安全政策
翻译说明
⚠️ 重要提示：本文件由土耳其语翻译而来。如本翻译与土耳其语原版之间存在任何差异或冲突，以土耳其语版本为准。土耳其语原版可在以下网址获取：https://evaste.co/tr/legal/security-policy
1. 引言与承诺
1.1. 我们的安全承诺
在Evaste，我们将客户和用户数据的安全视为最高优先事项。作为数据隐私和同意管理平台，我们深知有责任在安全方面树立典范。
1.2. 安全原则
我们的安全策略基于以下基本原则：
(a) 纵深防御（Defense in Depth） 我们通过多层安全措施提供保护。
(b) 最小权限原则（Least Privilege） 仅向用户和系统授予所需的最小权限。
(c) 安全设计（Security by Design） 安全从一开始就融入所有系统和流程的设计中。
(d) 零信任架构（Zero Trust） 应用"永不信任，始终验证"原则。
(e) 持续改进 我们的安全措施不断审查和更新。
1.3. 适用范围
本安全政策涵盖：
• Evaste平台基础设施 • 客户数据 • 员工数据 • 业务流程 • 第三方集成
2. 技术安全措施
2.1. 数据加密
(a) 传输中加密 • TLS 1.3协议（最低TLS 1.2） • 启用HSTS（HTTP严格传输安全） • 支持完美前向保密（PFS） • 强密码套件
(b) 静态加密 • AES-256加密算法 • 磁盘级加密 • 数据库级加密 • 备份加密
(c) 密码和敏感数据存储 • 密码：使用bcrypt或Argon2进行哈希 • API密钥：安全保管库系统 • 密钥管理：使用HSM
2.2. 网络安全
(a) 防火墙 • 应用层防火墙（WAF） • 网络层防火墙 • 默认拒绝所有流量（deny-all）
(b) 入侵检测和预防 • IDS/IPS系统 • 实时威胁监控 • 异常检测
(c) DDoS防护 • Cloudflare或类似CDN防护 • 流量分析和过滤 • 速率限制（Rate Limiting）
(d) 网络分段 • 生产和测试环境分离 • 数据库服务器隔离 • VLAN和安全组
2.3. 应用安全
(a) 安全软件开发生命周期（SSDLC） • 定义安全需求 • 威胁建模 • 安全代码审查 • 安全测试
(b) OWASP Top 10防护 • SQL注入预防 • XSS（跨站脚本）防护 • CSRF（跨站请求伪造）防护 • 安全认证 • 敏感数据保护
(c) 依赖管理 • 定期依赖更新 • 漏洞扫描（Snyk、Dependabot） • 安全依赖源
(d) API安全 • OAuth 2.0 / JWT认证 • 速率限制 • 输入验证 • API版本控制
2.4. 数据库安全
• 参数化查询（SQL注入预防） • 访问控制和授权 • 数据库活动监控 • 加密连接 • 定期备份和恢复测试
2.5. 容器和云安全
(a) 容器安全 • 镜像扫描（漏洞扫描） • 安全基础镜像 • 运行时安全 • 密钥管理
(b) 云安全 • IAM策略 • 资源隔离 • 加密存储 • 安全组和NACL
3. 组织安全措施
3.1. 安全治理
(a) 安全责任 • 高管层面的安全责任 • 安全团队及其职责 • 跨部门协调
(b) 政策和程序 • 书面安全政策 • 定期政策更新 • 政策合规审计
3.2. 风险管理
(a) 风险评估 • 年度风险评估 • 资产清单 • 威胁和漏洞分析 • 风险缓解计划
(b) 数据保护影响评估（DPIA） • 新项目的DPIA • 高风险处理活动评估 • 风险缓解措施
3.3. 事件管理
(a) 安全事件定义 • 分类：严重、高、中、低 • 事件类别 • 升级程序
(b) 响应流程 • 事件检测和验证 • 遏制（containment） • 根除（eradication） • 恢复（recovery） • 经验教训（lessons learned）
