Dôvera a bezpečnosť
Zistite, ako bude
vaše nasadenie zabezpečené.
Bezpečnosť posudzujte podľa konkrétnej verzie, nasadenia a potrebných oprávnení. Vyžiadajte si podklady, ktoré to potvrdzujú. Zabezpečenie tohto webu a zabezpečenie easyIGA vo vašej organizácii sú dve odlišné veci.
Preberme vaše bezpečnostné požiadavky Porovnajte možnosti nasadenia Nahláste zraniteľnosť
Štandardne na vašich serveroch
easyIGA je používateľská nadstavba nad open source platformou midPoint. Štandardne sa prevádzkuje na infraštruktúre pod správou vašej organizácie. Váš tím posudzuje a zabezpečuje ochranu siete, šifrovanie, zálohovanie, správu prístupov, monitorovanie a obnovu.
Prístup technickej podpory musí byť výslovne povolený, obmedzený na dohodnutý rozsah, zaznamenaný a zrušený, keď už nie je potrebný. Konkrétne technické podmienky potvrďte v zmluve o nasadení. Samotné označenie „na vlastnej infraštruktúre“ nedokazuje, že všetky integrácie, rozhrania modelov alebo kanály podpory ponechávajú údaje v určenej oblasti.
Možnosť hosťovania v EÚ
Organizáciám bez vhodnej infraštruktúry je na požiadanie k dispozícii nasadenie v EÚ prevádzkované naším tímom. Pred uzatvorením zmluvy si overte konkrétne miesta hosťovania, ďalších sprostredkovateľov, prístup podpory a podmienky uchovávania, zálohovania, obnovy a vymazania údajov. Miesto uloženia údajov, prevádzkový prístup a medzinárodné prenosy spolu súvisia, ale ide o odlišné otázky.
Písomne dohodnite zodpovednosť za riešenie incidentov, bezpečnostné opravy, dostupnosť a ukončenie služby. Lokalita ani architektonická schéma nenahrádzajú zmluvné záväzky a otestované bezpečnostné opatrenia služby.
Vyžiadajte si konkrétne bezpečnostné podklady
| Oblasť | Podklady, ktoré si treba vyžiadať |
|---|---|
| Prístup a autentifikácia | Integrácia poskytovateľa identity, oprávnenia servisných účtov, rozsah MFA, núdzový prístup a riadenie relácií. |
| Dodávateľský reťazec softvéru | Identifikátor verzie, zoznam závislostí, zistené zraniteľnosti, pôvod zostaveného softvéru a overenie podpisu, ak je dostupné. |
| Uplatňovanie pravidiel | Testy neoprávnených žiadostí, zvýšenia oprávnení, konfliktných rolí a priamych administrátorských zmien. |
| Auditné podklady | Zaznamenané udalosti, ich prepojenie, práca s chýbajúcimi údajmi, uchovávanie, obmedzenie prístupov a ochrana pred zmenami. |
| Prevádzka | Obnova zo zálohy, ciele obnovy, postup bezpečnostných opráv, zodpovednosti pri incidentoch a otestované riešenie zlyhaní. |
| Ukončenie spolupráce | Formát exportu, prenosnosť konfigurácie, závislosti, zachované licencie a opatrenia na vymazanie. |
Rozsah modelu hrozieb
Minimálne oprávnenia, schvaľovacie pravidlá a nezávislé záznamy môžu znížiť riziko, ale nezaručujú odolnosť proti napadnutiu. Otestujte oprávnenia nadstavby a jej servisných účtov. Napadnutý komponent môže zneužiť aj oprávnenia, ktoré má legitímne. Zaznamenávanie udalostí na dvoch miestach samo osebe nezabezpečuje odolnosť proti manipulácii ani nezávislé overenie.
Riadenie identít nenahrádza ochranu koncových zariadení, siete, zabezpečenie poskytovateľa identity, kontrolu privilegovaných relácií pomocou PAM ani bezpečnosť aplikácií. Úplné posúdenie zahŕňa tieto systémy aj ich prepojenia. Overujte výsledky v cieľových systémoch; prijatie požiadavky ešte nezaručuje vykonanie zmeny.
