Hopp til hovedinnhold

Tillit

Slik holder vi Route Royal sikkert

Kundene, avtalene og dokumentene dine ligger i Route Royal, så å beskytte dem er en del av produktet. Her er hvordan vi gjør det, og hva vi ikke hevder ennå.

Snakk med oss om sikkerhetMeld fra om en sårbarhet

  1. En forespørsel fra teamet ditt

  2. HTTPSKryptert underveis
  3. InnloggetVi vet hvem som spør
  4. Din organisasjonEgne data, ingen andres
  5. TillatelserLov å gjøre dette?
  6. ValidertHvert felt kontrollert
  7. Dataene dineTillatt

Kontrollert ved hvert stopp, så sluppet gjennom.

Hvor vi står

Bygd etter standardene, ærlige om sertifiseringene

Vi følger rammeverkene nedenfor fordi de er god praksis. Route Royal er ikke sertifisert etter ISO 27001 og har ikke hatt en SOC 2-revisjon. Når det endrer seg, står det på denne siden.

  • ISO/IEC 27001

    Sikkerhetspolicyene og kontrollene våre følger ISO 27001 og standardens tillegg A: risiko, tilgang, leverandører, drift, hendelser og kontinuitet.

    Fulgt, ikke sertifisert

  • SOC 2

    Vi jobber etter Trust Services Criteria for sikkerhet, tilgjengelighet og konfidensialitet.

    Fulgt, ikke sertifisert

  • GDPR

    Vi behandler personopplysninger slik en databehandler skal: bare etter instruks fra deg, under en databehandleravtale og med respekt for de registrertes rettigheter.

    Fulgt, ikke sertifisert

  • OWASP Top 10

    Vi bygger plattformen og API-et for å stå imot de vanligste risikoene i nettapplikasjoner.

    Fulgt, ikke sertifisert

Prinsipper

Seks prinsipper bak hver beslutning

  1. 01

    Minst mulig tilgang

    Personer, tjenester og KI får bare den tilgangen jobben krever, og mister den når jobben er gjort.

  2. 02

    Forsvar i dybden

    Ingen kontroll står alene. Kryptering, tillatelser, validering og overvåking støtter hver for seg opp om de andre.

  3. 03

    Sikker som standard

    Den trygge innstillingen er den du starter med: HTTPS overalt, nøkler som bare lagres som hash-verdier, og KI-endringer som venter på deg.

  4. 04

    Innebygd personvern

    Hver organisasjons data holdes adskilt, og vi samler bare inn det tjenesten trenger for å fungere.

  5. 05

    Mennesker bestemmer

    Q forbereder arbeidet, men ingenting endres før personen som spør, bekrefter det.

  6. 06

    Åpenhet

    Vi sier hva vi gjør og hva vi ikke gjør, og vi gir deg raskt beskjed når noe går galt.

I praksis

Slik beskytter vi plattformen

Kontrollene bak prinsippene, område for område.

På denne siden
  1. Infrastruktur
  2. Kryptering
  3. Applikasjonssikkerhet
  4. Teamet vårt
  5. Når vi bygger og endrer Route Royal
  6. Overvåking og respons
  7. KI og dataene dine

Infrastruktur

  • Route Royal kjører hos etablerte skyleverandører med datasentre som er sertifisert etter ISO 27001, og tjenester som er revidert etter SOC 2 Type II.
  • Den fysiske sikkerheten i datasentrene, fra adgangskontroll til overvåking døgnet rundt, drives av disse leverandørene og dekkes av revisjonene deres.
  • Databasen vår kjører på en administrert tjeneste med automatiske sikkerhetskopier.
  • Produksjon holdes adskilt fra utvikling og testing, og tjenestene våre kjører som brukere uten utvidede rettigheter.

Kryptering

  • Alle tilkoblinger til Route Royal bruker HTTPS, og nettlesere får beskjed om aldri å koble til på noen annen måte (HSTS).
  • Data krypteres ved lagring av database- og lagringsleverandørene våre.
  • Påloggingsinformasjon du gir oss for tilkoblede tjenester, som Sumsub-tokenet ditt, krypteres før den lagres.

Applikasjonssikkerhet

  • Hver organisasjons data holdes adskilt. Forespørsler kontrolleres mot organisasjonen de gjelder, og mot tillatelsene til personen som sender dem.
  • API-nøkler lagres bare som hash-verdier, med et kort prefiks så du kan skille dem fra hverandre. Publiserbare nøkler kan bare lese; hemmelige nøkler blir værende på serveren din.
  • Webhooks signeres med en egen hemmelighet for hvert abonnement (HMAC-SHA256), så du kan kontrollere at de kommer fra oss.
  • Hver forespørsel valideres, API-et har grenser for antall forespørsler, og nettlesere får strenge sikkerhetshoder, blant annet en Content Security Policy.

Prøv selv: dette beholder vi av en nøkkel

Det vi lagrer

Prefiks
sk_demo_…
SHA-256-hash

Regnet ut i nettleseren din, så ingenting du skriver, forlater denne siden. En hash kan ikke gjøres om til nøkkelen igjen, så ikke engang vi kan lese den.

Teamet vårt

  • Ansatte får tilgang til produksjonssystemer og kundedata bare når rollen deres krever det, og tilgangen gjennomgås og fjernes når den ikke lenger trengs.
  • Ansattkontoer er beskyttet med flerfaktorautentisering.
  • Alle i teamet signerer en taushetserklæring og får opplæring i sikkerhet når de begynner.
  • Vi ser bare på dataene dine når du ber oss om det for å få hjelp, eller når vi må for å holde tjenesten trygg eller oppfylle lovkrav.