3.4. 变更管理
• 变更请求程序 • 风险和影响评估 • 测试和批准流程 • 回滚计划
4. 访问控制策略
4.1. 身份验证
(a) 密码策略 • 最少12个字符 • 需要大小写字母、数字和特殊字符 • 每90天更改密码（企业账户） • 禁止重复使用最近12个密码 • 暴力破解保护（账户锁定）
(b) 多因素认证（MFA） • 所有管理员账户强制MFA • 支持TOTP（基于时间的一次性密码） • 短信和电子邮件验证选项 • 硬件安全密钥支持（FIDO2）
(c) 单点登录（SSO） • SAML 2.0支持 • OAuth 2.0 / OpenID Connect支持 • 企业身份提供商集成
4.2. 授权
(a) 基于角色的访问控制（RBAC） • 预定义角色 • 可创建自定义角色 • 最小权限原则 • 定期权限审查
| 角色 | 权限 |
|---|---|
| 查看者 | 只读访问 |
| 编辑者 | 读取和编辑 |
| 管理员 | 完整管理权限 |
| 超级管理员 | 平台级权限 |
4.3. 会话管理
• 会话超时（30分钟不活动） • 并发会话限制 • 安全会话终止 • 会话劫持保护
4.4. 访问监控
• 记录所有访问尝试 • 监控失败的登录尝试 • 检测异常访问模式 • 定期访问报告
5. 数据备份程序
5.1. 备份策略
(a) 备份类型 • 完整备份（每周） • 增量备份（每日） • 事务日志备份（持续）
| 数据类型 | 频率 | 保留时间 |
|---|---|---|
| 数据库 | 每日 | 30天 |
| 文件系统 | 每日 | 30天 |
| 配置 | 更改时 | 90天 |
| 日志文件 | 每日 | 90天 |
5.2. 备份安全
• AES-256加密备份 • 地理位置分离存储 • 备份访问控制 • 备份完整性验证（校验和）
5.3. 恢复程序
• 定期恢复测试（每月） • 文档化的恢复程序 • RTO（恢复时间目标）：4小时 • RPO（恢复点目标）：1小时
6. 安全违规通知
6.1. 违规检测和评估
当检测到安全违规时：
1. 验证事件并确定范围 2. 识别受影响的系统和数据 3. 评估风险级别 4. 实施遏制措施
6.2. 内部通知流程
| 时间 | 行动 |
|---|---|
| 第一小时 | 通知安全团队 |
| 前4小时 | 通知高层管理 |
| 前24小时 | 影响评估和响应计划 |
6.3. 外部通知义务
(a) 土耳其数据保护局（KVKK） • 个人数据违规时尽快通知 • 填写违规表格 • 报告已采取的措施
(b) 根据GDPR（72小时规则） • 72小时内通知主管数据保护机构 • 高风险情况下通知受影响个人 • 保持违规记录
(c) 通知受影响用户 • 高风险情况下立即通知 • 使用清晰易懂的语言 • 提供建议的保护措施指导
6.4. 违规通知内容
通知包含以下信息：
• 违规的性质和范围 • 受影响的数据类别 • 受影响人数（估计） • 可能的后果 • 已采取和建议的措施 • 联系信息
6.5. 纠正措施
违规后：
• 根本原因分析 • 实施纠正措施 • 更新政策和程序 • 员工培训（如需要） • 加强监控和审计
7. 安全审计和测试
7.1. 漏洞扫描
(a) 自动扫描 • 每周基础设施扫描 • 每日应用扫描 • 持续依赖扫描
(b) 使用的工具 • Nessus / Qualys（基础设施） • OWASP ZAP / Burp Suite（应用） • Snyk / Dependabot（依赖）
7.2. 渗透测试
• 年度全面渗透测试 • 重大变更后的额外测试 • 由独立安全公司执行 • 30天内修复发现的问题
7.3. 红队演练
• 年度红队评估 • 真实攻击场景 • 社会工程测试 • 物理安全测试
7.4. 代码审查
• 所有代码更改的同行评审 • 以安全为导向的代码审查 • 静态代码分析（SAST） • 动态应用安全测试（DAST）
