SkyDeck.ai 安全实践

截至2023年11月1日

数据安全

• 我们的所有组件都托管在安全的 VPC 内，数据在静态时使用AWS KMS 和 AES-256进行加密。此外，我们使用TLS 1.2 或更高版本进行传输加密。

• 我们的应用程序密钥也使用 KMS 和 AES-256 在静态时安全加密。

增强的对话安全性

除了静态加密，我们还提供关于用户对话内容和对话名称的可选增强安全功能。

• 我们可以提供对静态对话数据的第二层独立加密。这种方法的优点是冗余安全性。但这会导致在显示对话或进行搜索时需要额外的解密层。 这是企业客户在控制中心中的一个选项。\

• 每个用户可以持有自己静态对话数据的加密密钥。通过这种方式，我们仅在用户登录到我们的系统时才能访问他们的对话数据。当他们注销时，数据会被加密，我们没有解密密钥的记录。我们使用用户密码的独立哈希来实现该加密。我们不存储密码，哈希仅在用户登录时存在。 这种方法的优点是，如果用户_简单地停止使用_该平台，则没有人可以访问用户数据。当用户不主动使用时，数据实际上是消失的。这种方法的缺点是，如果用户丢失密码，他们将失去所有对话数据而没有任何补救措施。另一个缺点是，显示和处理对话数据的速度会更慢且更_滞后_。此外，用户更改密码的过程将会更慢，因为所有数据都需要被解密和重新加密。 这是企业客户的一个可选功能。

产品安全

• SkyDeck.ai 在我们安全开发生命周期（SDLC）的关键阶段实施定期的 渗透测试 和进行 漏洞扫描。

• 我们的安全策略包括在渗透测试期间进行 黑盒和灰盒测试。

• 我们利用各种方法确保系统的安全，包括 静态分析、软件组成分析、恶意依赖扫描、动态分析和网络漏洞扫描。

访问管理

• 我们利用 知名的单点登录服务 来确保我们的身份和访问管理安全。

• 对应用程序的访问是基于角色的，并在雇佣关系结束时自动撤销。

• 任何进一步的访问必须遵循为每个应用程序设定的政策。

数据保护

• 我们保证所有客户数据在静态和传输过程中都经过加密。

• AWS 密钥管理系统 (KMS) 负责管理我们的加密密钥。

安全教育

• 在员工入职过程中提供全面的安全培训，并通过我们平台上的教育模块每年进行更新。

• 我们的团队在沟通渠道中定期分享威胁简报，以便让他们了解重要的安全更新。

供应商安全

• 我们使用 WireGuard 确保对内部资源的安全远程访问。

• 为了提供额外的保护层，我们还使用 阻止恶意软件的 DNS 服务器 来保护员工及其终端在浏览互联网时的安全。