Ασφάλεια #

Το EthicsPortal επεξεργάζεται ευαίσθητα δεδομένα αναφορών. Η σελίδα αυτή καταγράφει τα τεχνικά και οργανωτικά μέτρα που εφαρμόζουμε.

Τελευταία ενημέρωση: 2026-05-17.

Κρυπτογράφηση δεδομένων #

Όλα τα ευαίσθητα πεδία κρυπτογραφούνται σε κατάσταση ηρεμίας με Rails Active Record Encryption και μη ντετερμινιστική κρυπτογράφηση.

Όλες οι συνδέσεις στο EthicsPortal χρησιμοποιούν HTTPS/TLS.

Ανωνυμία και απόρρητο #

Ανωνυμοποίηση IP #

Το EthicsPortal δεν αποθηκεύει ποτέ διευθύνσεις IP. Οι διαδρομές της πύλης χρησιμοποιούν μονόδρομο SHA256 hash της IP μόνο για περιορισμό ρυθμού.

Αφαίρεση μεταδεδομένων αρχείων #

Τα μεταφορτωμένα αρχεία καθαρίζονται αυτόματα από αναγνωριστικά μεταδεδομένα πριν αποθηκευτούν:

Έλεγχος για κακόβουλο λογισμικό #

Όλα τα μεταφορτωμένα αρχεία ελέγχονται αυτόματα για κακόβουλο λογισμικό με ClamAV . Τα μολυσμένα αρχεία αφαιρούνται αυτόματα.

Ανωνυμία χειριστών #

Τα πρόσωπα που αναφέρουν δεν βλέπουν ποτέ τα πραγματικά ονόματα ή τις διευθύνσεις ηλεκτρονικού ταχυδρομείου των χειριστών. Όλα τα μηνύματα εμφανίζονται ως «Χειριστής υπόθεσης».

Χωρίς παρακολούθηση #

Το EthicsPortal δεν χρησιμοποιεί cookies παρακολούθησης, διαφημιστικά εικονοστοιχεία ή scripts δημιουργίας αποτυπώματος τρίτων. Το Cloudflare Web Analytics χρησιμοποιείται μόνο στις σελίδες προβολής του δημόσιου ιστότοπου.

Τρέχουσα κατάσταση διασφάλισης #

Το EthicsPortal δεν δηλώνει επί του παρόντος σε αυτόν τον ιστότοπο διαπιστευμένη πιστοποίηση ISO 27001. Επίσης δεν δημοσιεύει προς το παρόν ανεξάρτητο έλεγχο τρίτου μέρους για την αρχιτεκτονική ανωνυμίας. Αν αυτό αλλάξει, το πεδίο εφαρμογής και η ημερομηνία θα δημοσιευθούν εδώ.

Υλικά για αξιολόγηση ασφάλειας #

Οι πελάτες που χρειάζονται υλικά για αξιολόγηση από τμήμα προμηθειών ή νομικό έλεγχο μπορούν να τα ζητήσουν κατά την αξιολόγηση. Τα διαθέσιμα υλικά μπορεί να περιλαμβάνουν αντιυπογεγραμμένη DPA, αποδεικτικά μητρώου και φορολογικά έγγραφα, συμπληρωμένο ερωτηματολόγιο ασφάλειας και γραπτές απαντήσεις για διαδικασίες δημιουργίας και επαναφοράς αντιγράφων ασφαλείας, προνομιακή πρόσβαση σε παραγωγή και αντιμετώπιση περιστατικών.

Έλεγχος πρόσβασης #

Η εξουσιοδότηση εφαρμόζεται στο επίπεδο εφαρμογής με Pundit .

Δύο παράγοντες #

Οι λογαριασμοί χειριστών και διαχειριστών μπορούν να ενεργοποιήσουν έλεγχο ταυτότητας δύο παραγόντων βασισμένο σε TOTP.

Τα πρόσωπα που αναφέρουν αυθεντικοποιούνται επίσης με δύο παράγοντες: αναγνωριστικό υπόθεσης και PIN.

