Bezpieczeństwo i dane

Zamierzony sposób działania

• Projekt zakłada przetwarzanie pliku faktury w pamięci, bez zapisu w bazie danych, na dysku i w logach. Sprawdzimy to testem przed uruchomieniem.
• Projekt zakłada, że wygenerowany plik XML nie jest przechowywany po zakończeniu sesji. Sprawdzimy to testem przed uruchomieniem.
• Konto nie jest wymagane, a strona nie zbiera danych do rejestracji.
• Nie wysyłamy faktur ani XML do KSeF ani do Ministerstwa Finansów.

Czego jeszcze nie sprawdziliśmy

• Że przetwarzanie w pamięci działa dokładnie tak, jak opisujemy. Przed uruchomieniem sprawdzimy to testami, w tym testem, czy żadne dane nie trafiają do logów ani do trwałego zapisu.
• Że zewnętrzny dostawca AI nie przechowuje danych faktur. Warunki tej usługi i umowa powierzenia są w przygotowaniu.
• Że zabezpieczenia transmisji, kontroli dostępu i ograniczeń liczby zapytań działają w produkcji. Testów bezpieczeństwa jeszcze nie przeprowadziliśmy.

Bezpieczeństwo w podejściu DevSecOps

Traktujemy bezpieczeństwo jako część każdej zmiany w kodzie, a nie etap na końcu. Każda praktyka poniżej ma status: LIVE oznacza, że można ją zweryfikować już dziś, PLANOWANE oznacza wdrożenie przed płatnym uruchomieniem, a ROADMAPA oznacza kierunek na później.

• LIVE. Kod źródłowy znajduje się w prywatnym repozytorium GitHub z pełną historią zmian.
• LIVE. Sekrety są trzymane poza repozytorium. Pliki .env są wykluczone w .gitignore.
• LIVE. Alerty o podatnych zależnościach (Dependabot) są włączone. Otwarte alerty przeglądamy przed każdym wydaniem.
• LIVE. Beta to statyczna strona oraz jeden nieaktywny punkt zapisu na listę oczekujących; pliki faktur nie są przesyłane ani przechowywane.
• LIVE. Beta nie używa zewnętrznych trackerów ani narzędzi analitycznych.
• LIVE. Strona działa przez HTTPS domyślnie na Cloudflare Pages.
• LIVE. Wersja beta jest wyłączona z indeksowania przez wyszukiwarki (noindex).
• PLANOWANE. Kontrole bezpieczeństwa w potoku CI/CD: analiza statyczna kodu (SAST), skanowanie zależności i sekretów oraz skanowanie infrastruktury jako kodu (IaC).
• PLANOWANE. Model zagrożeń dla przesyłania i przetwarzania plików faktur.
• PLANOWANE. Zabezpieczenia etapu ekstrakcji przez AI przed prompt injection, z walidacją wyników i potwierdzeniem przez użytkownika przed pobraniem XML.
• PLANOWANE. Aktualizacje zależności, w tym Next.js, po przeglądzie otwartych alertów.
• PLANOWANE. Logowanie bez treści faktur, potwierdzane testem.
• PLANOWANE. Runbook reagowania na incydenty z przełącznikami awaryjnymi.
• PLANOWANE. Zewnętrzny test penetracyjny przed płatnym uruchomieniem.
• ROADMAPA. Kontrole zgodne z duchem SOC 2, program zgłaszania podatności (bug bounty) oraz audyt ochrony danych na poziomie inspektora ochrony danych (IOD).

Czego jeszcze nie twierdzimy: że pokrywamy wszystkie ryzyka cybernetyczne, że beta przeszła test penetracyjny lub niezależny audyt, oraz że zależności są wolne od znanych podatności. Otwarte alerty są w trakcie przeglądu.