SSO и корпоративный каталог
Вход через ваш identity provider; учётные записи и роли следуют вашему каталогу.
ARBA Trust Center
Доказательства безопасности для enterprise review
Модели развёртывания, границы данных, identity controls, auditability и procurement-материалы в одном месте для команд безопасности, privacy и архитектуры.
- Развёртывание под контролем заказчика
- Правила утверждает человек
- Честные ограничения
- Проверка для конкретного проекта
Выбор deployment
Сначала определяем границу, затем выбираем модель
Точный набор контролей согласуется для каждого проекта. Матрица описывает архитектурные профили, а не общую сертификацию.
| Контрольная точка | Ваше облако | Ваша инфраструктура | On-premises | Air-gapped |
|---|---|---|---|---|
| Хранение данных платформы | Ваш cloud tenant | Ваши серверы и сети | Ваш ЦОД | Изолированная среда |
| Inference | Согласованная публичная или локальная модель | Согласованная публичная или локальная модель | Согласованная публичная или локальная модель | Только локально |
| Входящий доступ | По политике заказчика | Не требуется | Не требуется | Отсутствует |
| Поставка релизов | Контролируемый pipeline | Pull под контролем заказчика | Подписанный offline-пакет | Pull-only/offline пакет |
| Типовой сценарий | Enterprise cloud | Суверенная среда | Регулируемые операции | Строго изолированная среда |
Размещение платформы не определяет место обработки запросов к модели. Публичные ИИ-сервисы получают содержимое отправленных запросов. Для air-gap нужны подходящие локальные модели и зависимости; выбранную конфигурацию проверяют до ввода в эксплуатацию.
Границы данных
Egress под контролем
Размещение платформы и инференс моделей — отдельные решения. При использовании публичных ИИ-сервисов провайдеры обрабатывают содержимое отправленных запросов. Провайдеров, регионы и допустимые потоки данных согласовываем с вашей командой.
Точки инференса и исходящие соединения ограничиваются согласованной конфигурацией. Для изолированного размещения нужны локальные модели и зависимости; их пригодность проверяется по требованиям задачи.
Идентичность и доступ
ИИ никогда не превышает права человека
Выполнение от имени пользователя
ИИ не может превысить права запустившего; авторизация перепроверяется на каждый запрос.
Ролевая модель доступа
Доступ ограничен ролью и областью; административные действия отделены от повседневных.
Аудируемость
Каждый шаг подотчётен
Неизменяемый след
Ссылки на источники, вызовы инструментов, действия и сохранённые решения образуют историю исполнения для проверки и аудита.
Журнал на каждое чтение
Доступ к документам логируется на каждое чтение, а не на сессию.
Правила и решения под контролем человека
Люди утверждают правила и разрешённые действия. Спорные случаи и действия, требующие отдельного согласования, передаются ответственному специалисту.
Контроль моделей
Провайдеры моделей и доступ
Мы используем публичные ИИ-сервисы и можем применять on-prem модели, если их качество соответствует задаче. Выбор провайдеров, хранение учётных данных и доступ к моделям согласовываются при проектировании системы.
Шифрование распространяется и на производную ИИ-плоскость: абстракции, дайджесты и утверждения зашифрованы, а не только исходные данные.
Честные границы
Чего мы не заявляем
- Мы не заявляем сертификацию ISO или SOC; нашу безопасность мы показываем архитектурно и в рамках каждого проекта
- Конкретные возможности зависят от режима развёртывания — облачный, on-prem и air-gap профили различаются
- Security-ревью с вашей командой — часть каждого проекта до продакшена
Procurement register
Материалы для vendor, security и privacy review
Публичные документы доступны сразу. Материалы по проекту выпускаются после определения scope и границ deployment.
Security overview
PublicВерсионированное резюме контролей и честных ограничений на английском языке.
Скачать MarkdownPrivacy policy
PublicОбработка данных сайта, основания, сроки, получатели и права субъектов.
Открыть политикуData Processing Agreement
По запросуГотовится под услуги, роли, категории данных и модель deployment.
Запросить DPASecurity questionnaire
По запросуЗаполняется по фактическому scope решения.
Начать reviewArchitecture & data-flow pack
Под NDAГраницы, интеграции, порты, identities и операционная ответственность.
Запросить пакетProcessor schedule
Для проектаСписок применимых провайдеров зависит от каналов и deployment.
Смотреть категорииРеестр обработки
Публичные категории провайдеров и обработки
Базовый реестр для сайта. Именной перечень для проекта предоставляется, когда ARBA выступает процессором.
| Поверхность | Когда используется | Данные | Основной контроль |
|---|---|---|---|
| Доставка и защита сайта | Доступ к публичному сайту | IP и request metadata | Ограниченные хранение и доступ |
| CRM и уведомления | Отправка формы | Рабочие контакты и содержание запроса | Need-to-know доступ |
| Messaging-каналы | Только при выборе канала | Идентификаторы и сообщения | Условия канала и выбор пользователя |
Правовые основания, сроки хранения и международные передачи описаны в Privacy Policy.
Responsible disclosure
Как сообщить о возможной уязвимости
Отправьте воспроизводимый отчёт на info@arba-international.com с темой “Security disclosure”. Укажите затронутую поверхность, влияние, шаги воспроизведения и безопасный способ связи. Мы стремимся подтвердить получение содержательного отчёта в течение пяти рабочих дней.
Не получайте, не изменяйте и не сохраняйте чужие данные; не нарушайте работу сервисов; согласуйте разумный срок исправления до публичного раскрытия. Сейчас ARBA не проводит публичную bug-bounty программу.
- тестируйте только разрешённые аккаунты, tenants и данные
- используйте минимальное доказательство проблемы
- согласуйте публикацию, пока идёт исправление
Trust Center FAQ
Нет. Сейчас ARBA не заявляет ISO- или SOC-сертификацию. Контроли демонстрируются архитектурно и оцениваются для конкретного проекта.
Для изолированной конфигурации нужны подходящие локальные модели и зависимости. При использовании публичных ИИ-сервисов содержимое запросов обрабатывает согласованный провайдер. Потоки данных и выбранную конфигурацию проверяем до ввода в эксплуатацию.
Да. Security review, согласование data flow и границ ответственности входят в путь к production.
Подключайте security, privacy и architecture teams
Мы разберём фактическую границу deployment, контроли и открытые вопросы вместе с ними.