Ktoré služby používa tento web
easyiga.com využíva Cloudflare na doručovanie obsahu a ochranu služieb. Kontaktné formuláre používajú Cloudflare Turnstile a službu Worker. Resend doručí správu do schránky Microsoft 365 a dopyt sa uloží do CRM, ktoré náš tím prevádzkuje na firemnom serveri v EÚ. Cloudflare, Resend a Microsoft 365 sú služby tretích strán; CRM prevádzkujeme sami.
Voliteľná analytika využíva Google Analytics 4, ktorý sa načíta až po udelení súhlasu. Produkčná konfigurácia neaktivuje Bing UET ani spracúvanie aktivity návštevníkov pomocou AI. Písma a grafické podklady značky sa načítavajú z tohto webu; niektoré fotografie v článkoch zo služby Unsplash. Pozrite si oznámenie o ochrane osobných údajov a zásady používania cookies, kde nájdete účely aj možnosti nastavenia.
Repozitár webu pred nakonfigurovaným nasadením spúšťa zostavenie a automatizované testy. Tento postup pri webovej stránke nedokladá bezpečnostné opatrenia ani proces vydávania samostatnej aplikácie easyIGA.
Nahlásiť problém
Zraniteľnosti easyIGA alebo tejto webovej stránky hláste na adrese security@easyiga.com podľa dokumentu Zásady oznamovania zraniteľností nižšie. Rovnaký kontakt je v strojovo čitateľnom formáte zverejnený aj v súbore /.well-known/security.txt. Na ostatné bezpečnostné otázky, dotazníky, žiadosti o podklady alebo otázky o nasadení použite kontaktný formulár.
Informácie o hosťovaní boli 24. septembra 2026 overené podľa rozhodnutia vlastníka produktu. Zoznam služieb webovej stránky bol naposledy overený 14. septembra 2026. Pokyny pre samotný midPoint nájdete v zdroji Bezpečnostná dokumentácia Evolveum.
Zásady oznamovania zraniteľností
Prevádzkovateľ webovej stránky („my“) chce dostať hlásenie o bezpečnostnej zraniteľnosti easyIGA alebo tohto webu skôr, než sa o nej dozvedia ostatní. Tieto zásady vysvetľujú postup hlásenia, naše záväzky aj požiadavky na oznamovateľa. Vychádzajú z noriem ISO/IEC 29147 (oznamovanie zraniteľností) a ISO/IEC 30111 (riešenie zraniteľností). Predstavujú zásady koordinovaného oznamovania zraniteľností, ktoré od výrobcu vyžaduje článok 13 ods. 8 aktu EÚ o kybernetickej odolnosti, nariadenia (EÚ) 2024/2847. Verzia 1.0, účinná od 14. septembra 2026.
Ako nahlásiť
E-mail security@easyiga.com. Schránku sleduje viac ľudí, takže hlásenie nezostane bez odpovede pre neprítomnosť jednej osoby. Kontakt nájdete aj na /.well-known/security.txt vo formáte RFC 9116. Napísať nám môžete po slovensky aj po anglicky.
V hlásení uveďte dotknutý komponent (easyIGA, midPoint, Keycloak alebo web) a jeho verziu; pri easyIGA identifikátor vydania alebo digest kontajnerového obrazu. Pridajte postup na reprodukciu, pozorovaný dosah a prípadné dôkazy o aktívnom zneužívaní. Môžete najprv poslať súhrn bez citlivých údajov. Pred odoslaním technických podrobností potvrdíme adresu a na požiadanie dohodneme šifrovaný kanál. PGP kľúč zatiaľ nezverejňujeme. Keď ho zverejníme, jeho odtlačok bude tu aj v súbore security.txt.
K čomu sa zaväzujeme
- Potvrdenie do 5 pracovných dní od prijatia hlásenia; počítajú sa pracovné dni na Slovensku.
- Aktualizácia stavu do 15 pracovných dní, a ďalšie informácie o postupe riešenia až do uzavretia prípadu.
- Termín opravy nesľubujeme vopred. Povieme vám, čo vieme, aj keď oprava závisí od komponentu tretej strany alebo sa neplánuje.
- Uvedenie vášho mena, ak chcete, v zázname o oprave a v časti Poďakovanie na tejto stránke.
- Za hlásenie zraniteľností nevyplácame finančné odmeny.
