信息安全白皮书-115组织.PDFVIP

目录 目录 2 一. 组织及人员安全 4 1.1 安全管理委员会 4 1.2 信息安全团队 4 1.3 尽职调查 5 1.4 安全行为准则 5 1.5 安全违规问责 5 1.6 安全教育与培训 6 二.产品安全 6 2.1 协议安全 6 2.2 数据备份 6 2.3 客户端加密 6 2.4 成员权限控制 7 2.5 文件访问控制 7 2.6 传输与存储安全 7 2.7 多端登录管理 7 2.8 可信设备 9 2.9 防泄密 9 2.10 多因子身份验证 10 三 .数据安全 10 3.1 数据分级 10 3.2 数据安全与加密方案 10 3.3 数据访问及用户授权第三方应用访问其敏感信息 10 3.4 数据安全审计 11 3.5 数据销毁管理 11 四．应用与业务安全 11 4.1安全开发流程 11 4.1.1 风险评估 11 4.1.2 安全设计 12 4.1.3 安全测试 12 4.1.4 应急响应 12 4.2 业务安全 13 4.2.1 帐号安全 13 4.2.2 暴力破解撞库 13 4.2.3 风控体系 13 五．系统及网络安全 14 5.1 系统安全 14 5.1.1 系统基础安全配置 14 5.1.2 人员权限管理 14 5.2 网络安全 15 5.2.1 安全域划分 15 5.2.2 网络访问控制 15 5.2.3 HTTPS 安全通信 15 六．物理与环境安全 15 6.1 物理及设备安全与基础架构安全 15 6.2 物理安全控制标准 16 七. 业务连续性 16 7.1 应急与灾备技术 17 7.2 应急与灾难恢复管理 17 八. 安全合规及荣誉 17 8.1 国际ISO27001信息安全管理体系认证 17 8.2 国际CSA C-STAR 云计算安全评估认证 20 8.3 工信部可信云服务认证23 8.4 国家中小企业公共服务平台——云管理平台认证 25 前 言 115+是广东一一五科技股份有限公司 （下称 “115科技”）自主创新，面向群体组织的SAAS平 台。115+整体信息安全参照CSA 云安全指南、信息系统安全等级保护第三级及 ISO27001信息安全管 理要求进行建设，在管理和技术上实施纵深防御体系，采取多重保护措施，保障用户安全。基于 115 科技6年安全技术研究积累的成果，力求打造业界一流的安全保障体系，以高效可靠的系统实现机制， 为广大群体组织的信息安全提供全方位的安全保障！ 为解决客户咨询关于用户使用115+的安全性的问题的疑惑，115科技信息安全团队编写了安全白 皮书。 一. 组织及人员安全 1.1 安全管理委员会 安全管理委员会成员由总经理、安全团队负责人、产品负责人、运维负责人及技术负责人组成， 负责监督并决策 115+信息安全体系的建设，对公司整体安全负责。 1.2 信息安全团队 信息安全团队由安全测试、安全运维、安全开发工程师组成，安全团队负责公司整体安全建设 及安全运营工作，是115+信息安全体系的建设者： 1）根据信息安全管理制度，完善并制定相关安全流程、安全方案和安全策略，参与业务开发 过程的安全规范制定及代码审核； 2）借助公司的人才资源及技术沉淀，定期对公司所有的网站、系统、主机、网络进行安全评 估、安全测试和渗透测试，对发现的问题制定解决方案，在预期时间内完成漏洞修复； 3）对互联网领域的重大安全事件进行跟踪、分析，对突发型安全漏洞和安全事件进行7x24小 时的应急响应和