Dokumentation
Sicherheitsüberblick
Ein genauer Blick darauf, wie Specteron Kundendaten schützt, Tenant-Isolation durchsetzt und eine sichere Produktionsumgebung betreibt.
Architektur und Tenant-Isolation
Specteron ist eine Multi-Tenant-SaaS-Plattform auf Cloud-Infrastruktur der Enterprise-Klasse. Kundendaten bleiben durch striktes Workspace-Scoping logisch auf Applikations- und Datenebene getrennt.
- Strikte logische Isolation: Jeder API-Request wird gegen den authentifizierten Workspace-Scope geprüft. Cross-Tenant-Zugriffe werden durch Applikationslogik und Autorisierung blockiert.
- Segmentierte Vektor-Datenbanken: Knowledge-Base-Daten werden in getrennten Namespaces gespeichert, sodass Retrieval nur im autorisierten Kundenkontext ausgeführt wird.
- OpenAI API Datenverarbeitung: KI-Inhalte werden über die OpenAI API nach den Datenkontrollen des Anbieters verarbeitet. Specteron behauptet keinen gesonderten Zero-Retention-Vertrag, solange dieser nicht bestätigt ist.
Verschlüsselung und Secret Management
Die Plattform setzt auf Defense in Depth und etablierte Verschlüsselungsstandards für Netzwerkverkehr, Storage und den Umgang mit Secrets.
- Verschlüsselung im Transit: Specteron nutzt HTTPS und die Transportverschlüsselung der Produktionsanbieter. Eine bestimmte TLS-Version wird hier nicht zugesagt.
- Speicherschutz: Hosting- und Datenbankschutz wird über die Produktionsumgebung angewandt. Konkrete Algorithmen und Backup-Kontrollen müssen beim Anbieter bestätigt werden.
- Umgang mit Secrets: Anwendungsgeheimnisse werden in serverseitiger Konfiguration gehalten und Zugriffe auf den erforderlichen Betriebsumfang begrenzt.
Identity & Access Control
Der Zugriff auf Kundendaten folgt Least-Privilege-Prinzipien in Support, Engineering und Infrastruktur-Operations.
- Kundenzugriff (RBAC): Workspace Owner können Rollen mit klarem Scope für Inbox, Billing, Knowledge und operative Einstellungen vergeben.
- Betreiberzugriff: Produktionszugriff soll auf Personen begrenzt sein, die ihn für Betrieb, Support oder Sicherheit benötigen. Verfahren werden mit dem Projektwachstum formalisiert.
- Kontosicherheit: Das Produkt bietet Kontosicherheitsfunktionen. Eine verpflichtende MFA bei allen externen Anbieterkonten wird ohne Bestätigung nicht behauptet.
Secure Development Lifecycle (SDLC)
Sicherheit ist fest in Development- und Release-Workflows eingebaut, damit Probleme erkannt werden, bevor sie Produktion erreichen.
- Automatisierte Scans: CI-Pipelines prüfen Code und Abhängigkeiten frühzeitig auf bekannte Schwachstellen und riskante Änderungen.
- Verpflichtendes Review: Codeänderungen benötigen Review und erfolgreiche automatische Checks vor dem Release.
- Unabhängige Tests: Specteron behauptet derzeit weder ein wiederkehrendes externes Penetrationstestprogramm noch eine aktuelle unabhängige Zertifizierung.