FAQ — Bezpieczeństwo i hosting

Ta strona podsumowuje najczęstsze kwestie dotyczące bezpieczeństwa i hostingu. Pełny opis zawierają dokumenty oficjalne, które Omniscol udostępnia na życzenie (zależnie od przypadku po podpisaniu NDA):

• SECURITY_OVERVIEW.md — przegląd publiczny,
• SECURITY_ONE_PAGER.md — podsumowanie dla CISO, czyli osób odpowiedzialnych za bezpieczeństwo informacji,
• SECURITY_FULL.md — pełna dokumentacja (nadzór, infrastruktura, zabezpieczenia, zgodność, reagowanie na incydenty),
• ISO27001_MAPPING.md — powiązanie z zabezpieczeniami normy ISO 27001,
• SSI_QUESTIONNAIRE_STANDARD.md — odpowiedzi na standardowy kwestionariusz bezpieczeństwa informacji.

W sprawach bezpieczeństwa: [email protected].

Gdzie są hostowane moje dane?

Informacje prawne wskazują hosting na terenie Unii Europejskiej, na AWS w Paryżu i w Scaleway. Dokładne zobowiązania dotyczące nadmiarowości, kopii zapasowych, okresu przechowywania i dostępności zależą od ram umownych obowiązujących dla danego konta.

Czy Omniscol jest zgodny z RODO?

Omniscol jest zaprojektowany do użytku zgodnego z RODO. Praktyczne konsekwencje:

• Hosting wyłącznie w UE (Francja).
• Izolacja logiczna dla każdego klienta: dostęp krzyżowy między kontami jest niemożliwy.
• Żadnego profilowania, żadnej odsprzedaży danych, żadnego wtórnego wykorzystania treści szkoły.
• Odwracalność: pełny eksport do formatu JSON za pomocą Pobierz.
• Obsługa żądań osób, których dane dotyczą, zgodnie z obowiązującymi ramami umownymi i regulacyjnymi.

Czy Omniscol ma certyfikat ISO 27001?

Na dziś bez certyfikatu, ale praktyki są spójne z zasadami normy i realizują podejście oparte na ryzyku, poddawane stałej weryfikacji. Szczegóły zabezpieczeń można przekazać w odpowiednich ramach umownych lub w dokumentach dotyczących bezpieczeństwa.

Jak chronione są hasła?

Omniscol chroni hasła w następujący sposób:

• Wstępne haszowanie po stronie klienta algorytmem scrypt — hasło w postaci jawnej nigdy nie dociera na serwery.
• Przechowywanie na serwerze w postaci skrótu z solą.
• Żadne hasło w postaci jawnej nie jest nigdy przesyłane ani przechowywane.
• Żaden administrator Omniscol nie może odczytać, odtworzyć ani odzyskać hasła użytkownika.

W razie podejrzenia naruszenia konta zmiana hasła unieważnia dostępy pochodne, które zależą od tego sekretu, w szczególności linki udostępniania powiązane z hasłem twórcy.

Czy komunikacja jest szyfrowana?

Publiczny dostęp do aplikacji odbywa się przez HTTPS. Konfiguracja ekspozycji sieciowej zależy od wybranego wdrożenia i wymaga sprawdzenia w dokumentacji bezpieczeństwa lub w ramach umownych danego konta.

Jak działa uwierzytelnianie?

Sesje Omniscol korzystają z podpisanych tokenów o ograniczonym czasie życia; dostęp jest odnawiany, dopóki użytkownik pracuje w interfejsie.

Linki udostępniania i tokeny API podlegają odrębnym zasadom:

• link udostępniania może mieć datę wygaśnięcia i zależy też od konta, które go utworzyło; zmiana hasła tego konta lub jego dezaktywacja unieważnia odpowiednie dostępy;
• token API zależy od klucza utworzonego w interfejsie; usunięcie tego klucza lub upływ jego daty wygaśnięcia unieważnia powiązane tokeny.

Zob. także Link udostępniania i API Omniscol.