7.5. 发现管理
| 严重性 | 修复期限 |
|---|---|
| 严重 | 24小时 |
| 高 | 7天 |
| 中 | 30天 |
| 低 | 90天 |
8. 员工培训
8.1. 安全意识培训
(a) 入职培训 • 安全政策 • 可接受的使用 • 数据保护基础 • 事件报告
(b) 年度强制培训 • 当前威胁和趋势 • 社会工程意识 • 钓鱼识别 • 安全工作实践
8.2. 基于角色的培训
| 角色 | 额外培训主题 |
|---|---|
| 开发人员 | 安全编码、OWASP、代码审查 |
| DevOps | 云安全、容器安全 |
| 管理人员 | 风险管理、合规 |
| 支持 | 数据保护、客户隐私 |
8.3. 模拟演练
• 每月钓鱼模拟 • 安全事件演练 • 桌面演练（tabletop exercises）
9. 物理安全
9.1. 数据中心安全
Evaste基础设施托管在具有以下物理安全措施的数据中心：
• 24/7安保人员 • 生物识别访问控制 • CCTV监控 • 消防系统 • UPS和发电机支持 • 环境监控（温度、湿度）
9.2. 办公室安全
• 门禁卡系统 • 访客登记程序 • 清洁桌面政策 • 设备安全
10. 业务连续性和灾难恢复
10.1. 业务连续性计划（BCP）
• 识别关键业务功能 • 替代工作程序 • 通信计划 • 定期计划测试
10.2. 灾难恢复计划（DRP）
(a) 恢复目标 • RTO（恢复时间目标）：4小时 • RPO（恢复点目标）：1小时
(b) 故障转移机制 • 主动-被动数据库复制 • 地理分布式基础设施 • 自动故障转移 • 负载均衡
10.3. 测试和演练
• 年度DR测试 • 故障转移模拟 • 备份恢复测试
11. 第三方安全
11.1. 供应商评估
选择第三方服务提供商时：
• 安全认证（SOC 2、ISO 27001） • 隐私合规（GDPR、KVKK） • 安全政策审查 • 参考检查
11.2. 合同要求
第三方合同包括：
• 数据处理协议（DPA） • 保密义务 • 安全标准 • 违规通知义务 • 审计权
11.3. 持续监控
• 定期安全评估 • 跟踪认证续期 • 监控事件通知
12. 合规和认证
12.1. 合规框架
Evaste符合以下法规：
(a) 数据保护 • KVKK第6698号法律（土耳其） • GDPR（欧盟） • CCPA（美国加利福尼亚州）
(b) 信息安全 • ISO 27001（信息安全管理系统） • SOC 2 Type II（基础设施提供商）
12.2. 认证和审计
| 认证/审计 | 范围 | 频率 |
|---|---|---|
| ISO 27001 | 信息安全管理 | 年度 |
| SOC 2 Type II | 安全控制 | 年度 |
| 渗透测试 | 应用和基础设施 | 年度 |
| 漏洞扫描 | 所有系统 | 持续 |
12.3. 合规报告
可应客户要求提供以下文件：
• SOC 2 Type II报告摘要 • 渗透测试摘要 • 安全合规声明
13. 联系信息
13.1. 安全团队
安全问题和报告请联系：
电子邮件：security@evaste.co 紧急电话：+90 532 494 42 64
13.2. 漏洞报告
如果您发现了漏洞：
电子邮件：security@evaste.co 主题："Security Vulnerability Report"
请您按照负责任的披露原则（responsible disclosure）行事。有效的漏洞报告将获得奖励。
13.3. 一般联系
Evaste (Group Taiga) 地址：土耳其伊斯坦布尔莱文特 电子邮件：info@evaste.co 网站：https://evaste.co
本安全政策于2026年1月12日生效。
我们不断审查和改进我们的安全流程。政策变更将通过更新"最后更新"日期发布。
