NetRoadshow 信息安全
以设计促安全
NetRoadshow 利用深度防御方法实现整个组织的各层安全。 我们热衷于定义新的安全控制措施，并不断完善现有控制措施。
我们的安全计划不仅取决于合规性和法规要求，还取决于行业最佳实践，例如 OWASP 十大漏洞、CIS 关键安全控制措施和威胁情报。
安全文化
我们拥有安全政策，旨在确保所有客户数据的完整性、保密性和可用性，并保护这些数据免遭未经授权或非法的访问、使用信息披露或损毁。
隐私与保护
灾难恢复和业务持续性
如果发生任何灾难，无论是火灾、天灾、政灾，还是疫情，导致 NetRoadshow 的实体办公室受到影响，我们将联系当地机构寻求帮助，确保我们员工的安全。
加密
动态加密
根据 NetRoadshow 的政策，NetRoadshow 员工专属访问的所有 TLS 终端节点均支持 TLS 1.2 和 1.3。
静态加密
所有持久性数据均使用 AWS/KMS 进行静态加密，通过 AES-256 密码加密所有数据。 此类数据均由 AWS 托管，AWS 的安全实践实施已成功获得符合 SSAE-16 的 SOC 1、SOC 2 和 SOC 3 认证。
安全的单点登录和设备验证
SOC 2®第2类报告
签署NDA以下载完整的报告。
软件开发和监控
NetRoadshow 根据 OWASP 项目和 CIS 的建议进行安全编码。
源代码和配置文件存储于基于 Git 的私密存储库。 这些工具支持代码属性和代码审核。 审核员会检查是否符合 NetRoadshow 的惯例和风格，是否存在潜在错误、潜在性能问题，以及部署是否仅限于其预期用途。 CI 管道中的多个扫描工具还针对质量、安全和单元验证执行静态分析和自动化测试。 私密信息（例如密码和加密密钥）不会存储在存储库中。 如果使用 TLS 密钥，所有私密信息均存储在 AWS Secrets Manager 或 AWS CloudHSM 设备中。
集成部署之后，代码由 OWASP Zap 工具扫描，以发现单元和集成漏洞。 所有漏洞都修复之后，再将版本推送到生产环境。
我们会针对可靠性、稳定性、性能、安全性和可维护性，审核包含的开源软件库和工具的所有主要组件。 安全和开发团队会建立并遵守正规的软件发布流程。
代码审核和生产签核
在更新生产服务之前，软件更新版本的所有贡献者都需要批准他们的更改在暂存服务器上按预期工作。 所有更改都必须遵守文档更改管理流程。
安全培训
开发员工接受额外的强制性季度培训，专门关注软件和开发安全主题。
员工访问
我们使用 AWS IAM 验证员工帐户身份，所有内部应用程序都要求双因素身份验证，无一例外。 在适用的情况下，我们会强制执行管理权限，所有管理访问权限均通过传统 Web 服务器日志和 CloudWatch/CloudTrail 记录和审计。
物理安全
我们利用 AWS 数据中心为我们的应用程序提供基础设施和托管服务。 Amazon AWS 在物理安全方面超出了所有行业标准，包括全天候监控和生物识别。 所有数据均托管于他们的安全数据中心。 AWS 定期接受各种第三方独立审计，可以验证其数据中心、基础设施和运营的合规性控制措施。 这包括，但不仅限于 SOC 1、SOC 2 和 SOC 3 认证，以及 ISO 27001 认证。
信息安全实践
我们利用的一些解决方案包括：
入侵检测和防御
我们在所有云环境中使用 Crowdstrike IPS，为每台服务器和容器化设备提供保护。 这样可以广泛、动态地检测和应对攻击，对所有云终端节点了如指掌。 我们还利用 ModSecurity IDS/IPS 内部入口和出口点来防止可能试图隐藏于有效请求的入侵。 所有检测均记录到集中式日志系统，并发送给分配组以供审核。
对于会议系统团队，我们使用 Fortinet 的 IDS/IPS Fortiguard。
终端节点安全和加密
所有笔记本电脑硬盘都使用 Bitlocker 加密，通过 WorkSpace ONE 安装。 Bitlocker 使用 AES 256 位密钥加密硬盘上存储的数据。 所有公司笔记本电脑还都安装了 Crowdstrike 反病毒软件。 Crowdstrike 无法由终端用户禁用。
有权访问公司电子邮件和数据的公司和个人移动设备都必须安装 VMWareOne (IntelligentHub)。 IntelligentHub 在每个人的移动设备上以容器的方式存储所有公司信息（包括电子邮件）。 这些存储容器与手机的其他部分分离，可以被远程清除（如果手机丢失或被盗）。 所有设备通过合规性和配置政策进行管理。
电子邮件 DLP
渗透测试
所有 NetRoadshow 应用程序每年都通过第三方公司进行渗透测试。 根据渗透测试成功确定的安全漏洞的相关信息，我们设定缓解和补救优先事项。 完成之后，每项应用程序的结果和发现均适当存档并提交管理团队。 测试期间确定的所有关键问题均在问题确定之日后的 45 个日历日内得到处理。 测试期间确定的所有问题都根据对组织造成的风险进行排序。 信息安全团队的成员从启动到完成跟踪每个问题。
NetRoadshow 将根据客户要求来提供渗透测试发现的摘要。
漏洞扫描
应用程序外部 CV
审计和日志记录
持续监控
防病毒软件/反恶意软件
安全软件开发
安全政策
NetRoadshow 维护信息安全政策、可接受的使用政策和行为规范，旨在定义员工的责任和可接受的信息系统资源使用。 组织收到用户的签名确认，表明他们已阅读、理解并同意遵守行为规则。
