安全

基础设施与加密

我们的平台构建于企业级云基础设施之上，并具有多层安全控制：

• 传输加密：所有通信均使用 TLS 1.3 加密，确保数据在传输过程中不被截获。
• 静态加密：所有存储数据均使用 AES-256 位加密，与金融机构和政府机构采用的标准相同。
• 密钥管理：加密密钥通过专用的硬件安全模块（HSM）管理，并实施严格的轮换策略。
• 网络隔离：我们的生产环境使用虚拟私有云（VPC），并实施严格的网络分段和防火墙规则。

数据保护与访问控制

我们实施严格的访问控制，确保只有授权人员才能接触敏感系统和数据：

• 基于角色的访问控制（RBAC），遵循最小权限原则
• 所有对生产系统的内部访问均需多因素身份验证（MFA）
• 定期访问审查，并为离职员工自动取消权限
• 对所有数据访问和管理操作进行全面审计日志记录
• 对所有可接触客户数据的员工进行背景调查

合规与认证

我们保持严格的合规标准，并定期接受独立审计以验证我们的安全状况：

认证状态为占位信息；最终详情待审计完成后确定。

监控与事件响应

我们保持持续监控和结构化的事件响应计划：

• 跨所有系统 24/7 自动化威胁检测和实时告警
• 网络边界处的入侵检测和防御系统（IDS/IPS）
• 配备专职安全运营团队，并有明确的升级流程
• 正式的 incident 响应计划，包含分级、遏制和沟通协议
• 定期桌面推演和模拟演练
• 事件后审查，包括根本原因分析和纠正措施跟踪

如果发生影响您数据的安全事件，我们承诺按照适用法规在 72 小时内通知受影响的客户。

业务连续性

我们的业务连续性和灾难恢复措施确保平台可用性和数据持久性：

• 多区域数据复制与自动故障转移
• 定期备份，支持时间点恢复
• 明确的恢复时间目标（RTO）和恢复点目标（RPO）
• 年度灾难恢复测试并记录结果
• 为企业客户提供 99.9% 正常运行时间 SLA

您的责任

安全是共同的责任。我们建议您的团队遵循以下最佳实践：

• 使用强且唯一的密码，并在您的账户上启用多因素身份验证
• 对您的访问凭据保密，不要与未授权人员共享
• 定期审查组织内的用户访问，并移除不活跃账户
• 及时向我们的安全团队报告任何可疑的安全漏洞或事件
• 保持您的系统和浏览器更新到最新的安全补丁