金蝶微博安全白皮书.doc

金蝶微博安全白皮书发表于2012 年 5 月 23 日 由 edward_xue陆续有客户咨询金蝶微博安全性的问题。下面是部门最新编写的安全白皮书，希望可以解决客户的疑惑。第一部分 传输、存储安全1.1 企业数据的隔离您的数据是私密的，安全的，完全与金蝶微博的其他企业或组织隔离，只有您才可以访问您的数据。数据通过底层框架隔离过滤器进行过滤，确保您的数据不会在网络间传输时泄露。1.2 数据中心的安全金蝶微博使用了加强型企业级数据中心来储存您的信息。我们全年全天候实施录像监控，采用了严格的人员访问路径控制措施、现场安全以及审计等措施来对您的信息进行保护。访客在进入我们办公建筑前应获得许可，而对于需要进入有服务器、工作站或网络设备的区域的访客，他们则应获得进一步许可。作为我们严格的访客访问控制措施的一部分，我们还特别保留了访客日志，用于审核追踪访客活动。1.3 应用程序的安全金蝶微博采用各种方式为您的信息提供保护，确保您的信息不丢失，且在未经许可的情况下不得访问。通过SSL3.0/TLS与金蝶微博联接，确保在您的浏览器与金蝶微博之间传输时数据不会被窃取。客户信息无法使用http访问，我们将所有http联接重新导向https（SSL/TLS）。储存于数据库或文件中的客户密码均通过MD5不可逆算法进行加密，为客户信息提供高强度加密保护，使客户信息不可读。1.4 数据备份和恢复为确保数据的完整性与可用性，我们在数据中心中配备了足够数量的负载均衡器与核心交换器。客户数据自动异处备份，并在备份文件生成后，立即使用AES（高级加密标准）算法进行批量加密。1.5 防止病毒为进一步保护数据的完整性，在所有易于受到病毒及其他恶意软件攻击的系统中，我们都安装了防病毒软件。我们努力找出各种新的安全漏洞，并不断更新标准，以应对这些安全漏洞。1.6 内部测试我们会彻底的测试我们的源代码来防止安全漏洞。我们定期运行内部和外部的网站的漏洞扫描并彻底测试。我们还使用了文件完整性监控软件，用来提醒相关人员关键系统或者相关文件未经授权的修改。1.7 密码策略你可以要求员工使用足够复杂的密码（在密码设定时考虑长度、数字与字母组合以及特殊字符）。为了进一步增强安全性，要求员工定期对密码进行更改。第二部分 LDAP单点集成2.1 金蝶微博采用LDAP实现中央用户存储和身份管理什么是LDAP？LDAP是轻量目录访问协议，英文全称是Lightweight Directory Access Protocol。LDAP能做什么？LDAP目录中可以存储各种类型的数据：电子邮件地址、邮件路由信息、人力资源数据、公用密匙、联系人列表等等，实现企业内部信息查询。LDAP好在哪里？LDAP对查询进行了优化，与写性能相比LDAP的读性能要优秀很多； LDAP协议是跨平台的和标准的协议，不同厂商可使用不同技术实现。2.2 金蝶微博的身份管理解决方案新员工入职新员工在HR系统中创建用户；中央身份库获取新用户，创建事件；与中央身份库连接的每个系统中自动创建该用户账号，包括金蝶微博，并基于建立的业务规则同步适当的信息。员工离职员工离职，全部账户自动停用，包括金蝶微博，降低系统安全风险；用户在HR系统中被删除；中央身份库获取账号删除事件；中央身份库自动停用各个系统中的账号。统一身份管理的应用效果和价值组织和员工变动信息HR负责统一维护与管理，自动同步到各个业务系统，IT不在需要介入维护，简单高效并具权威性；IT对关键业务系统账号和权限维护人员大幅减少，从N个系统N的人员维护到N个系统1个人员维护；IT可以更快的加入新的业务系统并确保安全访问，降低系统基础安全的成本和运维成本。第三部分 用户使用协议3.1 用户使用规则1. 用户需填写个人真实资料，并保证在使用本服务时用户所填报个人资料信息的真实性、正确性及完整性，如果资料信息发生变化，用户应及时更改。2. 