Resumen de seguridad de SMBF

1. Estado honesto

SMBF.EPR es un producto disponible. La línea base de seguridad del servicio sin declaraciones sobre certificados no verificados se describe a continuación. Una certificación, región o control adicional específico se indica como válido solo después de la verificación e inclusión en la documentación operativa.

2. Minimización y aislamiento

• Solo se importan los campos obligatorios para los cálculos de país, período, SKU, cantidad, devoluciones y embalaje.
• Los datos de los inquilinos se separan en los niveles de autorización y almacenamiento; La verificación de aislamiento está incluida en los criterios de liberación.
• Los entornos de producción y prueba están separados; Los datos reales de los clientes no se utilizan en el desarrollo sin un control independiente.
• La recuperación de IA se limita al contexto del cliente permitido y no debe mezclar inquilinos.

3. Acceso

• Cuentas de usuario, acceso basado en roles y principio de privilegio mínimo.
• MFA para roles de producción internos y privilegiados.
• Revisión periódica del acceso y desconexión inmediata al cambiar de roles.
• Registro de acciones administrativas, exportaciones y cambios en configuraciones críticas.

4. Línea de base técnica

• TLS moderno para transmisión, almacenamiento seguro de secretos y cifrado de datos confidenciales en reposo, cuando el riesgo lo requiera.
• Ciclo de vida de desarrollo de software seguro, revisión de cambios, escaneo de dependencias y corrección de vulnerabilidades basada en riesgos.
• Copias de seguridad, recuperación verificable, monitoreo y alertas para componentes de producción.
• Limitación de velocidad, protección contra ataques web comunes y segmentación de componentes críticos.

5. Modo AGENTE de seguridad

• Aprobación humana antes de la presentación, firma o acción externa.
• Muestre la fuente, la versión y el nivel de confianza donde el resultado afecta el cumplimiento.
• Protección contra inyección rápida en documentos cargados y limitación de herramientas del agente.
• Prohibición de entrenar modelos disponibles públicamente con datos de clientes sin un acuerdo por separado.

6. Incidencias y continuidad

Antes del inicio de la producción, se deben aprobar los propietarios, los niveles de gravedad, los contactos, el procedimiento de contención, la recuperación y la notificación a la DPA. Los incidentes importantes se documentan y se realiza un seguimiento de las acciones correctivas hasta el cierre.

7. Verificación y divulgación

SMBF no afirma SOC 2, ISO 27001, región de datos específica o cobertura de prueba de penetración hasta que se reciba una confirmación verificable. Los cuestionarios y las pruebas disponibles se proporcionan a los clientes en cantidades proporcionales después de la revisión de la preparación para la producción.

Informar de una vulnerabilidad: hello@smbf.me. No acceder a datos de otras personas, no interrumpir el trabajo y proporcionar detalles suficientes para su reproducción.