API: klucze i tokeny

Dostępem do API zarządza się z interfejsu za pomocą dwóch widocznych obiektów:

1. Klucz — tworzony z etykietą i, w razie potrzeby, z datą wygaśnięcia. Tę datę można później zmienić.
2. Token — generowany z klucza, z listą dozwolonych punktów dostępu API i własną datą wygaśnięcia. Tej daty nie można zmienić po wygenerowaniu; trzeba utworzyć nowy token.

Dobra praktyka: jeden klucz na integrację, z jednoznaczną etykietą i datą wygaśnięcia dopasowaną do potrzeby. W razie wątpliwości proszę usunąć klucz i utworzyć nowy.

Zob. API Omniscol.

Czy użytkownicy mogą korzystać z konta firmowego (SSO)?

Tak, przez OIDC / SSO, gdy konfiguracja jest włączona na koncie. Omniscol obsługuje Google Workspace, Microsoft Entra ID oraz dowolnych dostawców OIDC.

Każdy użytkownik loguje się wtedy swoją tożsamością firmową i zachowuje uprawnienia skonfigurowane w Omniscol.

Jakie zabezpieczenia chronią przed nadużyciami przy logowaniu?

• Odpowiedzi na nieudane uwierzytelnienie są celowo opóźniane.
• Ekrany administracyjne są zabezpieczone mocniej.
• Omniscol nie ujawnia, czy identyfikator istnieje: komunikat pozostaje ogólny.

Cykl życia kont użytkowników

• Dezaktywacja bez usunięcia — dezaktywowane konto nie może się już zalogować, ale powiązane z nim dane zostają zachowane.
• Obowiązkowa zmiana przy pierwszym dostępie — gdy hasło zostało ustawione ręcznie, użytkownik musi je zmienić przy pierwszym logowaniu.
• Resetowanie — administrator może uruchomić reset bez znajomości istniejącego hasła.

Bezpieczeństwo sieci i eksploatacja

Dokumenty dotyczące bezpieczeństwa, udostępniane na życzenie, opisują szczegółowo hosting, separację sieci, zasady dostępu do danych i procedury operacyjne obowiązujące dla danego konta.

Czy istnieje dziennik audytu?

Tak, gdy dla konta włączono opcję logów i odpowiedni okres przechowywania. Widoczny zakres zależy od rejestrowanych operacji i od głębokości ustawionej przez Omniscol. Zob. Dziennik aktywności (logi).

OWASP Top 10

Omniscol stosuje zabezpieczenia odpowiadające ryzykom OWASP Top 10: kontrola dostępu, szyfrowanie, walidacja danych wejściowych, bezpieczna konfiguracja, monitorowanie zależności, ochrona sesji i rejestrowanie zdarzeń. Dokładny zakres można opisać w dokumentach dotyczących bezpieczeństwa, udostępnianych na życzenie.

Automatyczne testy bezpieczeństwa

Automatyczne kontrole są wbudowane w proces rozwoju i wdrażania Omniscol. Ich zakres zmienia się razem z produktem; szczegóły można przekazać w odpowiednich dokumentach dotyczących bezpieczeństwa.

Jak wykonać kopię zapasową ręcznie?

Przycisk Pobierz pobiera pełny eksport konta w formacie JSON. Plik należy przechowywać starannie: zawiera skróty haseł i wszystkie dane osobowe.

W razie poważnego incydentu plik można odesłać zespołowi Omniscol do ponownego wczytania.

Jeśli na koncie włączona jest opcja Snapshots, można też zautomatyzować tworzenie punktów kopii zapasowych gotowych do przywrócenia. Zob. Punkty kopii zapasowych.

Historia incydentów

Według najnowszego zestawienia (luty 2026):

• 0 naruszeń danych klientów (w całej historii).
• 0 incydentów bezpieczeństwa w 2025 roku.

Te liczby są publikowane w SECURITY_ONE_PAGER.md, dokumencie weryfikowanym co kwartał.