信任中心
安全控制
基础设施安全
- 未知: 生产数据库强制唯一身份认证访问生产数据存储须使用经授权的安全认证机制，例如唯一的 SSH 密钥。
- 未知: 加密密钥访问受限仅有业务需要的授权用户可获得加密密钥的特权访问。
- 未知: 账户强制唯一身份认证访问系统和应用须使用唯一的用户名和密码，或经授权的 SSH（Secure Socket Shell）密钥。
- 未知: 生产应用访问受限系统仅限授权访问
- 未知: 制定访问控制程序公司的访问控制政策规定了以下访问控制职能的要求：新增用户、修改用户和/或移除现有用户的访问权限。
- 未知: 生产数据库访问受限仅有业务需要的授权用户可获得数据库的特权访问。
- 未知: 生产操作系统访问受限仅有业务需要的授权用户可获得操作系统的特权访问。
- 未知: 生产网络访问受限仅有业务需要的授权用户可获得生产网络的特权访问。
- 未知: 网络系统强制唯一身份认证访问生产网络须使用唯一的用户名和密码，或经授权的 SSH（Secure Socket Shell）密钥。
- 未知: 远程访问强制 MFA只有持有有效多因素认证（MFA）方式的授权员工，才能远程访问公司生产系统。
- 未知: 远程访问强制加密授权员工只能通过经批准的加密连接远程访问公司生产系统。
组织安全
- 未知: 部署防恶意软件技术在易受恶意攻击的环境中部署防恶意软件技术，配置为定期更新、记录日志，并安装在所有相关系统上。
- 未知: 员工背景调查对新员工开展背景调查。
- 未知: 员工签署保密协议员工入职时须签署保密协议。
- 未知: 执行访客管理程序公司要求访客登记、佩戴访客证，并在进入数据中心或安全区域时由授权员工陪同。
产品安全
- 未知: 数据加密存放敏感客户数据的数据存储均启用静态加密。
- 未知: 控制自评估每年至少开展一次控制自评估，确认各项控制已落实并有效运行，并针对发现的问题采取纠正措施。如已就某个问题承诺 SLA，纠正措施须在该 SLA 内完成。
- 未知: 渗透测试每年至少开展一次渗透测试，制定修复计划，并按 SLA 实施变更、修复漏洞。
- 未知: 建立漏洞与系统监控流程公司正式政策规定了 IT 与工程相关职能的要求：漏洞管理、系统监控。
内部安全流程
- 未知: 制定业务连续性与灾难恢复计划公司制定了业务连续性与灾难恢复计划，其中包含沟通计划，以在关键人员不可用时维持信息安全的连续性。
- 未知: 测试业务连续性与灾难恢复计划公司拥有书面的业务连续性与灾难恢复（BC/DR）计划，并至少每年测试一次。
- 未知: 投保网络安全保险投保网络安全保险，降低业务中断带来的财务影响。
- 未知: 建立配置管理体系制定配置管理流程，确保系统配置在整个环境中一致部署。
- 未知: 建立开发生命周期公司建立了正式的系统开发生命周期（SDLC）方法，用于规范信息系统及相关技术要求的开发、采购、实施、变更（包括紧急变更）和维护。
- 未知: SOC 2 – 系统描述为审计报告第三部分撰写系统描述
- 未知: 建立举报制度制定正式的举报制度，并设有匿名沟通渠道，供用户报告潜在问题或舞弊线索。
- 未知: 董事会监督汇报高级管理层每年至少一次向董事会或相关专门委员会汇报公司网络安全和隐私风险状况，董事会视需要向管理层提供反馈和指导。
- 未知: 制定董事会章程董事会有成文章程，明确其对内部控制的监督职责。
- 未知: 董事会专业能力董事会成员具备足够的专业知识，能够监督管理层设计、实施和运行信息安全控制的能力。董事会视需要聘请外部信息安全专家和顾问。
- 未知: 召开董事会会议董事会每年至少召开一次会议，并保留正式会议纪要。董事会中设有独立董事。
- 未知: 建立备份流程公司的数据备份政策规定了客户数据备份与恢复的要求。
- 未知: 对外通报系统变更可能影响客户数据处理的重大系统变更，会及时通知客户。
- 未知: 明确管理层角色与职责公司管理层已明确角色与职责，以监督信息安全控制措施的设计与实施。
- 未知: 明确角色与职责信息安全控制在设计、开发、实施、运行、维护和监控各环节的角色与职责，均在岗位说明和/或《角色与职责政策》中正式分配。
- 未知: 制定并评审安全政策公司的信息安全政策与程序已形成文件，并至少每年评审一次。
- 未知: 提供支持系统设有面向外部的支持系统，用户可借此向相关人员报告故障、事件、疑虑及其他投诉。
- 未知: 内部通报系统变更系统变更会告知授权的内部用户。
- 未知: 访问须经申请用户对范围内系统组件的访问权限依据岗位与职能授予，否则须在开通前提交书面访问申请，并经经理批准。
- 未知: 制定事件响应政策公司制定了书面的安全与隐私事件响应政策和程序，并已传达给授权用户。
- 未知: 遵循事件管理程序公司的安全与隐私事件由管理层按照安全事件响应政策和程序进行记录、跟踪、解决，并通知受影响或相关方。
- 未知: 建立物理访问流程公司建立了基于控制负责人授权来授予、变更和终止公司数据中心物理访问权限的流程。
- 未知: 评审数据中心访问权限公司至少每年评审一次数据中心的访问权限。
- 未知: 对外公布公司承诺通过主服务协议（MSA）或服务条款（TOS）向客户说明安全承诺。
- 未知: 提供外部支持资源向客户提供系统运行相关的指南和技术支持资源。
- 未知: 提供服务说明向内外部用户提供产品和服务说明。
- 未知: 明确风险评估目标明确业务目标，以便识别和评估与之相关的风险。
- 未知: 开展风险评估每年至少开展一次风险评估，识别影响服务承诺的威胁和变化（环境、监管和技术层面），并正式评估相关风险。评估还会考虑舞弊的可能性，以及舞弊对目标实现的影响。
- 未知: 建立风险管理计划公司建立了书面的风险管理计划，为识别潜在威胁、评估相关风险的严重程度以及制定缓解策略提供指导。
数据与隐私
- 未知: 制定数据保留程序公司制定了正式的保留与处置程序，以指导公司和客户数据的安全保留与处置。
- 未知: 客户退出后删除数据客户停止使用服务后，按照最佳实践从应用环境中清除包含机密信息的客户数据。
- 未知: 制定数据分类政策公司制定了数据分类政策，以帮助确保机密数据得到妥善保护并仅限授权人员访问。
报告
子处理方
数据
Hacktron 收集客户个人身份信息和信用卡信息。不收集个人健康信息。