> For the complete documentation index, see [llms.txt](https://www.axisnow.io/zh/docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://www.axisnow.io/zh/docs/security/axisnow-security.md).
# AxisNow 自身安全
## **引言**
AxisNow 的团队出身于安全背景。我们的产品可帮助客户提升应用程序、API 的安全性。然而，为了兑现这一承诺，我们深知必须首先确保我们自身的安保实践井然有序。
本文档旨在为客户和潜在客户提供有关 AxisNow 安全态势、实践和流程的透明度和信心。尽管本文档反映了截至最后更新时的 AxisNow 安全状况，但确保信息安全是一个持续改进的过程，我们从未停止评估和加强。
文档分为两个部分：
1. **AxisNow 的信息安全**：AxisNow 对信息安全的总体方法。
2. **产品安全**：我们安全架构和交付 AxisNow 产品的方法。
***
## AxisNow 的信息安全
客户委托我们传输其最敏感和机密的信息，因此信息安全是我们业务的核心和持续优先事项，AxisNow 的每位成员都对此严肃对待。
### **人员安全**
**责任与治理：**AxisNow 的 CTO 对 AxisNow 的信息安全计划和实践负主要责任。AxisNow 还维护一个跨学科的安全团队，负责实施、审查和维护其信息安全计划，成员包括高级管理层。然而，作为一家安全公司，AxisNow 将安全视为一个普遍问题，因此是我们整个组织共享的责任。例如，我们的所有工程师都必须将安全视为其工作的基本部分，而不仅仅是将所有责任委托给更专注于安全的同事。\
AxisNow 维护一套书面信息安全计划、政策和程序，至少每年审查一次，并通过定期的风险审查补充，这些审查为我们的信息安全计划的持续发展提供输入。
**员工背景调查：**我们所有新入职员工都需接受由专业第三方提供商进行的背景调查。
**合同保护：**所有员工和独立承包商都必须签署合同，同意将客户和其他专有信息作为机密信息保护。
**员工离职：**我们有书面流程，确保员工离职时，其访问权限被及时撤销，其持有的任何公司资产被归还或销毁（视情况而定）。
**员工安全培训：**所有员工在入职时必须接受信息安全培训。此外，员工定期接受安全复习培训和安全最佳实践的更新。员工需审查并确认已审查公司的信息安全政策和程序，包括 IT 资源的可接受使用政策。
### **数据保护与访问控制**
**数据访问：**我们根据用户角色和最小特权原则配置用户访问权限。生产环境和其他环境的私有网络资源访问通过零信任保护，认证由我们的身份提供商的单点登录系统执行，并启用多因素认证。使用零信任还允许我们根据最小特权原则在资源级别（而非网络级别）对用户访问权限进行细粒度控制，并根据认证用户的身份、设备和请求访问的上下文应用不同的安全策略。
内部企业应用程序尽可能使用 SSO 和 MFA 进行认证，并强制执行最低密码复杂性要求。
我们还自动化了生产环境部署流程，消除了直接对生产环境进行手动更改的需要。这使 AxisNow 能够避免向人类用户授予访问权限。开发人员无法直接访问包含客户数据的数据库。开发人员通常不需要也无法通过 SSH 访问生产环境服务器。
**访问监控：**我们使用 AxisNow 和其他日志系统监控对各种系统和 AxisNow 基础设施的访问。
**数据加密：**客户数据在传输和存储时均使用行业标准加密协议和算法进行加密。
* **传输中**：客户端应用程序通信通过 TLS/SSL 连接进行保护。
* **存储时**：客户数据存储在 AWS 管理的数据库中，使用 AES-256 或更高级别加密，采用对称密钥。数据密钥本身使用存储在安全密钥库中的主密钥加密，并定期更换。
我们不使用任何定制或专有的加密框架或实现。请注意，AxisNow 不存储任何客户密码。在决定支持哪些加密算法时，AxisNow 遵循 NIST SP 800-52 Rev. 2 中的 NIST 推荐。
**数据备份：**我们的客户数据库进行自动每日备份。备份为灾难恢复目的存储有限时间，并定期测试。
**数据删除：**应客户请求并根据与客户签订的任何合同承诺，客户数据将被永久且安全删除。
### **供应商管理**
**供应商安全：**我们与帮助我们为客户提供服务的供应商和服务提供商合作，如电子邮件服务提供商、支付处理器和基础设施提供商。其中一些供应商能够访问或存储客户数据，我们采取多种措施确保他们以适当和安全的方式进行操作。
首先，我们根据与他们的合作经验、声誉以及他们满足我们业务需求的评估选择供应商。其次，我们对潜在供应商进行尽职调查，包括对其安全态势的风险评估。第三，在与新供应商合作时，我们确保与他们签订书面合同，包含有关保密性、安全性、隐私和服务水平的适当条款（若相关）。一般而言，供应商仅被允许为向 AxisNow 提供服务的目的使用提供给他们的数据（包括我们客户的数据）。