Koordinované zverejňovanie
Žiadame o 90 dní od odoslania hlásenia pred zverejnením podrobností. Lehotu možno dohodou skrátiť aj predĺžiť. Skrátenie prichádza do úvahy pri skoršom vydaní opravy alebo už zverejnenej zraniteľnosti. Predĺženie môže byť potrebné pre závislosť od komponentu tretej strany, harmonogram nasadenia u zákazníka alebo zákonnú povinnosť; dôvod vám vtedy oznámime písomne. Aj keby sme prestali komunikovať, platí pôvodných 90 dní. Po ich uplynutí nepotrebujete na zverejnenie náš súhlas.
Po potvrdení hlásenia problém reprodukujeme, posúdime závažnosť a pripravíme opravu alebo zmierňujúce opatrenie. Opravu uvedieme v zozname zmien produktu v časti „Bezpečnosť“ a oznámime ju zákazníkom spolu s vydaním. Pri aktívne zneužívanej zraniteľnosti informujeme aj ENISA a koordinujúci národný tím CSIRT v lehotách podľa článku 14 CRA; včasné varovanie odošleme do 24 hodín od zistenia. Toto oznámenie je našou zákonnou povinnosťou a z vašej strany nevyžaduje ďalšie kroky.
Rozsah
V rozsahu: aplikácia easyIGA a jej súčasti na nasadenie dodané poskytovateľom uvedeným na stránke O nás (backend, frontend, integračná vrstva, kontajnerové obrazy a skripty nasadenia) aj táto stránka easyiga.com vrátane kontaktného API.
Komponenty tretích strán majú vlastné postupy oznamovania a opravy vydávajú ich správcovia. Zraniteľnosť midPointu hláste spoločnosti Evolveum (security@evolveum.com, pozri Bezpečnostná dokumentácia Evolveum) a zraniteľnosť Keycloaku projektu Keycloak (keycloak-security@googlegroups.com). Ak neviete, ktorý komponent je dotknutý, pošlite hlásenie nám. Odovzdáme ho správnemu tímu a zostaneme pri riešení. Zraniteľnosti služieb Cloudflare, Resend, Microsoft 365, Google Analytics a Unsplash patria do pôsobnosti ich poskytovateľov.
Čo od vás žiadame
- Testujte len to, čo máte oprávnenie testovať. easyIGA sa štandardne prevádzkuje na infraštruktúre zákazníka. Ak teda na internete nájdete jej inštaláciu, netestujte ju. Nahláste nám, čo ste si všimli, a zákazníka budeme kontaktovať my.
- Overte zraniteľnosť iba v nevyhnutnom rozsahu. Nečítajte, nekopírujte, nemeňte ani neodstraňujte údaje nad rámec toho, čo dokazuje zraniteľnosť, a nepristupujte k účtom alebo údajom iných ľudí.
- Nevykonávajte testy odopretia služby ani záťažové testy. Nepoužívajte sociálne inžinierstvo, phishing, fyzické narušenie ani automatizované skenovanie rýchlosťou, ktorá zhoršuje fungovanie služby.
- Zraniteľnosť nahláste bezodkladne, uchovávajte podrobnosti v tajnosti až do konca obdobia koordinovaného zverejňovania a po uzavretí správy vymažte všetky údaje, ktoré ste získali.
Prevádzkovateľ webu povoľuje výskum vykonávaný v dobrej viere a v súlade s týmito zásadami. Za takýto výskum proti vám nepodnikneme právne kroky ani nepožiadame zákazníka či dodávateľa komponentu, aby tak urobil v našom mene. Povolenie sa nevzťahuje na konanie mimo týchto zásad a nezaväzuje tretie strany. Hlásenia a osobné údaje v nich spracúvame podľa dokumentu oznámenie o ochrane osobných údajov na účely vyriešenia hlásenia a uchovávame ich ako súčasť bezpečnostných záznamov produktu.
Poďakovanie
Tu uvedieme výskumníkov, ktorí podľa týchto zásad nahlásili zraniteľnosť a požiadali o zverejnenie mena. Zatiaľ tu nie sú žiadne mená; zásady sú nové.
Za zásady zodpovedá vlastník produktu easyIGA. Kontrolujú sa aspoň raz ročne a po každom vybavenom hlásení. Verzia 1.0, 14. septembra 2026.