یادداشت‌های امنیتی سینچ
این صفحه رویکرد عمومی سینچ به امنیت اطلاعات در وب‌سایت و طرح آزمایشی را توضیح می‌دهد. هدف، ارائه تصویری شفاف از ملاحظات امنیتی و محدودیت‌های عملی است؛ نه ایجاد تصور امنیت مطلق. هیچ سامانه متصل به اینترنت، سرویس ایمیل، محیط میزبانی یا پردازش ابری را نمی‌توان کاملاً بدون ریسک دانست.
۱. اصل حداقل دسترسی
دسترسی به اطلاعات باید تا حد امکان به افرادی محدود شود که برای اجرای طرح آزمایشی، پشتیبانی، نگهداری فنی یا بررسی یک مسئله مشخص به آن نیاز دارند. دامنه دسترسی می‌تواند با توجه به نقش کاربر، محیط استقرار و نیاز پروژه متفاوت باشد.
هدف این است که دسترسی غیرضروری ایجاد نشود و فعالیت‌های فنی در محدوده مشخص انجام شوند. این اصل به‌تنهایی جایگزین کنترل‌های سازمانی کارفرما یا پیمانکار نیست و باید در کنار آن‌ها دیده شود.
۲. حداقل‌سازی داده
یکی از مهم‌ترین کنترل‌های عملی، کاهش داده غیرضروری است. در طرح آزمایشی بهتر است فقط اسناد و بخش‌هایی وارد شوند که برای ارزیابی قابلیت مورد نظر لازم‌اند. هرچه داده حساس غیرضروری کمتر وارد چرخه پردازش شود، سطح مواجهه نیز کاهش می‌یابد.
۳. پردازش اسناد و هوش مصنوعی
اگر پردازش هوش مصنوعی خارجی مورد استفاده قرار گیرد، سیاست سینچ ارسال متن یا بخش لازم برای انجام پردازش است و نه الزاماً کل فایل. نوع دقیق داده ارسالی می‌تواند به قابلیت، فرمت سند و ارائه‌دهنده سرویس وابسته باشد.
خروجی هوش مصنوعی صرفاً پیشنهاد اولیه است و هیچ پیشنهاد اولیه بدون تأیید انسانی نباید به اقدام رسمی یا گزارش رسمی تبدیل شود. این کنترل فقط یک اصل محصولی نیست؛ بلکه بخشی از کاهش ریسک اتکا به نتیجه ماشینی نادرست یا خارج از زمینه است.
۴. قابلیت ردیابی پردازش
در پردازش‌های هوش مصنوعی، سینچ می‌تواند اطلاعاتی مانند ارائه‌دهنده سرویس، مدل و نسخه دستور و ساختار پردازش و زمان پردازش را ثبت کند. این اطلاعات برای عیب‌یابی، بررسی تغییرات و تشخیص شرایط تولید یک پیشنهاد اولیه مفید هستند.
ثبت این داده‌ها به معنای تضمین بازتولید دقیق خروجی نیست، اما می‌تواند در تحلیل رخدادها و بررسی تفاوت رفتار مدل‌ها کمک کند.
۵. محرمانگی اسناد پروژه
اسناد پروژه ممکن است شامل اطلاعات قراردادی، تجاری، مالی، شخصی یا سازمانی حساس باشند. کاربر باید پیش از ارسال فایل، بررسی کند که برای پردازش آن مجوز دارد و در صورت وجود محدودیت محرمانگی، روش مناسب تبادل اطلاعات را هماهنگ کند.
پیشنهاد می‌شود در ارتباط اولیه، به‌جای ارسال فوری سند حساس، ابتدا مسئله و نوع داده به‌صورت کلی توضیح داده شود تا مسیر مناسب ادامه کار مشخص شود.
۶. امنیت انتقال
وب‌سایت و سرویسهای مرتبط باید از روش‌های متعارف امن برای انتقال اطلاعات استفاده کنند، اما امنیت انتقال فقط یکی از اجزای زنجیره است. امنیت ایمیل فرستنده، سیستم کاربر، شبکه سازمانی، مرورگر و سرویسهای واسط نیز بر ریسک نهایی اثر دارند.
