GoDaddy
安全标准
最后修订日期：2018 年 5 月 9 日
I. 技术和组织措施
我们致力于保护客户的信息。 考虑到最佳做法，实施成本以及处理的性质、范围、情况和目的，以及不同的自然人的权利和自由风险的发生和严重程度，我们将采取以下技术和组织措施。 在选择度量时，将考虑系统的机密性、完整性、可用性和弹性。发生实体或技术事故后，保证能够快速恢复。
II. 数据隐私计划。我们的数据隐私计划旨在维护全球数据治理结构并在其整个生命周期内保护信息安全。该计划由数据保护官办事处负责，该办事处负责监督隐私实践和安全措施的实施。 我们定期测试、评估和评估其数据隐私计划和安全标准的有效性。
1.保密。“保密”是指个人数据不受未经授权的披露。
我们采用各种实体和逻辑措施来保护客户个人数据的机密性。这些措施包括：
实体安全
- 实体访问控制系统（证件访问控制、安全事故监控等）
- 监控系统，包括警报和闭路电视监控（适用情况下）
- 清理桌面政策和控制措施（锁定无人看管的电脑、锁柜等）
- 访问者访问管理
- 销毁有形媒体和文件的数据（粉碎、消磁等）
访问控制和防止未经授权的访问
- 适用用户访问限制和基于职责分离原则提供/审查基于角色的访问权限
- 强大的身份验证和授权方法（多因素身份验证、基于证书的授权、自动停用/注销等）
- 集中密码管理和强大/复杂的密码策略（最小长度、字符复杂度、密码到期等）
- 受控的电子邮件和互联网访问
- 防毒管理
- 入侵防御系统管理
加密
- 通过强稳加密协定处理，对外部和内部通信进行加密
- 静态加密 PII/SPII数据（数据库、共享目录等）
- 公司电脑和笔记本电脑的全盘加密
- 储存媒介的加密
- 通过VPN对与公司网络的远程连接进行加密
- 确保加密密钥的生命周期
数据最小化
- 应用程序、调试和安全日志中的 PII/SPI 最小化
- 用于防止直接识别个人身份的个人数据假名化
- 按功能存储的数据分离（测试、预发布、正式发布）
- 按角色访问权限的数据逻辑隔离
- 定义个人数据的数据保留期
安全测试
- 针对关键公司网络和平台托管个人数据的渗透测试
- 定期进行网络和漏洞扫描
2.诚信。“完整性”是指确保数据的正确性（整体性）和系统的正确功能。当术语“完整性”与“数据”一词结合使用时，表示数据完整且不变。
除了访问控制之外，还有适当的变更和日志管理控制，以保持个人数据的完整性，例如：
变更和发布管理
- 更改和发布管理流程，包括（影响分析、审批、测试、安全评审、分期、监控等）
- 基于角色和功能（职责分离）的访问配置生产环境。
记录和监控
- 记录访问和数据更改
- 集中审计和安全日志
- 监测数据传输的完整性和正确性（端到端检查）
3.可用性。“如果用户按预期随时使用服务和 IT 系统、IT 应用程序和 IT 网络功能或信息，其可用性将获得保证。”
我们实施适当的连续性和安全措施来维护其服务和驻留在这些服务中的数据的可用性：
- 为关键服务应用常规故障转移测试
- 针对关键系统的广泛性能/可用性的监控和报告。
- 安全事故响应计划
- 重复或备份关键数据（云备份/硬盘/数据库复制等）
- 计划中的软件、基础架构和安全维护（软件更新安全补丁等）
- 位于异地和/或地理位置分散位置的冗余和弹性系统（服务器群集、镜像数据库、高可用性设置等）
- 使用不间断电源，失败备用硬件和网络系统
- 警示和安全系统到位
- 关键场所的实体保护措施（电涌保护、活动地板、冷却系统、火灾和/或烟雾探测器、灭火系统等）
- 维持可用性的 DDOS 保护
- 负载和压力测试
4. 数据处理指令。“数据处理指令是指确保只按照数据控制者和相关公司措施的指示处理个人数据”
我们制定了内部隐私政策和协议，并对员工进行定期隐私培训，以确保根据客户的偏好和指示处理个人数据。
- 员工合同中的隐私和保密条款
- 定期为员工提供数据隐私和安全培训
- 与分包商签订协议的适当合同条款，以维持指示控制权。
- 定期对外部服务提供商进行隐私检查
- 为客户提供对其数据处理偏好的全面控制
- 定期安全审计