安全政策
翻译说明
⚠️ 重要提示：本文件由土耳其语翻译而来。如本翻译与土耳其语原版之间存在任何差异或冲突，以土耳其语版本为准。土耳其语原版可在以下网址获取：https://evaste.co/tr/legal/security-policy
1. 引言与承诺
1.1. 我们的安全承诺
在Evaste，我们将客户和用户数据的安全视为最高优先事项。作为数据隐私和同意管理平台，我们深知有责任在安全方面树立典范。
1.2. 安全原则
我们的安全策略基于以下基本原则：
(a) 纵深防御（Defense in Depth） 我们通过多层安全措施提供保护。
(b) 最小权限原则（Least Privilege） 仅向用户和系统授予所需的最小权限。
(c) 安全设计（Security by Design） 安全从一开始就融入所有系统和流程的设计中。
(d) 零信任架构（Zero Trust） 应用"永不信任，始终验证"原则。
(e) 持续改进 我们的安全措施不断审查和更新。
1.3. 适用范围
本安全政策涵盖：
• Evaste平台基础设施 • 客户数据 • 员工数据 • 业务流程 • 第三方集成
2. 技术安全措施
2.1. 数据加密
(a) 传输中加密 • TLS 1.3协议（最低TLS 1.2） • 启用HSTS（HTTP严格传输安全） • 支持完美前向保密（PFS） • 强密码套件
(b) 静态加密 • AES-256加密算法 • 磁盘级加密 • 数据库级加密 • 备份加密
(c) 密码和敏感数据存储 • 密码：使用bcrypt或Argon2进行哈希 • API密钥：安全保管库系统 • 密钥管理：使用HSM
2.2. 网络安全
(a) 防火墙 • 应用层防火墙（WAF） • 网络层防火墙 • 默认拒绝所有流量（deny-all）
(b) 入侵检测和预防 • IDS/IPS系统 • 实时威胁监控 • 异常检测
(c) DDoS防护 • Cloudflare或类似CDN防护 • 流量分析和过滤 • 速率限制（Rate Limiting）
(d) 网络分段 • 生产和测试环境分离 • 数据库服务器隔离 • VLAN和安全组
2.3. 应用安全
(a) 安全软件开发生命周期（SSDLC） • 定义安全需求 • 威胁建模 • 安全代码审查 • 安全测试
(b) OWASP Top 10防护 • SQL注入预防 • XSS（跨站脚本）防护 • CSRF（跨站请求伪造）防护 • 安全认证 • 敏感数据保护
(c) 依赖管理 • 定期依赖更新 • 漏洞扫描（Snyk、Dependabot） • 安全依赖源
(d) API安全 • OAuth 2.0 / JWT认证 • 速率限制 • 输入验证 • API版本控制
2.4. 数据库安全
• 参数化查询（SQL注入预防） • 访问控制和授权 • 数据库活动监控 • 加密连接 • 定期备份和恢复测试
2.5. 容器和云安全
(a) 容器安全 • 镜像扫描（漏洞扫描） • 安全基础镜像 • 运行时安全 • 密钥管理
(b) 云安全 • IAM策略 • 资源隔离 • 加密存储 • 安全组和NACL
3. 组织安全措施
3.1. 安全治理
(a) 安全责任 • 高管层面的安全责任 • 安全团队及其职责 • 跨部门协调
(b) 政策和程序 • 书面安全政策 • 定期政策更新 • 政策合规审计
3.2. 风险管理
(a) 风险评估 • 年度风险评估 • 资产清单 • 威胁和漏洞分析 • 风险缓解计划
(b) 数据保护影响评估（DPIA） • 新项目的DPIA • 高风险处理活动评估 • 风险缓解措施
3.3. 事件管理
(a) 安全事件定义 • 分类：严重、高、中、低 • 事件类别 • 升级程序
(b) 响应流程 • 事件检测和验证 • 遏制（containment） • 根除（eradication） • 恢复（recovery） • 经验教训（lessons learned）
