# SkyDeck.ai 安全實踐

### **數據安全**

* 我們所有的組件均**託管在安全的 VPC 中**，數據在靜態時使用**AWS KMS 和 AES-256 進行加密**。此外，我們在傳輸過程中使用**TLS 1.2 或更高版本**進行加密。
* 我們的**應用程序密鑰**也使用 KMS 和 AES-256 在靜態時進行安全加密。

### 增強對話安全性

除了靜態加密外，我們還提供有關用戶對話內容和對話名稱的可選增強安全功能。

* 我們可以提供對話數據靜態加密的第二層獨立加密。這種方法的優勢在於冗餘安全性。但這會在顯示對話或用於搜索時增加解密的額外成本。\
  \
  這是企業客戶在控制中心中的一個選項。\\
* 每個用戶都可以持有自己對話數據靜態加密的密鑰。這樣，我們只有在用戶登錄到我們的系統時才能訪問他們的對話數據。當他們登出時，數據將被加密，我們沒有解密密鑰的記錄。我們使用用戶密碼的獨立哈希來實現該加密。我們不存儲密碼，哈希僅在用戶登錄時存在。\
  \
  這種方法的優勢在於，如果用戶\_簡單地停止使用\_該平台，則沒有人可以訪問用戶數據。當用戶不主動使用時，數據實際上是消失的。這種方法的缺點是，如果用戶丟失了密碼，他們將失去所有對話數據，沒有任何補救措施。另一個缺點是顯示和處理對話數據的速度會變慢且更\_延遲\_。此外，更改用戶密碼的過程會變得更慢，因為所有數據都需要被解密和重新加密。\
  \
  這是企業客戶的可選功能。

### **產品安全**

* SkyDeck.ai 在我們的安全開發生命週期 (SDLC) 的關鍵階段實施定期的 **滲透測試** 並進行 **漏洞掃描**。
* 我們的安全策略包括在滲透測試期間進行 **黑箱測試和灰箱測試**。
* 我們利用各種方法來確保系統的安全性，包括 **靜態分析、軟體組成分析、惡意依賴掃描、動態分析和網路漏洞掃描**。

### **訪問管理**

* 我們利用 **知名的單一登錄服務** 來保護我們的身份和訪問管理。
* 應用程序的訪問是基於角色的，並在就業結束時自動撤銷。
* 任何進一步的訪問必須遵守為每個應用程序設定的政策。

### **數據保護**

* 我們保證所有客戶數據在**靜態和傳輸過程中均已加密**。
* **AWS 密鑰管理系統 (KMS)** 負責管理我們的加密密鑰。

### **安全教育**

* 在所有員工的入職過程中提供全面的安全培訓，並通過我們平台上的教育模塊每年進行更新。
* 我們的團隊在通訊渠道中定期分享威脅簡報，以便讓他們了解重要的安全更新。

### **供應商安全**

* 我們確保使用 **WireGuard** 進行安全的遠程訪問內部資源。
* 為了提供額外的保護層，我們還使用 **阻擋惡意軟體的 DNS 伺服器** 來保護員工及其終端設備在瀏覽互聯網時的安全。