Κύκλος ζωής συνεδριών #

Κάθε αυθεντικοποιημένη συνεδρία καταγράφει last_seen_at σε κάθε αίτημα (με αποσυμφόρηση). Οι χρήστες μπορούν να ελέγξουν τις ενεργές συνεδρίες τους, να δουν πότε ήταν τελευταία ενεργή κάθε μία, να ανακαλέσουν οποιαδήποτε συνεδρία μεμονωμένα ή να αποσυνδεθούν από όλες τις άλλες συνεδρίες μαζί από τις ρυθμίσεις λογαριασμού.

Οι συνεδρίες λήγουν αυτόματα μετά από 14 ημέρες αδράνειας. Το επόμενο αίτημα από μια αδρανή συνεδρία καταστρέφει την εγγραφή στην πλευρά του διακομιστή, διαγράφει το cookie και επιβάλλει εκ νέου αυθεντικοποίηση μέσω νέου μαγικού συνδέσμου. Νυχτερινή εργασία εκκαθαρίζει τις εγκαταλελειμμένες συνεδρίες με το ίδιο χρονικό όριο, ώστε τα user_agent και ip_address να μη διατηρούνται πέρα από το παράθυρο αδράνειας, ακόμη και όταν ο χρήστης δεν επιστρέφει.

Η αυθεντικοποίηση μέσω μαγικού συνδέσμου περιορίζει την έκταση επίπτωσης μακρόβιων συνεδριών: ένα υποκλαπέν cookie συνεδρίας δεν αποτελεί επαναχρησιμοποιήσιμο διαπιστευτήριο και η εκ νέου αυθεντικοποίηση απαιτεί πρόσβαση στο ηλεκτρονικό ταχυδρομείο.

Πρόσβαση μελών και αποχώρηση #

Η πρόσβαση στον οργανισμό εφαρμόζεται στο όριο του αιτήματος. Όταν ένα μέλος απενεργοποιείται:

• Η πρόσβαση στον οργανισμό απορρίπτεται αμέσως, ακόμη και σε προηγουμένως αποθηκευμένα URL.
• Οι αναθέσεις ανοιχτών αναφορών αφαιρούνται.
• Οι συμμετοχές αφαιρούνται.
• Το ιστορικό ίχνους ελέγχου που αποδίδεται στο μέλος διατηρείται.
• Το απενεργοποιημένο μέλος ειδοποιείται.
• Η επανενεργοποίηση δεν αποκαθιστά αυτόματα την προηγούμενη πρόσβαση σε υποθέσεις.

Ο τελευταίος ενεργός διαχειριστής και ο κάτοχος του οργανισμού δεν μπορούν να απενεργοποιηθούν. Όλα τα συμβάντα απενεργοποίησης και επανενεργοποίησης καταγράφονται στο ίχνος ελέγχου μόνο με προσθήκες.

Οι ιδιότητες μέλους χωρίς αποτύπωμα συμμόρφωσης (χωρίς εγγραφές στο ίχνος ελέγχου, χωρίς αναθέσεις, χωρίς συμμετοχές) διαγράφονται οριστικά κατά την αφαίρεση. Οι ιδιότητες μέλους με αποτύπωμα απενεργοποιούνται με ήπιο τρόπο ώστε το ίχνος ελέγχου να παραμένει επιλύσιμο.

Περιορισμός ρυθμού #

Έλεγχος και συμμόρφωση #

Ίχνος ελέγχου μόνο με προσθήκες #

Κάθε ενέργεια στο EthicsPortal καταγράφεται με:

• χρονοσφραγίδα (UTC)
• εκτελεστή
• τύπο ενέργειας

Οι εγγραφές δεν μπορούν να τροποποιηθούν ή να διαγραφούν από χρήστες.

Διατήρηση δεδομένων #

Οι οργανισμοί ορίζουν περίοδο διατήρησης 12, 24, 36 ή 60 μηνών μετά το κλείσιμο της αναφοράς. Μετά τη λήξη, τα δεδομένα διαγράφονται αυτόματα.

Προστασία CSRF #

Όλες οι φόρμες προστατεύονται με κρυπτογραφικά διακριτικά CSRF της Rails.

