CRM安全白皮书

安Zo全h白oC皮RM书 目录TCaobnlteeonfts 01 数据安全是企业数字化转型无法绕开的关键话题 1.1从数字经济到数据安全立法 02 1.2企业如何应对数据安全带来的挑战 云服务背景下，数据安全对企业的重要性 2.1云服务背景下的数据安全架构 信息安全网络安全隐私保护 2.2为什么要注重云服务数据安全 03Zoho的安全保障 3.1Zoho安全策略组成 组织安全物理安全 基础设施安全数据安全 身份和访问控制运营安全 突发事件管理 供应商和第三方供应商管理用户层面控制安全 3.2Zoho与客户的责任共担 责任共担模型Zoho与客户的数据安全责任 04Zoho的加密安全管理体系 4.1什么是加密 我们为什么要加密您的数据 我们所说的“数据”是什么意思 4.2传输中的加密 Zoho和用户之间Zoho和第三方之间 4.3静态加密 4.4应用级加密 数据库加密 文件或DFS加密网址加密 备份加密日志加密缓存加密 4.5密钥管理 KMS是如何工作的密钥是如何生成的密钥存储在哪里如何保证密钥安全 4.6我们在服务中加密了哪些数据？ 4.7全盘加密 05Zoho的隐私安全管理体系 5.1Zoho的隐私承诺 5.2Zoho收集并控制的信息 Zoho收集哪些信息信息的使用目的 5.3Zoho代表用户所处理的信息 委托给Zoho的信息及其目的 用户服务数据的所有权和控制权我们如何使用服务数据 推送通知 我们会把服务数据共享给谁信息的保留 5.4个人信息隐私保障 Zoho的合规性及相关行业认证Zoho如何保护用户隐私 1 Security 数据安全是企业数字化转型无法绕开的关键话题 1.1从数字经济到数据安全立法 2021年9月1日，中国正式实施《中华人民共和国数据安全法》（以下简称《数据安全法》），它是中国实施的数据安全监督和管理的一部基础法律，根本目的在于提升国家数据安全的保障能力和数字经济的治理能力。与《数据安全法》同期实施的还有《个人信息保护法》，此后，与《网络安全法》、《密码法》共同构成了推动中国数字经济持续健康发展的坚实“防火墙”。 相关法律从探讨到制订，再到正式出台，这一切源于中国近年来数字经济的快速发展。相关数据显示，2021年中国数字经济规模总量达到45.5万亿元，占到国内GDP总量的39.8%，这也意味着，无论是在我们的个人生活还是工作中，数字经济已经渗入到方方面面。因此，对数据安全的重视程度也愈发明显。 数字经济的到来，切实推动经济快速发展，但也不得不承认它是一把“双刃剑”——自20世纪90年代数字经济出现以来，大大小小的企业逐步进入到数字化转型过程中。然而，这条道路并不平坦，由于众多企业不重视数据安全，几乎是“摸着石头过河”的状态，再加上相关监管的缺失，引发的数据安全问题、隐私保护问题频频出现，从个人隐私泄露，到企业数据丢失，每一次事故都会引发震动，甚至对于企业来说都能成为毁灭性的打击。 在全球范围内，数据安全也是一直被讨论的重要话题。针对数据安全问题，各个国家或组织纷纷出台相关法律法规，例如澳大利亚的《隐私法》（APPs）、欧盟的《通用数据保护条例》（GDPR）、英国的 《数据保护法（DPA2018）等等，目前在全球已经有80%的国家完成了相关法律制订工作。 1.2企业如何应对数据安全带来的挑战 法律的实施只能称为数据安全“漫长斗争的第一步”，从企业层面来讲，保证数据安全并不是一纸文件就可以搞定的事情，它意味着需要投入大量的精力和资源，能拿得出预算的企业少之又少。例如，很多企业选择通过自研或购买私有化产品，来支撑自身业务发展和保障数据安全，但这种方法，成本无疑是巨大的，且灵活性差。SaaS产品的出现，可以打破这一困境，因为订阅制模式可以让企业免去自研和系统运维的工作，并且可以随着业务变化而灵活调整，同时能够保障数据安全。 当然，也有不少企业认为，数据放在自己手里才能足够安全，云端产品无法满足安全需求。