Sikkerhed

Du logger ind gennem vores identitetstjeneste med OpenID Connect. Adgangsbeviset holder femten minutter og bliver kontrolleret ved hver eneste forespørgsel; at forblive logget ind sker ved stille og roligt at bytte det til et nyt, og bliver et gammelt bevis brugt igen, bliver alle kontoens sessioner tilbagekaldt frem for at genbrugen bliver honoreret. To-faktor findes på alle planer, og du tilmelder dig selv. Din rolle, medlem, administrator eller ejer, står inde i selve beviset og bliver derfor vurderet ved hver forespørgsel frem for slået op og troet på.

Adskillelsen mellem organisationer er en regel i Postgres, og den rolle, vores software forbinder som, har ikke lov til at slå den fra: kode, der glemte at filtrere, returnerer ingenting frem for en andens rækker. Dine samtaler er afgrænset en gang til, til dig personligt. Beder man om en kollegas samtale, får man “findes ikke” frem for “ingen adgang”, og det samme gælder en fil inde i den, som bliver afvist, før lageret overhovedet bliver rørt. “Ingen adgang” ville bekræfte, at samtalen findes.

Den findes for organisationer på en holdplan, og kun administratorer kan åbne den. En administrator kan læse de samtaler, den gemmer: det er dét, en audit-log er til for, og det er dét, der gør det muligt at se, om en samtale indeholder personoplysninger, før nogen beslutter, om der overhovedet skal sættes navn på. Det, en administrator ikke kan alene, er at sætte navn på. Én administrator anmoder og skriver en begrundelse, der ikke kan rettes bagefter; en anden, aldrig den samme person, håndhævet både i vores kode og af en regel i databasen, godkender. Anmodningen udløber efter et døgn. Er den godkendt, har den, der spurgte, to timer til at åbne den, og åbningen starter et vindue på femten minutter frem for en stående ret. Hvert eneste opslag af en identitet bliver skrevet ned i den samme transaktion, som udfører det, så der findes ikke et forløb, hvor nogen får at vide, hvem der har skrevet noget, uden at det står nogen steder. Vores software kan skrive til det spor og har ingen tilladelse til at slette i det.

Vi læser ikke dine data som led i at drive platformen, og det er indrettet sådan frem for lovet. Dine prompts og svar bliver ikke skrevet i vores driftslogs: vi har en test, der planter en unik tekststreng i en prompt og fælder bygningen, hvis den nogensinde dukker op i en loglinje. De står ikke i vores fejlrapporter, hvor klienten aldrig vedhæfter indholdet af en forespørgsel, aldrig slutter sig til, hvem brugeren er, og kører en rensning over alt det, den sender. Og de indgår ikke i vores interne statistik, som er tildelt adgang kolonne for kolonne og slet ikke kan se samtaletabellerne.

Et lille antal mennesker kan nå den maskine, platformen kører på, for nogen skal installere den, genskabe den og rette den. Den, der kan det, kan læse de nøgler, tjenesterne bruger. Reglen om to personer ovenfor er en kontrol på jeres administratorer, ikke på os. I stedet står, at kredsen er lille, at ingen rutineopgave kræver at røre kundeindhold, og at de veje, der kunne blotlægge det, er præcis dem, vi tester for at bevise, at de ikke gør. Er det ikke nok for din organisation, er det netop derfor, hele platformen kan køre på jeres egen infrastruktur i stedet.

status.ourai.dk viser hjemmesiden, appen, administrationsfladen og login, hver kontrolleret hvert tredje minut uden for vores netværk af en uafhængig overvågningstjeneste. Der skal to fejl i træk til, før en del bliver markeret nede, så en container, der genstarter under en udrulning, ikke råber vagt i gevær, og et rigtigt udfald viser sig stadig inden for cirka seks minutter. Hændelser åbner og lukker automatisk ud fra kontrollernes tilstand: ingen skriver forløbet i hånden, og det er den eneste måde, en statusside kan stoles på til at vise nuet frem for, hvad nogen nåede at opdatere. Planlagt arbejde, der varer længe nok til at udløse kontrollerne, får et vedligeholdelsesvindue åbnet på forhånd. Fordi kontrollerne kører uden for vores infrastruktur, kan et udfald hos os ikke tage statussiden med sig.

Bag de offentlige dele ligger hjerteslagskontroller på hver eneste baggrundsrutine: dem der skriver forbrugsposter, rydder udløbne reservationer, kører opbevaring og tømmer køer. Hver sender et livstegn efter et skema, og alarmen går, når livstegnet holder op. Den fejl, en statusside aldrig fanger, er ikke en tjeneste, der er nede, men en rutine, der stille er holdt op med at virke, mens alt andet stadig svarer. De kontroller er private, fordi de nævner interne dele, og en offentlig liste over, hvilken intern del der er syg lige nu, er et kort for den, der vil os noget.

Hver forespørgsel gennem hver tjeneste bærer et kort referencenummer. Det står i appen, hvis en besked fejler, i svarets headere, på hver logline for den forespørgsel, og på fejlrapporten, hvis der bliver rejst en. Det nummer er dét, vi arbejder ud fra. Diagnostikken bærer ikke dine prompts eller modellens svar, og før noget forlader vores systemer, går det gennem ét fælles sæt maskeringsmønstre for tokens, nøgler og id, som både logskriveren og fejlrapporteringen bruger ud fra den samme definition, så de to ikke kan skride fra hinanden. Melder du et problem og citerer referencen, kan vi følge hele vejen gennem fire tjenester uden at spørge dig, hvad du skrev om.

Vores standardvilkår lover ikke en bestemt oppetid i procent, og derfor står der ikke et tal her, et tal på en markedsføringsside, som ikke står i kontrakten, er ingenting værd. Organisationer, der har brug for et kontraktligt serviceniveau, kan få det som en del af en enterprise-aftale.

Rammer et brud på persondatasikkerheden jeres organisation, underretter vi jer uden unødig forsinkelse og under alle omstændigheder inden for 48 timer, efter vi er blevet bekendt med det, uanset om bruddet skete hos os eller hos en af vores underdatabehandlere, med det der vides på tidspunktet, suppleret efterhånden som vi ved mere. De 48 timer står i databehandleraftalen, og de er valgt med vilje: efter forordningen er fristen på 72 timer til tilsynsmyndigheden jeres som dataansvarlig, og den løber, fra vi fortæller jer det. Vores frist skal være kortere end jeres, ellers er den ikke noget værd. Rammer en hændelse platformen, uden at jeres data er berørt, hører I fra os inden for fem hverdage.

Hele maskinen bliver taget et billede af hver nat, og de seneste syv billeder bliver gemt inden for EU. Fordi det er et billede af hele disken, bliver hver database fanget i det samme øjeblik, så en genskabelse kommer op indbyrdes konsistent frem for med én tjenestes optegnelser foran en andens. To ærlige begrænsninger. Enheden, der genskabes, er hele serveren, ikke én organisation og ikke ét bestemt tidspunkt, så at hente en enkelt slettet samtale ud af en backup er ikke noget, vi kan. Og vinduet er en nat, så en genskabelse kan koste op til et døgns nyeste aktivitet. Organisationer, der har brug for genskabelse til et bestemt tidspunkt eller for en enkelt organisation, bør tage det op som en del af en enterprise-aftale. Kører I platformen på jeres egen infrastruktur, er backup jeres egen, på jeres eget skema og under jeres egen kontrol, ligesom alt andet på den maskine.