به همین دلیل، برای اسناد بسیار حساس نباید صرفاً به این فرض تکیه کرد که ارسال از طریق اینترنت یا ایمیل به‌طور مطلق امن است.
۷. نگهداری و دسترسی عملیاتی
اطلاعات باید فقط تا زمانی نگهداری شوند که برای اجرای طرح آزمایشی، پشتیبانی، بررسی خطا، حفظ سابقه عملیاتی لازم یا الزامات مرتبط با همکاری نیاز باشد. دامنه دقیق نگهداری می‌تواند برای هر طرح آزمایشی متفاوت باشد.
درخواست حذف داده‌های طرح آزمایشی از طریق privacy@gocinch.ir قابل ثبت است. در برخی موارد ممکن است برای جلوگیری از حذف اشتباه یا حفظ سوابق ضروری، نیاز به بررسی هویت یا محدودیت‌های فنی وجود داشته باشد.
۸. گزارش خطا یا رخداد امنیتی
اگر کاربر با رفتار غیرعادی، دسترسی مشکوک، نمایش اطلاعات نامرتبط، خطای احتمالی در مجوزها یا هر مسئله‌ای که می‌تواند جنبه امنیتی داشته باشد مواجه شد، بهتر است موضوع را بدون انتشار عمومی جزئیات حساس از طریق support@gocinch.ir گزارش کند.
در گزارش رخداد، ذکر زمان تقریبی، صفحه یا قابلیت درگیر و شرح رفتار مشاهده‌شده مفید است. در صورت وجود داده حساس، بهتر است ابتدا توضیح کلی ارسال شود و فایل یا جزئیات حساس فقط پس از هماهنگی ارائه شوند.
۹. مسئولیت کاربر
امنیت یک مسئولیت مشترک است. کاربر مسئول حفاظت از حساب‌ها، مرورگر، دستگاه، ایمیل و اعتبارنامه‌های خود است و باید فقط داده‌هایی را وارد کند که مجاز به پردازش آن‌هاست.
استفاده از گذرواژه ضعیف، اشتراک‌گذاری اعتبارنامه، ارسال فایل به گیرنده اشتباه یا استفاده از سیستم آلوده می‌تواند خارج از کنترل مستقیم سینچ باشد و بر امنیت داده اثر بگذارد.
۱۰. محیط طرح آزمایشی و محیط عملیاتی
طرح آزمایشی یک محیط ارزیابی است و نباید بدون بررسی کافی با محیط عملیاتی دائمی یکسان فرض شود. ممکن است برخی کنترل‌های سازمانی، سطح‌بندی دسترسی، یکپارچگی‌ها یا رویه‌های مانیتورینگ در استقرار نهایی نیازمند طراحی تکمیلی باشند.
۱۱. سرویسهای ثالث
بخشی از زیرساخت می‌تواند به سرویسهای میزبانی، ایمیل یا ارائه‌دهنده سرویسهای هوش مصنوعی وابسته باشد. هر سرویس ثالث سیاست‌ها، محدودیت‌ها و مدل ریسک خود را دارد. برای پروژه‌هایی با الزامات خاص امنیتی یا قراردادی، استفاده از این سرویس‌ها باید متناسب با همان الزامات بررسی شود.
۱۲. تغییرات امنیتی
با توسعه محصول، زیرساخت و قابلیت‌های سینچ ممکن است تغییر کنند. در نتیجه این صفحه نیز باید زمانی که تغییر معناداری در نحوه پردازش، ذخیره‌سازی یا دسترسی ایجاد می‌شود به‌روزرسانی شود.
۱۳. تماس امنیتی و پشتیبانی
برای گزارش مسائل فنی یا امنیتی از support@gocinch.ir استفاده کنید. موضوعات مربوط به حریم خصوصی و حذف داده از طریق privacy@gocinch.ir پیگیری می‌شوند.
مطالعه مرتبط
برای جزئیات تکمیلی، سیاست حفظ حریم خصوصی، سیاست استفاده از داده و هوش مصنوعی و شرایط طرح آزمایشی سینچ را نیز ببینید.
آخرین به‌روزرسانی: ۳۱ شهریور ۱۴۰۵
ایمیل پشتیبانی: support@gocinch.ir