安全性、合规性和数据驻留
客户自行开启的控制措施、加密和密钥、CVSS 补丁目标、安全事件和违规通知、客户渗透测试、ASK 治理决策、驻留权以及客户可以要求的证据。
三层防御
| 防止 | 探测 | 正确的 |
|---|---|---|
| 网络隔离和Web应用防火墙；仅支持HTTPS入口；私有数据库 | 集中式日志记录——应用程序、审计、云 | 物理隔离备份；不可篡改的存储库；洁净室恢复 |
| 静态和传输中加密 | 漏洞扫描——镜像、依赖项、云配置 | 事件响应手册和升级 |
| 细粒度的基于角色的访问控制 (RBAC)、单点登录 (SSO)、多因素身份验证 (MFA)、最小权限原则 | 运行时威胁检测 | Live DR ——一个运行中的第二个区域，具备自动故障转移功能 |
| 加固镜像；漏洞和补丁管理 |
控制客户开关
大多数控制措施都已映射到 NIST CSF，它们内置于 TRANXACT 中或来自云提供商的原生服务。有四项控制措施是可选的或由客户自行设定的，需要明确说明，因为其他人不会主动执行：
| 控制 | 功能 | WHO |
|---|---|---|
| 数据分类 | 确认 | 客户对个人数据和受监管数据进行分类（INFRA_2.5.04 用于数据保留和法律保留）。 |
| 通过身份提供商 (IdP) 实现单点登录 (SSO) 和多因素身份验证 (MFA)。 | 保护 | 客户在其身份提供商 (IdP) (PLAT_5.6.02) 中维护帐户和多因素身份验证 (MFA) 策略；TRANXACT 设置联合身份验证 (PLAT_5.6.01) |
| 客户管理的密钥 | 保护 | 可选（TO_4.5.10）；客户运行密钥生命周期（TO_4.5.11） |
| SIEM集成 | 探测 | 日志导出是可选的（TO_4.6.02）；SIEM 的操作由客户负责（TO_4.6.03）。 |
加密和密钥
| 什么 | 如何 |
|---|---|
| 传输中的数据 | TLS 1.2+ |
| 数据库处于静止状态 | AES-256 |
| 对象存储和备份 | AES-256 |
| 秘密 | 受管密钥库 |
| AI密钥 | 层级提供商密钥，或自带密钥 (BYOK)。 |
| 证书 | FQDN 的公共 CA |
- 标准：由 TRANXACT 管理的云 KMS 密钥，具有定义的轮换和销毁功能；操作员无密钥读取权限；密钥访问记录；密钥备份密钥单独保存（TO_4.11.02）。
- 可选：客户 KMS 中的客户管理密钥、客户提供的证书、ASK 引擎的 BYOK。
使用客户管理的密钥时，撤销密钥会导致 TRANXACT 服务不可用。请在使用密钥前与客户共同商定密钥轮换和应急预案。
按严重程度打补丁（建议默认值）
| 严重程度（CVSS） | 补救目标 | 客户须知 |
|---|---|---|
| 临界值（9.0–10） | 一旦有经过测试的修复方案，就启动紧急修复程序。 | 如果需要停机，立即采取相应措施 |
| 高（7.0–8.9） | 下一个维护窗口 | 发布说明 |
| 中等（4.0–6.9） | 30天内 | 发布说明 |
| 低（低于 4.0） | 下次预定发布 | 发布说明 |
四个阶段：评估和分类；在非生产环境中使用生产规模的副本进行测试和验证；冷却期后通过滚动更新部署，并监控健康状况和账本；响应和修复。拥有自身变更看板的客户应与供应商协商通知期限以及哪些修复程序可以绕过通知期。
安全事件和个人数据泄露
控制 → 报告 → 声明 → 解决 → 学习：遏制和隔离；记录并向安全运营和自主运营试点发出警报；对安全事件进行分类并开启；根除、从干净状态恢复并验证账本；审查根本原因并更新控制措施和运行手册。
| TRANXACT — 处理器 (TO_4.5.06) | 客户 — 控制器 (TO_4.5.07) |