Διαχείριση εξαρτήσεων και ενημερώσεων ασφαλείας #

Το EthicsPortal δεν αναπτύσσει συστατικά λογισμικού που έχουν φτάσει στο τέλος του κύκλου ζωής τους. Η εφαρμογή εκτελείται σε ενεργά υποστηριζόμενες εκδόσεις των Rails, Ruby, PostgreSQL και του υποκείμενου λειτουργικού συστήματος· οι ενημερώσεις ασφαλείας από τους κατασκευαστές εφαρμόζονται σε κυλιόμενη βάση.

Οι εξαρτήσεις σαρώνονται συνεχώς στο CI:

• Το Brakeman εντοπίζει ευπάθειες ειδικές για Rails σε κάθε αλλαγή.
• Το bundler-audit ελέγχει το Gemfile έναντι της Ruby Advisory Database σε κάθε αλλαγή και επιπλέον καθημερινά βάσει προγραμματισμού, ώστε οι νέες δημοσιευμένες ευπάθειες να εντοπίζονται ακόμη και χωρίς αλλαγή κώδικα.
• Το importmap audit σαρώνει τα JavaScript imports για γνωστές ευπάθειες σε κάθε αλλαγή και επιπλέον καθημερινά βάσει προγραμματισμού.
• Το Dependabot ανοίγει εβδομαδιαία pull requests για παρωχημένα Ruby gems και GitHub Actions, ομαδοποιημένα κατά minor/patch ενημερώσεις.

Συστατικά που πλησιάζουν στο τέλος του κύκλου ζωής τους αντικαθίστανται ή αναβαθμίζονται πριν κλείσει το παράθυρο υποστήριξής τους.

Υποδομή #

Αντίγραφα ασφαλείας και επαναφορά #

Το EthicsPortal λειτουργεί δύο συμπληρωματικά επίπεδα αντιγράφων ασφαλείας, αμφότερα διατηρούμενα εντός της ΕΕ:

Στόχοι ανάκτησης. Το recovery point objective (RPO) είναι 24 ώρες. Το recovery time objective (RTO) είναι 4 ώρες. Οι στόχοι αυτοί εμφανίζονται και στη συμφωνία επιπέδου υπηρεσίας .

Δοκιμές επαναφοράς. Δοκιμή επαναφοράς εκτελείται τουλάχιστον ανά τρίμηνο σε αναλώσιμο περιβάλλον. Τελευταία δοκιμή: 2026-05-14.

Κρυπτογράφηση. Τα αντίγραφα της βάσης δεδομένων κρυπτογραφούνται σε κατάσταση ηρεμίας από το Hetzner Object Storage. Τα πεδία που κρυπτογραφούνται σε επίπεδο εφαρμογής με Rails ActiveRecord Encryption παραμένουν κρυπτογραφημένα μέσα στο αντίγραφο.

Επιχειρησιακή αξιολόγηση #

Αυτή η σελίδα είναι δημόσια σύνοψη ασφάλειας. Μέρος του επιχειρησιακού υλικού κοινοποιείται στο πλαίσιο αξιολόγησης από τμήμα προμηθειών αντί να δημοσιεύεται πλήρως στον ανοιχτό ιστό, επειδή περιέχει λεπτομέρειες υποδομής και απόκρισης που είναι καταλληλότερες για ελεγχόμενη κοινοποίηση.

Θέματα διαθέσιμα κατόπιν αιτήματος στην αξιολόγηση προμηθειών περιλαμβάνουν:

• Περίληψη προνομιακής πρόσβασης σε παραγωγή
• Ροή εργασίας απόκρισης σε περιστατικά και επαφές κλιμάκωσης
• Απαντήσεις για επιχειρησιακή συνέχεια και αποχώρηση / εξαγωγή δεδομένων πελάτη

Υπεύθυνη γνωστοποίηση #

Αν ανακαλύψετε ευπάθεια ασφαλείας στο EthicsPortal, παρακαλούμε αναφέρετέ την στο security@ethicsportal.eu .

Τελευταία ενημέρωση: 7 Ιουνίου 2026