Безопасность
Безопасность: проверяемые условия, а не обещания
Корпоративный ИИ работает в согласованной с вами инфраструктуре. Ниже — как устроены данные, доступы и контроль и что мы закрепляем в договоре.
Путь запроса
Что происходит с каждым вопросом сотрудника
- 01Сотрудник входит через корпоративную учётную запись (AD/LDAP, SSO).
- 02Платформа проверяет его роль и права на документы.
- 03Поиск в базе знаний — только по документам, к которым у сотрудника есть доступ.
- 04Модель на выделенных серверах готовит ответ.
- 05Ответ сверяется с источниками, ссылки показываются сотруднику.
- 06Если нужен агент — он берёт доступ из сейфа; действие, требующее подтверждения, ждёт сотрудника.
- 07Всё записывается в журнал.
Меры защиты
Как устроена защита
| Область | Как устроено |
|---|---|
| Размещение | Ваше оборудование, инфраструктура Flatstack или другая согласованная схема; данные — в стране клиента; возможен контур без интернета |
| Модели | Открытые модели на выделенных серверах; без публичных ИИ API; без обучения на данных компании |
| Доступ | Вход через AD/LDAP или SSO, MFA, роли; ответы с учётом прав на документы |
| Секреты | Сейф доступов: выдача по ролям с согласованием, ротация, без паролей в запросах к модели |
| Действия агентов | Агент делает только то, что разрешено; отмеченные действия ждут подтверждения сотрудника |
| Журналирование | Действия пользователей, агентов и администраторов; согласованные сроки хранения |
| Интеграции | На первом этапе — только чтение; права агентов задаются явно |
| Поддержка | Доступ подрядчика — по договору, по согласованию и с записью в журнал |
| Собственность | Код интеграций, настройки и сценарии агентов передаём клиенту; план выхода — в договоре |
Границы ИИ
Границы задаёте вы
Вы решаете, какие действия агент выполняет сам, а какие — только после подтверждения сотрудника. По умолчанию ИИ не принимает юридических, финансовых, кадровых и производственных решений и не управляет оборудованием.
Закон и ответственность
Требования закона — в архитектуре, а не в презентации
152-ФЗ «О персональных данных»
Базы с персональными данными — в России. Обработка не выходит за пределы согласованного контура. Основания, роли сторон и меры защиты согласуем до старта.
98-ФЗ «О коммерческой тайне»
Закрепляем конфиденциальность и порядок доступа в договоре. Режим коммерческой тайны вводит заказчик — мы помогаем встроить в него платформу.
243-ФЗ «О поддержке развития технологий ИИ»
С 1 марта 2027 года вступают в силу требования к разработчикам ИИ-систем: безопасность, правила эксплуатации, техническая документация. Закладываем их заранее.
Требования к КИИ, отраслевые требования и сертификацию оцениваем отдельно. Размещение в России само по себе не означает полного соответствия.
Документы
Документы и статусы
Показываем статус каждого документа. Номер появляется здесь, когда документ выдан, — его можно проверить в открытом реестре.
- Реестр российского ПОЗаявка в работе — номер появится здесь после выдачи
- Сертификаты и лицензииЗаявка в работе — номер появится здесь после выдачи
Вопросы службы ИБ
Прямые ответы
Уходят ли данные во внешние ИИ-сервисы?
Нет. Модель работает на выделенных серверах; публичные ИИ API не используются.
Обучается ли модель на наших данных?
Нет. База знаний пополняется проверенными ответами, модель не дообучается.
Кто из Flatstack может зайти в систему?
Только поддержка, по договору и вашему согласованию, с записью в журнал. Доступы выдаются через сейф и отзываются после работ.
Где хранятся журналы и сколько?
В вашем контуре; срок хранения согласуем до старта.
Можно ли пройти ваш опросник ИБ?
Да — ответим на опросник вашей службы ИБ в составе пакета документов.
Первый созвон — 30 минут онлайн.
Пришлём документы до первой встречи
Архитектура и схема потоков данных, описание мер защиты, ответы на ваш опросник ИБ, порядок доступа поддержки и проект соглашения о конфиденциальности.
Подпишем NDA до обсуждения деталей.