|---|---|
| 确认发生影响客户个人数据的泄露事件 | 评估数据主体面临的风险 |
| 根据数据保护协议的规定，在不无故拖延的情况下通知客户。 | 必要时通知监管机构 |
| 分享已知事实、可能的影响以及已采取的措施。 | 必要时通知受影响的数据主体 |
| 随着调查的进展，会提供最新信息。 | 在其自身登记册中记录违规行为 |
在数据保护协议 (DPA) 中商定通知联系人、渠道和时间表，并与客户的数据保护官 (DPO) 一起演练沟通计划。
客户自身的渗透测试
- 签署保密协议。
- 至少提前 2 周提出申请（TO_4.5.08，附加服务）。
- 确定范围。
- 首先在非生产环境中进行测试——使用经过数据脱敏处理后从生产环境刷新数据。生产环境测试需要获得 TRANXACT 的明确批准，并指定一个指定的窗口。
- 分享研究结果。
- 共同修复：平台发现的问题属于标准（TO_4.5.09）；客户自身配置中发现的问题属于客户自身。
| 范围 | 超出范围 |
|---|---|
| 通过客户 FQDN 进行应用程序测试 | 拒绝服务攻击和负载攻击 |
| 身份验证、授权和角色设计 | 云提供商基础设施 |
| 客户集成使用的 API | 其他租户、保险库账户和共享工具 |
| 客户侧网络路径（VPN、专用链路） | 对TRANXACT员工进行社会工程攻击 |
ASK治理决策
ASK 通过 TRANXACT 的 API 使用用户自身的会话进行操作，因此所有发布规则、角色权限和审计日志条目都如同用户点击后生效一样。具体内容由客户自行决定：
| 决定 | 类别 | 休息与恢复 |
|---|---|---|
| 引擎等级（高级、均衡、经济）和处理区域 | 标准服务请求 | ASK_6.1.02 |
| 连接客户提供的AI密钥（自带密钥） | 标准服务请求 | ASK_6.1.03 |
| 提供并轮换使用 BYOK 密钥；持有 AI 提供商合同 | 已排除 | ASK_6.1.04 |
| 哪些角色可以使用 ASK；使用预算和提醒；每月提示和使用情况审查；采用会议 | 打包 — G1 ASK 使用治理 | ASK_6.2.01 – 6.2.03、6.2.07 |
| 审计跟踪中的每一次 ASK 操作 | 标准 | ASK_6.2.04 |
| 客户的内部人工智能使用政策 | 已排除 | ASK_6.2.05 |
数据驻留
- 主要区域是账簿和文件存放的地方。
- Live DR 区域和存储库位于同一法律管辖区内，这是法规所要求的。
- ASK：提示和响应的处理位置——如果客户要求自己的 AI 合同，则 BYOK。
- 每个法人实体的语言、实体、货币和当地法律法规要求。
- 行业规则：健康记录（EHR）、学生记录、工资和税务数据。
- 跨境资金转移受《数据保护法》管辖。
在选择区域之前，请确认受监管数据的要求。在不同区域之间迁移实时账本属于迁移项目。
证据和证明
- 应要求提供：安全白皮书和控制说明、渗透测试摘要、切换演练和洁净室恢复报告、可用性和备份状态报告、子处理器列表和 DPA TOM（TO_4.5.12）。
- 客户安全尽职调查问卷，每个合同年度回答一次（TO_4.5.13）。
- 根据数据处理协议 (DPA) 中定义的审计权限；客户按照约定的流程进行渗透测试；将日志导出到其安全信息和事件管理 (SIEM) 系统。
仅引用当前范围涵盖客户云环境和区域的认证和证明文件，例如 ISO/IEC 27001、SOC 2 Type II 和行业框架。在提交方案之前，请务必与 TRANXACT Compliance 确认其合规性。
标有“建议默认值”的值是部署指南推荐的起始值。请根据每位客户的具体情况进行确认；合同、订单、服务级别协议 (SLA) 和数据处理协议 (DPA) 的效力高于本页面内容。