ทบทวนข้อมูลรับรองของการเชื่อมต่อ
โครงการอย่างเป็นทางการ
- DPA และชุดเอกสารความเป็นส่วนตัว
- ทดสอบเจาะระบบโดยหน่วยงานอิสระ
- ความพร้อมและเส้นทางตรวจสอบ SOC 2
- ระบบควบคุม SSO และ SCIM
- การควบคุมการเก็บและส่งออกข้อมูลขั้นสูง
ปัจจุบัน Principal ไม่ได้อ้างว่ามีการรับรอง SOC 2 ปฏิบัติตาม HIPAA หรือเป็นโฮสต์แบบ Zero Knowledge โดย CBS Automate ยังคงควบคุมบัญชีรากของโครงสร้างพื้นฐาน และระบบต้องถอดรหัสข้อมูลลูกค้าขณะใช้งาน ตัวเลือกที่ลูกค้าควบคุมโฮสต์และกุญแจเองยังเป็นแผนสำหรับระดับความปลอดภัยที่สูงขึ้น
คำถามด้านความปลอดภัย
คำตอบที่ชัดเจน
มีเอกสารทางเทคนิคโดยละเอียดสำหรับการทบทวนระดับองค์กร
ผู้ช่วยของลูกค้ารายหนึ่งอ่านไฟล์ของลูกค้าอีกรายได้หรือไม่?
ไม่ได้ตามการออกแบบ ลูกค้าแต่ละรายทำงานด้วยผู้ใช้ Linux ที่ไม่มี sudo คนละราย พร้อมโฮม พื้นที่ทำงาน ไดเรกทอรีสถานะ ความลับ บริการ และไดเรกทอรีลูกค้าที่ป้องกันไว้แยกจากกัน
ผู้ช่วยได้รับ API key จริงของผู้ให้บริการหรือไม่?
ไม่ได้รับ ผู้ช่วยได้รับโทเคนภายในแบบสุ่มที่เกตเวย์ภายในของ Principal เท่านั้นที่เข้าใจ ข้อมูลรับรองจริงยังอยู่ภายใต้เจ้าของระบบและสามารถเพิกถอนแยกกันได้
เจ้าหน้าที่ช่วยเหลือเข้าไปในระบบได้ทุกเมื่อหรือไม่?
การช่วยเหลือตามปกติใช้สิทธิ์ที่ระบุชื่อ ได้รับอนุมัติจากลูกค้า ผูกกับลูกค้ารายนั้น พร้อมเหตุผลและเวลาหมดอายุที่แน่นอน จึงไม่ใช่สิทธิ์ถาวร อย่างไรก็ตาม CBS Automate ยังมีอำนาจบำรุงรักษาระดับโฮสต์สำหรับเหตุฉุกเฉิน จึงไม่ได้อธิบายบริการนี้ว่าเป็น Zero Knowledge
Principal ได้รับการรับรองสำหรับข้อมูลที่มีกฎกำกับหรือไม่?
ยังไม่ได้รับในปัจจุบัน การใช้งานกับข้อมูลละเอียดอ่อนต้องผ่านการทบทวนความเสี่ยงและความเป็นส่วนตัวแยกต่างหาก การรับรองอย่างเป็นทางการ การทดสอบอิสระ และระบบควบคุมระดับองค์กรขั้นสูงยังอยู่ในแผน ไม่ได้ถูกนำเสนอว่าเสร็จแล้ว
ลบสภาพแวดล้อมของลูกค้าได้หรือไม่?
ได้ วงจรการทำลายจะลบบริการลูกค้า ผู้ใช้ OS ไฟล์ลูกค้า และโทเคนโมเดลเฉพาะขอบเขต โดยเก็บไว้เฉพาะบันทึกการปฏิบัติงานขั้นต่ำที่ระบบควบคุมจำเป็นต้องใช้
คำถามด้านความปลอดภัยควรทำให้การออกแบบดีขึ้น
บอกเราว่าเวิร์กโฟลว์จะเกี่ยวข้องกับข้อมูล บุคคล การดำเนินการ และระบบใด เราจะอธิบายระบบควบคุมปัจจุบัน ช่องว่างที่มี และสิ่งที่ต้องเพิ่มก่อนเปิดใช้งาน