用户需维持账号及密码安全，用户需对任何利用该专属账号及密码而进行的所有行为和事件负全责，由于无法对非法或未经您授权使用您账号及密码的行为做出甄别，因此金蝶微博不承担任何责任。3. 用户发言要遵循社会公德、尊重他人，有责任共同构建文明和谐的交流氛围。用户不得在网站上制作、复制、上传、发布、传播含有下列内容之一的信息：1） 危害国家安全，损害国家荣誉和利益，颠覆国家政权，破坏国家统一的；2） 破坏国家宗教政策，宣扬邪教和封建迷信，煽动民族仇恨、破坏民族团结的；3） 散布谣言，扰乱社会秩序，破坏社会稳定的；4） 散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；5） 侮辱或者诽谤他人，侵害他人合法权利的，或其它道德上令人反感的内容；6） 煽动非法集会、结社、游行示威、聚众扰乱社会秩序的；7） 含有中国法律、法规以及任何具有法律效力之规范所限制或禁止的其它内容的。4. 用户承诺自己在使用本网站服务的所有行为均遵守国家法律、法规和本网站的相关规定以及各种社会公共利益或公共道德。对于任何法律后果的发生，用户将以自己的名义独立承担所有相应的法律责任，金蝶微博不承担任何责任。5. 用户同意接收来自本网站的邮件或系统信息，包括但不限于活动信息等，因此而有可能给用户带来的不便，金蝶微博不负任何责任。3.2 服务风险和免责声明1. 用户完全理解并同意，本服务涉及到互联网等相关服务，可能会受到不可抗力（包括但不限于战争、台风、水灾、火灾、地震、罢工、暴动等）、计算机病毒或黑客攻击、互联网络等造成的服务中断或不能满足用户要求的风险，使用本服务的用户须承担以上风险，金蝶微博不承担任何责任。2. 对网站系统发生故障影响到本服务的正常运行，金蝶微博承诺将及时处理、修复。但用户因此而产生的经济和精神损失，金蝶微博不承担任何责任。此外，保留不经事先通知进行维护、升级或其他目的暂停本服务的权利，由此产生的损失金蝶微博不承担任何责任。3. 用户在使用金过程中金蝶微博过程中遭受的来自任何他人的威胁、诽谤或其他非法行为，用户对此必须自己承担责任，金蝶微博对本服务不做任何类型的保证；对因此导致任何用户产生直接或间接地损失，金蝶微博不承担任何责任。4. 用户在注册金蝶微博账号后，如果出现违反法律或本协议的情形，金蝶微博有权回收该账号，由此给用户带来的任何问题均由用户自行承担。5. 如发生下列任何一种情形，金蝶有权随时中断或终止向用户提供服务而无需通知该用户：1）用户提供的个人资料不真实；2）用户违反本服务条款的规定；3）按照政府相关主管部门的要求；4）用户注册后长期闲置不用的账号；5）用户恶意抢注企业名称，金蝶微博收到第三方投诉且该第三方出具相应证据的；6）其他金蝶微博认为符合整体服务需求的特殊情形。3.3 金蝶微博的商标金蝶微博中涉及的“金蝶微博”、“金蝶”、“kingdee”等文字或图形及其组成，均是金蝶公司的商标。未经金蝶公司事先书面同意，用户不得有擅自使用或展示这些商标（具体参见中华人民共和国商标法）等法律规定的违法行为，一经发现，金蝶公司将追究法律责任。3.4 用户隐私保护1. 加强用户隐私保护是金蝶微博的一项基本政策，并一直在严格贯彻执行，通过隔离企业数据、加强数据中心安全、增强应用程序安全、及时进行数据备份和恢复等一系列措施保障用户信息安全。2. 金蝶微博会竭尽全力保护用户信息，除非依据国家法律规定在有关国家机关查询时、被侵害的第三人提出权利主张或其他特殊情况下，金蝶不会公开透露用户的注册资料及保存在本服务中的非公开内容。3. 用户完全理解并同意，金蝶微博仅会通过透露用户统计数据，向合作伙伴、其他第三方以及为了其他合法目的而描述金蝶微博的服务。3.5 适用法律及争议管辖本协议及其修订本的有效性、履行和解释均适用于中华人民共和国之法律，任何争议也仅适用中华人民共和国法律。如协议服务条款之任何一部分与中华人民共和国法律相抵触，则该部分条款应按法律规定重新解释，部分条款之无效或重新解释不影