信任中心
安全控制
基础设施安全
- 未知: 生产数据库强制唯一身份认证公司要求访问生产数据存储时使用经授权的安全认证机制，例如唯一的 SSH 密钥。
- 未知: 加密密钥访问受限公司仅允许有业务需要的授权用户以特权身份访问加密密钥。
- 未知: 强制唯一账户认证公司要求访问系统和应用时使用唯一的用户名和密码，或经授权的 SSH（Secure Socket Shell）密钥。
- 未知: 生产应用访问受限系统访问仅限经授权的访问。
- 未知: 生产数据库访问受限公司仅允许有业务需要的授权用户以特权身份访问数据库。
- 未知: 生产操作系统访问受限公司仅允许有业务需要的授权用户以特权身份访问操作系统。
- 未知: 生产网络访问受限公司仅允许有业务需要的授权用户以特权身份访问生产网络。
- 未知: 网络系统强制唯一身份认证公司要求访问生产网络时使用唯一的用户名和密码，或经授权的 SSH（Secure Socket Shell）密钥。
- 未知: 远程访问强制 MFA只有持有有效多因素认证（MFA）方式的授权员工才能远程访问公司的生产系统。
- 未知: 远程访问强制加密只有授权员工才能通过经批准的加密连接远程访问公司的生产系统。
组织安全
- 未知: 使用反恶意软件技术公司在容易遭受恶意攻击的环境中部署反恶意软件技术，并将其配置为定期更新、记录日志，且安装在所有相关系统上。
- 未知: 对员工进行背景调查公司对新员工进行背景调查。
- 未知: 员工签署保密协议公司要求员工在入职时签署保密协议。
产品安全
- 未知: 使用数据加密公司存放敏感客户数据的数据存储均进行静态加密。
- 未知: 开展控制自评估公司至少每年开展一次控制自评估，以确认各项控制已到位并有效运行。公司会根据相关发现采取纠正措施；如果公司已就某项发现承诺 SLA，纠正措施将在该 SLA 内完成。
- 未知: 开展渗透测试公司至少每年开展一次渗透测试，制定修复计划，并按照 SLA 实施修复漏洞的变更。
- 未知: 建立漏洞与系统监控流程公司的正式政策规定了 IT 和工程相关职能的要求：漏洞管理和系统监控。
内部安全流程
- 未知: 投保网络安全保险公司投保网络安全保险，以减轻业务中断造成的财务影响。
- 未知: 建立配置管理体系公司制定了配置管理流程，确保系统配置在整个环境中一致部署。
- 未知: SOC 2 – 系统描述为审计报告第三部分编写系统描述
- 未知: 建立举报政策公司制定了正式的举报政策，并设有匿名沟通渠道，供用户报告潜在问题或欺诈疑虑。
- 未知: 向董事会进行监督汇报高级管理层至少每年一次向公司董事会或相关委员会汇报网络安全和隐私风险状况。董事会根据需要向管理层提供反馈和指导。
- 未知: 董事会章程有据可查公司董事会有成文章程，明确其对内部控制的监督职责。
- 未知: 提升董事会专业能力董事会成员具备足够的专业知识，能够监督管理层设计、实施和运行信息安全控制的能力。董事会会根据需要聘请外部信息安全专家和顾问。
- 未知: 召开董事会会议公司董事会至少每年召开一次会议，并保留正式会议记录。董事会包括独立于公司的董事。
- 未知: 对外通报系统变更公司会将可能影响客户数据处理的重大系统变更通知客户。
- 未知: 明确角色与职责信息安全控制的设计、开发、实施、运行、维护和监控等角色与职责，均在岗位说明和/或角色与职责政策中正式分配。
- 未知: 提供支持系统公司设有面向外部的支持系统，用户可借此向相关人员报告故障、事件、疑虑和其他投诉。
- 未知: 通报系统变更公司会将系统变更告知授权的内部用户。
- 未知: 要求提交访问申请公司确保用户对范围内系统组件的访问基于其岗位和职能，或在授予访问前需提交书面访问申请并获得经理批准。
- 未知: 对外通报公司承诺公司的安全承诺会通过主服务协议（MSA）或服务条款（TOS）告知客户。
- 未知: 提供外部支持资源公司向客户提供与系统运行相关的指南和技术支持资源。
- 未知: 通报服务描述公司向内部和外部用户提供其产品和服务的描述。
- 未知: 明确风险评估目标公司明确其目标，以便识别和评估与这些目标相关的风险。
- 未知: 开展风险评估公司至少每年开展一次风险评估。在此过程中，公司识别影响服务承诺的威胁和变化（环境、监管和技术方面），并对风险进行正式评估。风险评估还会考虑欺诈的可能性，以及欺诈可能如何影响目标的实现。
数据与隐私
- 未知: 客户离开后删除其数据客户停止使用服务后，公司会按照最佳实践，从应用环境中清除或删除包含机密信息的客户数据。
报告
子处理方
数据
Hacktron 会收集客户个人身份信息和信用卡信息。 Hacktron 不会收集个人健康信息。