实际上，这种观点是对SaaS产品的误解。数据安全所带来的危机是迫在眉睫的，企业应该如何在较少的投入下，同时兼顾业务发展和数据安全呢？若继续将问题落实在数字化工具上，企业应该如何进行选择呢？ 2 Security 云服务背景下，数据安全对企业的重要性 有数据显示，2021年中国SaaS行业市场规模达322.6亿元，预计2023年将达555.1亿元。不断增长的市场规模更加印证了企业信息化建设模式的变化趋势，而在大的云服务背景下，企业的数据安全问题更加凸显。 2.1云服务背景下的数据安全架构 数据安全概念是由“信息安全、网络安全”逐步演变而来的。随着人们对安全认知的不断加深，在当前大的云服务背景之下，隐私保护也被纳入到数据安全的范畴，换句话说，在云服务背景下的数据安全，是由信息安全、网络安全和隐私安全共同构成的。 2.1.1信息安全 信息安全，ISO（国际标准化组织）的定义为：为数据处理系统建立和采用的技术、管理上的安全保护，为的是保护计算机硬件、软件、数据不因偶然和恶意的原因而遭到破坏、更改和泄露。例如ISO27001信息安全管理体系是最被熟知的信息安全管理认证。 在信息安全保护方面，Zoho采取了诸如物理安全、基础设施安全、主副数据中心等方式，来充分保障硬件、服务器等设备安全，以及防止数据遭到破坏，在第三章内容中，我们会着重介绍到Zoho的安全保障策略。 2.1.2网络安全 网络安全的概念经过了不断演化，最早的网络安全主要涉及到网络安全域、防火墙、网络访问控制、抗DDoS等场景。后来，网络安全的范围延伸到云端、网络、终端等各个环节，转变为网络空间安全，侧重于空间安全、访问控制、安全通信、防御网络攻击或入侵等。 Zoho采用多层保护和防御机制的网络安全和监视技术，通过防火墙防止未经授权的访问和不良流量。为了保护敏感数据，我们将系统分割成单独的网络。支持测试和开发活动的系统与支持Zoho生产基础架构的系统托管在不同的网络中。 2.1.3隐私保护 个人数据安全，或者说隐私保护，是数据安全中的一个重要组成部分。例如国内的《个人信息保护法》，和欧盟的《通用数据保护条例》（GDPR），都是针对隐私保护所颁布的相关法律法案。 Zoho建立起了专业的隐私保护团队，以“法律合规”为首要目标。Zoho将隐私保护的理念融入到了产品研发、产品功能等各个层面，制订详细的隐私保护政策，来保障用户的数据隐私安全不受侵犯。我们将在第五章内容中，详细讨论Zoho的隐私安全管理体系。 2.2为什么要注重云服务数据安全 自数字化开展以来，全球范围内已经出现过很多次严重的数据安全事故： 2021年4月，Facebook近5.33亿用户的信息遭到泄露，包括用户的账户名、位置、生日以及电子邮件地址等信息，起因在于2020年的漏洞，导致用户能够使用Telegram机器人来利用Facebook系统。这个漏洞导致Facebook的用户信息流入到低级黑客论坛上，这些数据仅以几欧元的价格被打包出售。 2021年8月，B2B营销公司OneMoreLead将至少6300万人的私人数据存储在一个不安全数据库中，该公司任由此数据库完全敞开。数据库包含列出的每个人的基本个人身份信息数据，以及有关其工作和雇主的类似数据和信息。 国内也存在相关的数据隐私泄露问题，最被关注的莫过于滴滴事件。2021年7月，国家网信办发布通报称滴滴出行APP存在严重违法违规收集使用个人信息问题，因此被下架整顿；同年8月，阿里云将用户留存的注册信息泄露给第三方合作伙伴的事件被爆出，等等。 在云服务背景下，数据已经成为个人和企业的资产，数据安全也意味着资产安全。因此，云数据的安全至关重要。 3 Security Zoho的安全保障 Zoho在全球180多个国家和地区，服务了超过8000多万用户，包括个人、中小企业以及大型企业和跨国集团。