### **基础设施安全**
**设备安全：**所有终端用户笔记本电脑和台式电脑都必须安装防病毒/防恶意软件，并启用全盘加密。公司向员工发行的所有 IT 资产均被清点和跟踪。
**基础设施变更管理：**生产环境的每次提议变更（包括基础设施变更）都必须获得批准，每项变更及相应批准均被记录。我们的 CI/CD 流水线在批准后以自动化方式配置基础设施变更。
**密钥管理：**我们使用由主要供应商提供的商用密钥管理系统存储密钥，如认证令牌、密码、API 凭据和证书。
**服务器加固：**我们使用 AWS 提供预加固的服务器基础设施。我们主要通过部署由 Kubernetes 编排的 Docker 容器与服务器交互。
**基础设施冗余：**AxisNow 的基础设施托管在多个物理分离的 AWS 数据中心，以应对技术故障或自然灾害的冗余，并进行负载均衡。AWS 还提供针对 DDoS 攻击的保护措施。我们使用各种自动化工具全天候监控我们的服务，并在出现服务可用性问题时向我们发出警报。客户可在 status.axisnow\.io 监控服务状态和计划维护期间。
**灾难恢复与业务连续性规划：**AxisNow 拥有书面的灾难恢复计划/业务连续性计划（DRP/BCP）。我们的目标是确保客户始终能在需要时访问我们的服务。
**物理安全：**AxisNow 拥有全球分布的员工队伍，目前没有任何固定办公室。AxisNow 员工接受指导和培训，确保其物理工作环境（无论是家中、机场、咖啡馆或其他远程地点）保持安全，且任何工作设备在不使用时均妥善保护。AxisNow 使用由 AWS 物理保护的 AWS 数据中心。
**SOC 2 报告：**AxisNow 计划在 2026 年进行 SOC 2 审计。
***
## 产品安全
我们安全架构和交付 AxisNow 产品的方法。
### **应用程序安全与产品开发安全**
**客户数据概述：**AxisNow 处理的主要客户数据类型包括 AxisNow Cloud 的配置信息（例如用户电子邮件地址、名称，但不包括密码，因为 AxisNow 将认证委托给第三方身份提供商；边缘实例信息、资源配置信息和策略配置信息等）。AxisNow 还记录资源的 HTTP/TCP 请求日志以及触发的事件，允许客户在仪表板上直接查看，若客户选择传输到自己的系统我们将停止记录和分析。此外，AxisNow 会收集用于诊断和故障排除的崩溃和错误报告。以便我们持续改进产品。有关更多信息您可以[参阅 AxisNow 和租户数据。](broken://pages/OqH7Oi2tAwyzq1Vb6Spn)
**软件开发实践：**所有编写的软件代码均需由第二人进行代码审查。生产代码的更改需至少一人（非代码创建者）通过拉取请求（PR）机制批准并合并更改。根据代码更改的性质，可能需要多位审查者。此外，AxisNow 进行内部和第三方安全测试，如下文所述。客户数据不用于测试。
我们通常会通知客户有关可下载软件组件的重大更新。小的更新，如用户界面调整，会定期发布而无需明确通知。我们建议客户在 AxisNow 软件最新稳定版本可用时升级。安全性是软件开发过程的组成部分，从设计阶段到生产代码测试均考虑安全性。
**内部安全测试：**AxisNow 使用多种工具对代码进行静态分析并报告问题——包括我们的专有代码以及第三方库中的漏洞。检测到的漏洞将尽快修补。
**第三方安全测试：**AxisNow 与信誉良好的第三方安全专家公司合作，定期对其应用程序进行安全测试。测试活动超越渗透测试，涵盖应用程序安全保证和产品分析，包括：
* 在“白盒”环境中逐组件分析 AxisNow；
* 对每个组件进行逆向工程、运行时和静态分析，确保工程符合最佳安全实践指南；
* 进行自动化压力测试（“模糊测试”）、手动漏洞发现，以及运行时和源代码审查；
* 进行威胁建模。
**渗透测试请求：**在特定情况下，我们允许客户对我们的系统进行渗透测试。客户必须事先获得我们安全团队的批准，并提前通知渗透测试的时间和范围，可能需要签署涵盖该等测试活动的协议。有关更多信息，请联系您的客户经理。
**域名声明：**AxisNow 客户可注册与他们指定的 AxisNow\.io 子域名关联的账户。根据 AxisNow 的客户协议，子域名分配的最终决定权归 AxisNow 所有，AxisNow 有权采取行动纠正商标侵权、欺骗或其他客户不当声明子域名名称的不良活动事件。
### **产品架构**
AxisNow 基于以下原则架构：
* 数据平面和控制平面分离。
* 控制面采用多租户 SaaS 分段加密数据库，没有任何人可以访问您的租户，包括 AxisNow。
* 没有任何单一 AxisNow 组件能够独立决定允许流量流向您服务。数据流和认证流由不同组件处理，需要单独的验证检查。
* 我们将用户认证委托给第三方身份提供商（IdP），这创建了关注点分离，提供了额外的安全层。
* 我们支持广泛的日志记录，提供增强的可见性，帮助管理员监控、故障排除和调查整个网络和端点的活动。
* 多租户多角色管理和审计，帮助 IT 团队集中审计和维护。
* 可靠性（可扩展性和可用性）。
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://www.axisnow.io/zh/docs/security/axisnow-security.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.