Bezpieczeństwo i ochrona danych w Scanara

Dane klientów są przechowywane w AWS eu-west-1 (Dublin, Irlandia): wyniki skanów z krótkimi fragmentami kodu, oceny, dossier i zapisy audytowe. Scanara nie przechowuje pełnej kopii Twojego repozytorium. Podczas skanu pliki są odczytywane z GitHub (USA) do krótkotrwałej pamięci w eu-west-1. Frankfurt (eu-central-1) jest wyznaczonym regionem zapasowym; pełne przełączenie awaryjne nie zostało jeszcze przetestowane. Analityka strony ładuje się dopiero po Twojej zgodzie na pliki cookie i przesyła dane o użyciu do Google i Microsoft w USA na podstawie EU-US Data Privacy Framework i unijnych standardowych klauzul umownych.

Przechowywane dane są szyfrowane algorytmem AES-256. Dane w transmisji używają TLS 1.2 lub nowszego. Magazyn audytowy i logi korzystają z dedykowanych kluczy KMS, którymi Scanara zarządza na własnym koncie AWS.

Logowanie korzysta z AWS Cognito z zaawansowanymi zabezpieczeniami (uwierzytelnianie adaptacyjne, wykrywanie przejętych danych logowania). Uwierzytelnianie wieloskładnikowe z aplikacją uwierzytelniającą jest dostępne, ale opcjonalne; Scanara go nie wymusza. Klienci Enterprise mogą używać jednokrotnego logowania przez OIDC; SAML jest planowany.

Działania w Scanara są zapisywane jako zdarzenia w dzienniku jednokrotnego zapisu (S3 Object Lock w trybie zgodności), każde ze skrótem integralności SHA-256. Scanara przechowuje te zapisy co najmniej 10 lat w każdym planie. Dostawcy systemów AI wysokiego ryzyka muszą przechowywać dokumentację przez 10 lat od wprowadzenia systemu do obrotu lub oddania go do użytku (art. 18 ust. 1 rozporządzenia o AI).

Scanara dokumentuje swoje środki RODO: rejestr czynności przetwarzania, ocenę skutków dla ochrony danych dla skanowania kodu źródłowego, oceny skutków transferu dla swoich dostawców z USA oraz umowę powierzenia przetwarzania danych na podstawie art. 28. Dane konta i organizacji są usuwane lub anonimizowane w ciągu 30 dni od zamknięcia. Scanara nie trenuje modeli AI na kodzie klientów.

Role ograniczają to, co każdy użytkownik może robić w organizacji: administrator organizacji, specjalista ds. zgodności, inżynier AI, audytor i przeglądający. Dane są rozdzielone między organizacje przez zapytania ograniczone do organizacji i zabezpieczenia na poziomie wiersza. Pracownicy Scanara uzyskują dostęp do AWS przez IAM Identity Center, bez długotrwałych poświadczeń.

Scanara nie ma obecnie żadnego certyfikatu bezpieczeństwa. ISO 27001 jest w przygotowaniu; SOC 2 i ISO/IEC 42001 są planowane, bez opublikowanych terminów. Zewnętrzny test penetracyjny jest planowany; termin nie jest opublikowany. Certyfikaty AWS obejmują wyłącznie infrastrukturę AWS.

Zakupy

Pakiet oceny dostawcy jest dla zespołów zakupowych

Zawiera wypełniony kwestionariusz bezpieczeństwa, wzór umowy powierzenia przetwarzania danych, listę dalszych podmiotów przetwarzających, opis architektury i oświadczenie o lokalizacji danych. Dokumenty są w języku angielskim.