安全

简介

The Latent 的安全政策与实践旨在遵守所有适用的法律法规和合同义务，同时确保数据的机密性与完整性，以及所提供服务的可用性。

政策

The Latent 的安全政策适用于所有员工（全职或兼职）、实习生和承包商。所有政策均由管理层批准并计划每年审查。我们制定了涵盖变更管理、第三方供应商、可接受使用和风险管理等主题的多项政策。

认证与授权

所有用户账户都要求使用复杂密码（至少 10 个字符）并启用多因素认证。

资源访问遵循最小权限原则，并通过变更管理流程授予。不需要长期保留的访问权限会被撤销。

培训

所有新员工都会接受初始安全培训。所有员工每月接受轮换主题的安全微培训。每月开展教育性钓鱼演练。其他培训则持续进行。

环境

测试环境与生产环境在逻辑上分离。企业用户无法访问测试或生产环境。每个边界都由防火墙保护，仅开放所需的端口和服务。对各环境的访问基于业务需要。

变更管理

所有生产变更和敏感访问授权都经过变更管理流程，并在流程中执行职责分离。无论审批状态如何，所有请求都会被审查。同时设有针对非工作时间紧急变更的应急流程。

邮件安全

邮件防火墙会扫描附件中的恶意软件并拦截可疑邮件。若发件方服务器支持加密，邮件服务器会尝试协商加密。邮件系统配有“报告钓鱼”按钮，员工可借此向安全团队报告任何穿过防火墙的钓鱼邮件。

漏洞扫描

生产基础设施每月扫描一次。发现的漏洞按严重程度处理。

加密

所有机密及以上级别的数据在静态存储（AES-256）和传输过程（TLS 1.2 及以上）中均加密。

供应商管理

存储、处理或传输机密及以上级别数据的供应商须接受安全团队的风险评估。

评估内容包括供应商的安全状况、服务条款和隐私实践。