Når vi bygger og endrer Route Royal

  • Endringer gjennomgås og testes før de når produksjon.
  • Hver bygging sjekker avhengighetene våre for kjente sårbarheter og skanner koden, og stopper ved kritiske funn. En ukentlig gjennomgang fanger opp nye sikkerhetsvarsler.
  • Vi kopierer ikke kundedata til utvikling eller testing.

Overvåking og respons

  • Tjenestene våre spores og måles, og teamet varsles når noe ser galt ut.
  • Hver innlogging havner i personens innloggingshistorikk, og endringer i enkel pålogging, katalogsynkronisering og bookinger havner i organisasjonens revisjonslogg.
  • Når en hendelse inntreffer, begrenser vi den, retter årsaken og går gjennom hva vi lærte. Hvis den berører dataene dine, varsler vi deg uten ugrunnet opphold, med det vi vet, så du kan oppfylle dine egne forpliktelser.

KI og dataene dine

  • Q jobber som personen som spør, innenfor tillatelsene deres, og hver endring Q gjør, venter på at de bekrefter den.
  • Claude og ChatGPT, koblet til via MCP, har bare tillatelsene til personen som koblet dem til, og når en kundes data bare gjennom en aktiv tjenestetilgang.

Prøv selv: Q har forberedt en endring

Flytt 3 avtaler fra Tilbud til Vunnet

Din side

Sikkerhet du styrer

Sikkerhet er et delt ansvar. Dette er innstillingene din egen organisasjon bestemmer over.

Sikkerhet og etterlevelse

Tofaktorinnlogging, enkel pålogging og katalogsynkronisering, roller, tjenestetilganger og revisjonsloggen.

KI og Q

Hva Q kan gjøre, og hvordan Claude og ChatGPT kobles til, innenfor hver persons tillatelser.

Utviklere

Publiserbare og hemmelige nøkler, API-nøkler med avgrenset tilgang og signerte webhooks for det du bygger selv.

Ansvarlig varsling

Funnet en sårbarhet?

Si fra på security@routeroyal.com. Ta med hva du fant, hvordan det kan gjenskapes og hva det kan påvirke. Vi svarer, holder deg oppdatert mens vi retter det, og krediterer deg hvis du ønsker det.

security@routeroyal.com

Mens du undersøker, ber vi deg om å

  • bare teste mot din egen konto og dine egne data
  • aldri lese, endre eller slette andres data
  • ikke svekke tjenesten, sende spam eller prøve å lure folkene våre
  • gi oss rimelig tid til å rette feilen før du deler den

Spørsmål

Dette spør sikkerhetsteam oss om

Er Route Royal sertifisert etter ISO 27001 eller SOC 2?

Ikke ennå. Vi følger ISO 27001 og Trust Services Criteria i SOC 2, men vi har ikke noe sertifikat eller noen revisjonsrapport å dele. Leverandørene våre for drift og database er selv sertifisert og revidert.

Hvor lagres dataene våre?

Hos etablerte skyleverandører med datasentre som er sertifisert etter ISO 27001 og revidert etter SOC 2. Selskapene som behandler dataene deres, står i listen vår over underdatabehandlere, og vi kan gå gjennom dem med dere i en sikkerhetsgjennomgang.

Fyller dere ut sikkerhetsspørreskjemaet vårt?

Ja. Send det til security@routeroyal.com, så svarer vi på det, eller går gjennom kontrollene våre med teamet deres i en samtale.

Hva skjer hvis det oppstår en sikkerhetshendelse?

Vi begrenser den, retter årsaken og går gjennom hva som skjedde. Hvis den berører dataene deres, varsler vi dere uten ugrunnet opphold, med det vi vet så langt, så dere kan oppfylle egne forpliktelser, som fristen på 72 timer som personvernforordningen (GDPR) gir for å varsle tilsynsmyndigheten.

Hvordan sikrer vi vår egen organisasjon?

Slå på tofaktorinnlogging, koble til enkel pålogging og katalogsynkronisering, gi hver person rollen jobben deres krever, og følg med i revisjonsloggen. Sikkerhet og etterlevelse viser hvordan.

Dokumenter

Dokumentasjonen bak

Kom med spørsmålene dine

Spør oss om alt som gjelder sikkerhet

Vurderer du Route Royal for bedriften din, eller har du funnet noe vi bør rette? Begge deler har sin egen vei inn, og begge kommer rett til oss.

Sikkerhetsgjennomganger

Gjennomfører dere en sikkerhetsgjennomgang?

Spørreskjemaet deres

  1. Hvor lagres dataene våre?
  2. Hvem kan se dataene våre?
  3. Hva skjer ved en hendelse?
  1. Vi svarer på det
  2. Eller går gjennom kontrollene våre med teamet deres i en samtale
Snakk med oss om sikkerhet

Send oss spørreskjemaet

Ansvarlig varsling

Funnet en sårbarhet?

Rapporten din

  1. Hva du fant
  2. Hvordan det kan gjenskapes
  3. Hva det kan påvirke
  1. Vi svarer
  2. Vi holder deg oppdatert mens vi retter det
  3. Vi krediterer deg, hvis du ønsker det
security@routeroyal.com

Skriv en rapportsecurity.txt