3.4. 变更管理
• 变更请求程序 • 风险和影响评估 • 测试和批准流程 • 回滚计划
4. 访问控制策略
4.1. 身份验证
(a) 密码策略 • 最少12个字符 • 需要大小写字母、数字和特殊字符 • 每90天更改密码（企业账户） • 禁止重复使用最近12个密码 • 暴力破解保护（账户锁定）
(b) 多因素认证（MFA） • 所有管理员账户强制MFA • 支持TOTP（基于时间的一次性密码） • 短信和电子邮件验证选项 • 硬件安全密钥支持（FIDO2）
(c) 单点登录（SSO） • SAML 2.0支持 • OAuth 2.0 / OpenID Connect支持 • 企业身份提供商集成
4.2. 授权
(a) 基于角色的访问控制（RBAC） • 预定义角色 • 可创建自定义角色 • 最小权限原则 • 定期权限审查
| 角色 | 权限 |
|---|---|
| 查看者 | 只读访问 |
| 编辑者 | 读取和编辑 |
| 管理员 | 完整管理权限 |
| 超级管理员 | 平台级权限 |
4.3. 会话管理
• 会话超时（30分钟不活动） • 并发会话限制 • 安全会话终止 • 会话劫持保护
4.4. 访问监控
• 记录所有访问尝试 • 监控失败的登录尝试 • 检测异常访问模式 • 定期访问报告
5. 数据备份程序
5.1. 备份策略
(a) 备份类型 • 完整备份（每周） • 增量备份（每日） • 事务日志备份（持续）
| 数据类型 | 频率 | 保留时间 |
|---|---|---|
| 数据库 | 每日 | 30天 |
| 文件系统 | 每日 | 30天 |
| 配置 | 更改时 | 90天 |
| 日志文件 | 每日 | 90天 |
5.2. 备份安全
• AES-256加密备份 • 地理位置分离存储 • 备份访问控制 • 备份完整性验证（校验和）
5.3. 恢复程序
• 定期恢复测试（每月） • 文档化的恢复程序 • RTO（恢复时间目标）：4小时 • RPO（恢复点目标）：1小时
6. 安全违规通知
6.1. 违规检测和评估
当检测到安全违规时：
1. 验证事件并确定范围 2. 识别受影响的系统和数据 3. 评估风险级别 4. 实施遏制措施
6.2. 内部通知流程
| 时间 | 行动 |
|---|---|
| 第一小时 | 通知安全团队 |
| 前4小时 | 通知高层管理 |
| 前24小时 | 影响评估和响应计划 |
6.3. 外部通知义务
(a) 土耳其数据保护局（KVKK） • 个人数据违规时尽快通知 • 填写违规表格 • 报告已采取的措施
(b) 根据GDPR（72小时规则） • 72小时内通知主管数据保护机构 • 高风险情况下通知受影响个人 • 保持违规记录
(c) 通知受影响用户 • 高风险情况下立即通知 • 使用清晰易懂的语言 • 提供建议的保护措施指导
6.4. 违规通知内容
通知包含以下信息：
• 违规的性质和范围 • 受影响的数据类别 • 受影响人数（估计） • 可能的后果 • 已采取和建议的措施 • 联系信息
6.5. 纠正措施
违规后：
• 根本原因分析 • 实施纠正措施 • 更新政策和程序 • 员工培训（如需要） • 加强监控和审计
7. 安全审计和测试
7.1. 漏洞扫描
(a) 自动扫描 • 每周基础设施扫描 • 每日应用扫描 • 持续依赖扫描
(b) 使用的工具 • Nessus / Qualys（基础设施） • OWASP ZAP / Burp Suite（应用） • Snyk / Dependabot（依赖）
7.2. 渗透测试
• 年度全面渗透测试 • 重大变更后的额外测试 • 由独立安全公司执行 • 30天内修复发现的问题
7.3. 红队演练
• 年度红队评估 • 真实攻击场景 • 社会工程测试 • 物理安全测试
7.4. 代码审查
• 所有代码更改的同行评审 • 以安全为导向的代码审查 • 静态代码分析（SAST） • 动态应用安全测试（DAST）