信息数据安全与所有企业和用户密切相关，安全问题是Zoho产品中的关键组成部分，我们从组织、基础设施、数据等各个层面，采取完善的策略和措施，充分保障用户的数据安全。 3.1Zoho安全策略组成 3.1.1组织安全 我们建立了信息安全管理系统（ISMS),针对客户数据的安全性、可用性、完整性和机密性，采用严格的政策和程序，确定数据信息的安全。 员工背景调查 我们聘请权威机构对Zoho的每一位员工进行调查，核实员工是否有犯罪记录，工作经历以及教育背景。通过此项机制，确定接触客户数据人员的安全性。如果没有完成员工背景调查，我们不会给员工安排涉及客户数据的工作。 安全意识 每位员工入职时均签署了一份保密协议，然后接受信息安全、隐私保护和合规性方面的培训。培训结束后，我们还会组织相应的测试，评估员工水平。同时，针对不同的职位和角色，我们组织相关的安全培训。除此之外，我们定期举办内部活动，不断提高员工在数据安全和隐私保护方面的认知。 专门的隐私安全团队 我们有专门的隐私安全团队，负责实施和管理安全及隐私计划。他们主要负责设计并维护防御系统，开发安全性审查流程，持续监视网络动态，检测可疑活动。同时，为工程团队提供特定领域的咨询服务和指导。 内部审核与合规 我们专门设置了合规团队来审查Zoho程序和策略，确保与安全标准保持一致。该团队定期举行内部审核，以及第三方独立审核和评估。 终端安全Zoho员工使用的都是新的OS版本设备，并配置防病毒软件。我们要求所有工作站都必须采用Zoho的终端管理解决方案，按要求配置、跟踪和监视。 3.1.2物理安全 工作场所 严格管控工作场所，确定场所安全。我们为员工、承包商、供应商和访客提供不同的访问卡，同时人力资源团队严格监控访问卡的发放，记录访问日志，监控异常情况。 数据中心 Zoho的数据中心托管在安全的设施中，在那里可以避免任何物理的和虚拟的攻击，同时也免受地震、火灾、洪水等自然灾害的伤害。只有一小部分授权人员才能访问数据中心。任何其他访问只有在相应管理者批准后才允许访问。进入场所需要包含身份验证和生物特征认证的双因素认证。 监控 每个数据中心都有7x24x365夜视摄像头进行日夜监控，监控数据中心整个场所的所有进出情况，定期备份视频记录。 3.1.3基础设施安全 网络安全 我们采用多层保护和防御机制的网络安全和监视技术。通过防火墙防止未经授权的访问和不良流量。为了保护敏感数据，我们将系统分割成单独的网络。支持测试和开发活动的系统与支持Zoho生产基础架构的系统托管在不同的网络中。 我们会严格定期监控防火墙。网络工程师每天都要检查对防火墙所做的所有更改。此外，这些更改每三个月进行一次审核，不断更新和修订规则。专门的网络运营中心团队会监视基础结构和应用程序是否存在任何差异或可疑活动。 网络冗余 我们平台的所有组件都具备冗余条件。我们使用分布式网格体系结构来保护我们的系统和服务免受服务器故障的影响。如果服务器出现故障，用户可以照常进行操作。 *采用多个交换机，路由器和安全网关来确定设备冗余，防止内部网络中的单点故障。 DDoS（分布式拒绝服务攻击）防御 我们使用成熟可靠的服务提供商的技术来防止对服务器的DDoS攻击，防止流量不良造成的中断，同时允许良好的流量通过，使网站、应用程序和API保持高可用性和高性能。 服务器强化 开发和测试活动配置的所有服务器都进行了强化处理（通过禁用未使用的端口和帐户，删除默认密码等）。基本操作系统（OS）映像中内置了服务器强化功能，并已在服务器中配置该OS映像，确定服务器之间的一致性。 入侵检测与预防 *在Internet服务提供商（ISP）级别，通过清理网络路由，速率限制和过滤来实施多层安全性方法，处理从网络层到应用程序层的攻击。 入侵检测机制密切关注单个设备上的信号以及来自服务器内监视点的信号。记录生产网络中所有服务器上的管理访问，特权命令的使用以及系统调用。基于这些数据的规则和机器智能，提醒安全工程师可能发生的事件。在应用程序中，我们采用在白名单和黑名单规则