Dokumentation der API

Sicherheitsüberblick

Das Sicherheitskonzept der Plattform Stonewake für Ihre Sicherheitsprüfung durch die IT, auf einer Seite. Das Produkt benötigt keine Daten Ihrer Bank. Es arbeitet auf öffentlichen und lizenzierten externen Quellen, auf Ihrer Seite wird nichts installiert, und jeder Zugangsweg läuft ausschließlich über HTTPS. Diese Seite behandelt den Dienst so, wie Ihre Teams ihn im Browser nutzen; die programmatische Schnittstelle hat ihre eigene Seite unter Sicherheit der API.

Betrieb und Verschlüsselung

  • Die Datenbank, die API, das Aktivitätsprotokoll und der Server für MCP laufen auf einem dedizierten Server eines deutschen Anbieters in Helsinki, Finnland. Die Webseiten von Dashboard, Dokumentation und Website liefert Vercel, ein Unternehmen aus den USA, über sein weltweites Auslieferungsnetz aus, in dem auch der Schritt zur Weiterleitung für Anfragen an die Website läuft. Alle übrigen Serverfunktionen der drei laufen in dessen Region Frankfurt. Die Anmeldung läuft über einen verwalteten Dienst in London.
  • Der gesamte Verkehr läuft ausschließlich über TLS, und das Dashboard liefert mit jeder Antwort strikte Sicherheitsheader aus, nämlich eine Content Security Policy, Schutz gegen Einbettung in Frames, Strict Transport Security und Schutz vor Erraten des Inhaltstyps (MIME Sniffing), aus jedem Browser überprüfbar. Der Schutz gegen Einbettung gilt für jede Seite außer der Einbettungsadresse eines Arbeitsbereichs, die nur die Websites in SharePoint in einem Frame zeigen dürfen, die der Administrator dieses Arbeitsbereichs aufgeführt hat (siehe SharePoint).
  • Daten sind bei der Übertragung und im gespeicherten Zustand verschlüsselt. Datenbanksicherungen sind verschlüsselt, werden getrennt vom Produktionsserver aufbewahrt und für eine festgelegte Aufbewahrungsfrist vorgehalten; Wiederherstellungsverfahren wurden erprobt.

Zugang und Identität

  • Die Anmeldung erfolgt mit dienstlicher Mailadresse und Passwort über einen verwalteten Authentifizierungsdienst. Ein neuer Zugang erhält einen Link, mit dem die Person ihr Passwort selbst festlegt, und ein Passwort wird nie per Mail versandt. Der Link gilt einmal und eine Stunde lang. Ein vergessenes Passwort wird über einen neuen Link Ihres Ansprechpartners bei Stonewake zurückgesetzt. Zugriffstoken laufen nach einer Stunde ab und werden nur für eine aktive Sitzung erneuert. Eine Sitzung endet mit der Abmeldung. Ein administrativ entferntes Konto kann sich nicht mehr anmelden und sein Token nicht mehr erneuern; sein Zugriff endet spätestens nach 60 Minuten, wenn das bereits ausgestellte Zugriffstoken abläuft.
  • SSO wird je Arbeitsbereich nach Vereinbarung eingeschaltet. Es bindet Ihren eigenen Identitätsanbieter über SAML 2.0 an, und der unterstützte Anbieter ist Microsoft Entra ID. Mit SSO behält Ihre Verwaltung von Identitäten und Zugriffen die Kontrolle über Zugangsdaten, MFA und Conditional Access, und ein Konto landet immer nur in dem Arbeitsbereich, dem seine Maildomäne gehört. Siehe SSO.
  • Der Zugang zum Arbeitsbereich ist rollenbasiert (Lesezugriff, Analyst, Compliance und Administrator), standardmäßig nach dem Prinzip der geringsten Rechte, und jede Vergabe erfolgt durch eine namentlich benannte Administratorin oder einen namentlich benannten Administrator. Unsere eigenen Betriebsfunktionen liegen hinter einer gesonderten Berechtigung, die ausschließlich unsere eigenen Konten tragen und kein Kundenkonto, Administratorkonten eingeschlossen.

Trennung und Nachvollziehbarkeit

  • Jedes Institut hat seinen eigenen abgeschotteten Arbeitsbereich. Die Mandantentrennung ist auf drei unabhängigen Ebenen durchgesetzt, bis hinunter zur Sicherheit auf Zeilenebene (Row Level Security) in der Datenbank.
  • Handlungen an Daten des Arbeitsbereichs werden, der handelnden Person zugeordnet, in einem Aktivitätsprotokoll (Audit Trail) festgehalten, das nur fortgeschrieben wird; die Datenbank weist Änderungen und Löschungen von Protokolleinträgen durch die Anwendung zurück.
  • Wir speichern die Daten Ihres Arbeitsbereichs (Deals, Screenings, Prüfentscheidungen und Exporte) auf unserer Infrastruktur und trainieren damit keine Modelle. Suchanfragen, abgerufene öffentliche Texte und die Texte, die zum Entwurf an Anbieter für KI gehen, einschließlich des Subjekts eines Screenings, werden von Anbietern für Suche und KI zu den Bedingungen verarbeitet, die in den Abschnitten 7 und 8 der Datenschutzerklärung beschrieben sind.
  • Rechercheinhalte entstehen mit Unterstützung durch KI, sind im Produkt als solche gekennzeichnet, auf benannte Quellen gestützt und zur Prüfung durch Ihre Analystinnen und Analysten bestimmt. Scores gelten für Organisationen und Länder, nie für natürliche Personen. Kein Endpunkt liefert einen personenbezogenen Score, und der Build schlägt fehl, sobald einer auftaucht. Unsere Einordnung nach der KI-Verordnung der EU steht auf der Seite KI-Verordnung.

Umgang mit Schwachstellen

  • Unsere Freigabeprüfung umfasst automatisierte Abhängigkeitsprüfungen über die Abhängigkeitsbäume von Backend und Dashboard sowie eine Suche nach Geheimnissen (Secret Scan) über die gesamte Historie des Repositorys.
  • Melden Sie vermutete Schwachstellen an contact@stonewake.ai mit "Security" im Betreff; Umfang, Schutz für redliche Sicherheitsforschung und Reaktionszeiten stehen auf der Seite Sicherheitslücken melden.

Siehe auch Einführung im Institut, Umgang mit Daten, Barrierefreiheit, die Datenschutzerklärung und der Auftragsverarbeitungsvertrag, den Kundenbanken erhalten.