7.5. 发现管理
| 严重性 | 修复期限 |
|---|---|
| 严重 | 24小时 |
| 高 | 7天 |
| 中 | 30天 |
| 低 | 90天 |
8. 员工培训
8.1. 安全意识培训
(a) 入职培训 • 安全政策 • 可接受的使用 • 数据保护基础 • 事件报告
(b) 年度强制培训 • 当前威胁和趋势 • 社会工程意识 • 钓鱼识别 • 安全工作实践
8.2. 基于角色的培训
| 角色 | 额外培训主题 |
|---|---|
| 开发人员 | 安全编码、OWASP、代码审查 |
| DevOps | 云安全、容器安全 |
| 管理人员 | 风险管理、合规 |
| 支持 | 数据保护、客户隐私 |
8.3. 模拟演练
• 每月钓鱼模拟 • 安全事件演练 • 桌面演练（tabletop exercises）
9. 物理安全
9.1. 数据中心安全
Evaste基础设施托管在具有以下物理安全措施的数据中心：
• 24/7安保人员 • 生物识别访问控制 • CCTV监控 • 消防系统 • UPS和发电机支持 • 环境监控（温度、湿度）
9.2. 办公室安全
• 门禁卡系统 • 访客登记程序 • 清洁桌面政策 • 设备安全
10. 业务连续性和灾难恢复
10.1. 业务连续性计划（BCP）
• 识别关键业务功能 • 替代工作程序 • 通信计划 • 定期计划测试
10.2. 灾难恢复计划（DRP）
(a) 恢复目标 • RTO（恢复时间目标）：4小时 • RPO（恢复点目标）：1小时
(b) 故障转移机制 • 主动-被动数据库复制 • 地理分布式基础设施 • 自动故障转移 • 负载均衡
10.3. 测试和演练
• 年度DR测试 • 故障转移模拟 • 备份恢复测试
11. 第三方安全
11.1. 供应商评估
选择第三方服务提供商时：
• 安全认证（SOC 2、ISO 27001） • 隐私合规（GDPR、KVKK） • 安全政策审查 • 参考检查
11.2. 合同要求
第三方合同包括：
• 数据处理协议（DPA） • 保密义务 • 安全标准 • 违规通知义务 • 审计权
11.3. 持续监控
• 定期安全评估 • 跟踪认证续期 • 监控事件通知
12. 合规和认证
12.1. 合规框架
Evaste符合以下法规：
(a) 数据保护 • KVKK第6698号法律（土耳其） • GDPR（欧盟） • CCPA（美国加利福尼亚州）
(b) 信息安全 • ISO 27001（信息安全管理系统） • SOC 2 Type II（基础设施提供商）
12.2. 认证和审计
| 认证/审计 | 范围 | 频率 |
|---|---|---|
| ISO 27001 | 信息安全管理 | 年度 |
| SOC 2 Type II | 安全控制 | 年度 |
| 渗透测试 | 应用和基础设施 | 年度 |
| 漏洞扫描 | 所有系统 | 持续 |
12.3. 合规报告
可应客户要求提供以下文件：
• SOC 2 Type II报告摘要 • 渗透测试摘要 • 安全合规声明
13. 联系信息
13.1. 安全团队
安全问题和报告请联系：
电子邮件：security@evaste.co 紧急电话：+90 532 494 42 64
13.2. 漏洞报告
如果您发现了漏洞：
电子邮件：security@evaste.co 主题："Security Vulnerability Report"
请您按照负责任的披露原则（responsible disclosure）行事。有效的漏洞报告将获得奖励。
13.3. 一般联系
Evaste (Group Taiga) 地址：土耳其伊斯坦布尔莱文特 电子邮件：info@evaste.co 网站：https://evaste.co
本安全政策于2026年1月12日生效。
我们不断审查和改进我们的安全流程。政策变更将通过更新"最后更新"日期发布。