认证与合规概览
-
ISO 27001
- Netbase 状态
- 已认证
- 已发布措辞所涵盖的内容
- 结构化信息安全管理
-
SOC 2 Type II
- Netbase 状态
- 已鉴证
- 已发布措辞所涵盖的内容
- 安全SaaS运营与数据控制
-
GDPR
- Netbase 状态
- 对齐实践
- 已发布措辞所涵盖的内容
- 欧洲数据隐私
-
HIPAA
- Netbase 状态
- 符合HIPAA的方法论
- 已发布措辞所涵盖的内容
- 医疗数据处理
-
CCPA
- Netbase 状态
- 合规实践
- 已发布措辞所涵盖的内容
- 面向拥有美国用户的客户
ISO 27001与SOC 2 Type II是两项正式资质。GDPR、HIPAA和CCPA是法律法规，而非证书，因此Netbase针对这些法规陈述其所遵循的实践，而非所持有的资质。在自身AI交付实践中，Netbase采用ISO/IEC 42001 AI管理体系框架。
本页面不公布证书或报告编号、签发或到期日期、审计机构或认证机构，以及审计范围。如您的供应商审查需要上述详情，请在尽职调查期间向Netbase提出请求。
两项资质对买家意味着什么
ISO 27001。 Netbase运行经ISO 27001认证的结构化信息安全管理体系。对您而言，这意味着安全工作以受管理的体系方式运行，而非依赖个别工程师。
SOC 2 Type II。 SOC 2是AICPA针对服务机构控制措施的报告框架，涉及与安全性、可用性、处理完整性、保密性或隐私性相关的控制。Netbase持有针对安全SaaS运营与数据控制的SOC 2 Type II鉴证报告，当Netbase为您构建或运营SaaS平台时，此项资质尤为重要。
实践概览
- 代码与变更
- 安全代码审查与版本控制
- 传输中的数据
- TLS加密
- 静态数据
- AES加密
- 访问控制
- 基于角色的访问控制（RBAC），人员仅能访问其角色所需内容
- 管理员账户
- 管理员控制台启用多因素认证（MFA）
- 漏洞发现
- 漏洞扫描与渗透测试
- 韧性
- 灾难恢复规划
- 人员
- 贡献者在NDA约束下工作
- 合同
- 根据请求签署NDA、数据处理协议（DPA）及服务级别协议（SLA）
安全设计与DevSecOps，从首次提交开始
安全是构建本身的一部分，而非最后阶段的检查：需求在发现和架构规划阶段设定，以下检查在每个敏捷迭代中执行，包括针对API和AI功能。
代码审查与版本控制。 每项变更在交付前都经过版本控制与具有安全意识的代码审查，为您提供完整的变更历史记录，包括变更内容、时间及责任人。
默认加密。 传输中的数据通过TLS传输；应用程序存储的数据采用AES加密。
最小权限访问。 基于角色的访问控制将权限与角色绑定，而非与随时间积累权限的个人绑定，管理员控制台受MFA保护。
在攻击者之前发现弱点。 漏洞扫描与渗透测试可发现代码审查遗漏的问题。
为意外情况做好规划。 灾难恢复规划确保在发生停机或数据丢失时有既定的恢复路径，而非临时应对。
上述实践适用于每一个定制软件开发项目。对于Netbase自行构建和运营的产品，请参阅Printcart Web to Print SaaS案例记录。
AI治理：针对AI功能与AI辅助交付的安全设计
AI带来了新的数据路径，因此Netbase在上述AI管理实践框架下，将其纳入安全设计的一部分，而非事后附加。
- 仅使用经批准的工具。 工程师针对您的代码和数据使用您批准的AI工具，按项目选定；AI建议与其他任何变更一样，须经过相同的代码审查流程。
- 您的数据归您所有。 未经您的同意，客户数据不会用于训练AI模型，数据处理方式可写入NDA和DPA。
- AI功能内置可审查性。 检索遵循用户权限，模型的输入和输出在约定的数据规则范围内记录日志，功能在发布前针对提示注入和数据泄露进行测试。
- 人工决策。 AI负责起草、建议或标记；任何涉及生产环境、资金或客户记录的变更，均须由指定人员审批。
共同责任：我们的职责边界与您的职责边界
安全从来不是单方面的职责，供应商的认证并不等同于其为您构建的产品获得认证。
-
应用代码
- Netbase 负责
- 对Netbase编写的代码进行安全审查、版本控制并修复发现的问题
- 您负责
- 审批发布版本并报告用户反馈的问题
-
访问控制
- Netbase 负责
- Netbase构建的管理员控制台的RBAC设计与MFA
- 您负责
- 决定各角色权限，并及时移除离职人员
-
数据
- Netbase 负责
- 交付系统内的传输加密与静态加密
- 您负责
- 决定收集哪些数据及其合法依据
-
测试
- Netbase 负责
- 在约定范围内的漏洞扫描与渗透测试
- 您负责
- 告知已知风险并审批测试窗口
-
恢复
- Netbase 负责
- 交付系统的灾难恢复规划
- 您负责
- 围绕该系统的业务连续性计划
-
合同
- Netbase 负责
- 根据请求签署NDA、DPA和SLA
- 您负责
- 提前告知您的合规要求
具体范围、响应条款和托管责任按项目在合同中约定，不以本表为准。
隐私与行业义务：GDPR、HIPAA与CCPA
对于服务欧盟用户、美国患者或加利福尼亚州居民的产品，法律规范了个人数据的处理方式，Netbase遵循相应的实践。
- GDPR。 Netbase在欧洲数据隐私方面，将其交付与GDPR对齐。根据《欧盟通用数据保护条例》第28(3)条，处理者代表控制者进行的数据处理须受合同或其他具有约束力的法律文件约束，因此Netbase根据请求签署DPA以覆盖该关系。
- HIPAA。 针对医疗数据处理，Netbase采用符合HIPAA的方法论。
- CCPA。 Netbase为拥有美国用户的客户提供CCPA合规支持。《加利福尼亚州消费者隐私法》赋予加利福尼亚州居民知情权、删除权及拒绝出售或共享其个人信息的权利，Netbase可构建您合规计划所需的功能。
您的法律团队仍需判断您的具体义务。Netbase提供工程服务，而非法律建议，遵循某项实践并不保证您的产品符合合规要求。
项目全生命周期中的数据与知识产权
- 工作开始前。 NDA保护您在发现阶段所分享的内容，每位贡献者均在NDA约束下工作。
- 交付期间。 上述控制措施适用于每一项变更。
- 所有权。 对于定制开发，您拥有为您创建的知识产权。Netbase产品化模块和业务部门产品以许可证方式授权给您，而非转让。可复用的基础模块（例如SaaS产品加速器中的模块）在许可协议下使用，而您的定制代码归您所有。
- 交付后。 支持与事件处理条款在您请求时通过SLA约定。
开始安全对话
有安全问卷、DPA模板或审计方期望的控制清单？请与Netbase开始安全对话，并携带您审查所需的任何证书详情。查看Netbase的交付成果，请访问我们的案例，其余信任记录请参阅为何选择Netbase。
讨论项目
Netbase JSC 帮助企业设计、构建、现代化和运营数字产品及 AI 驱动的业务系统。project@netbasejsc.com
+84 937 869 689
91 Nguyen Chi Thanh, Dong Da, Hanoi, Vietnam
取得联系
告诉我们您想构建、现代化或运营什么。