信任與保安
我們可以白紙黑字寫下的事。
我們自己的保安狀況、我們如何處理存取與數據、誰處理甚麼，以及出事時我們怎樣做。每一項都可以查證或索取。
我們自己的狀況
我們要求你做的控制，我們自己也做。
這個網站是靜態的，所以清單刻意簡短。簡短不等於已驗證——在相信我們之前，請你自己查一次。
- 所有 HTTPS 回應均使用 TLS 1.3 及 HSTS
- 嚴謹的保安標頭：CSP、HSTS、frame options、referrer policy 及 permissions policy
- 所有可以改動本網站或接觸客戶數據的帳戶，都啟用 MFA
- 每個帳戶都採用最小權限，包括我們自己的
- 每星期備份，並按同一時間表測試還原
- 相依套件按固定時間表更新，合併前先讀變更記錄
自己驗證
在用這一頁的任何內容之前，先用 Security Headers 與 SSL Labs 檢查我們。
兩者都是免費的第三方工具。如果有項目不合格，請告訴我們——我們寧願自己修好，也不想它在你的採購審查中被發現。
檢查與證據
- Security Headers — 主網域的 CSP、HSTS、frame options 與 referrer policy
- SSL Labs — 協定版本、加密套件與憑證鏈
- 每個項目一個專用保管庫。憑證只存放在一個保管庫，只與該項目的成員共用，項目結束即移除。
- 必須使用 MFA。我們使用的每個帳戶，包括客戶擁有的管理後台，都需要第二重驗證。方便不是例外。
- 有期限，並在 30 日內註銷。存取權只在項目期間授予，結案後 30 日內移除，並可應要求提供書面確認。
- 不用電郵傳送憑證。簽約前不會，交付期間不會，之後也不會。我們用保管庫，或用有限範圍的邀請。
- 只在範圍要求時才用正式環境。預設用測試環境、副本或唯讀存取；正式環境的管理權限需要有書面理由。
數據處理
我們保留資料多久。
以下期限適用於本網站及客戶項目，除非已簽署的合約另有所訂。每次刪除，都會有書面確認。
| 數據 | 存放位置 | 保留期 | 刪除 |
|---|---|---|---|
| 聯絡表單提交內容 | 表單資料庫與共用收件箱 | 由最後一次回覆起 24 個月 | 書面要求即刪除；以書面確認 |
| 項目紀錄 | 私人項目工作區，僅限項目團隊 | 項目結案後 12 個月 | 可應要求在結案時銷毀；書面確認 |
| 發現與報告 | 加密儲存，以及你自己的一份 | 12 個月；你自己的一份由你保存 | 我們的副本可應要求刪除；書面確認 |
| 日誌與原始掃描輸出 | 寄存、存取及掃描工作區的日誌 | 30 日，之後輪替或刪除 | 刪除會在結案報告中以書面確認 |
刪除要求請寄至 xcsfx@icloud.com。我們會確認刪除了甚麼、從哪裡刪除、在哪一日刪除。
分判商
誰會接觸數據，他們看到甚麼。
五個類別。每一類收到的資料，都不多於工作所需。
| 服務 | 用途 | 數據類別 |
|---|---|---|
| 邊緣網絡與 WAF | TLS 終止、快取與請求過濾 | IP 位址、請求標頭與保安事件 |
| 靜態寄存 | 提供本網站的頁面、樣式與腳本 | IP 位址與標準請求日誌 |
| 電郵 | 接收表單提交，並傳送我們的回覆 | 姓名、電郵地址與訊息內容 |
| 付款 | 就 Care 計劃及項目發票收費 | 帳單聯絡人與發票總額；卡資料留在支付服務商 |
| 正常運行時間監察 | 檢查網站及其端點是否有回應 | 請求路徑、狀態碼與回應時間 |
此表僅為摘要。已簽署項目的權威清單載於 DPA，包括法律實體、處理條款與事故通報。
事故應變
最初五日，白紙黑字。
以下時間以支援時段計算：星期一至五 09:00–18:00 GMT+8。這些是我們做得到的承諾，不是願景。
4 個工作小時內確認
由一位具名同事確認收到報告、受影響範圍，以及下次更新的時間。
每 24 小時更新一次
每日一份書面更新，直到事故結束，即使當日沒有新進展。
5 個工作日內找出根因
按時序說明發生甚麼事，以及哪一項控制失效或缺失。
給客戶的事後檢討報告
同一個根因，加上改動了甚麼，寫成你的團隊可以直接跟進的版本。
我們不是 24/7 SOC。沒有通宵輪班，也沒有凌晨三時的承諾。如果你的要求是全天候待命，我們並不合適；而我們會在第一次通話就說明，而不是等到報價建議書才講。
認證
我們沒有 ISO 27001 或 SOC 2。
我們不會聲稱擁有沒有的認證，也不會借用一個我們無權展示的標誌來建立信譽。
我們無法提供的
- ISO 27001 認證
- SOC 2 Type I 或 Type II 報告
- Cyber Essentials 認證
- PCI DSS 保證聲明——卡資料留在支付服務商
如果你的採購流程要求其中一項，那單生意，我們就不是合適的供應商。我們寧願失去它，也不會偽造紀錄。
你可以讀的證據
- 書面的保安政策，有版本記錄，可應要求提供
- 最小權限存取，每個帳戶都有具名負責人
- 任何客戶數據到手之前，先簽署 DPA
- 保安問卷以書面回覆，不在銷售通話裡回答
- 每個項目附一份證據套件：範圍、發現、複測、結案
每次的答案都出自同一套政策，所以無論哪一單交易，答案都一致。
安全港
- 在自己帳戶上進行善意研究，或在你要求我們開設的測試租戶上研究，我們都歡迎。
- 不要存取、改動或外洩他人的數據。停下，然後報告。
- 在公開之前，給我們時間修正，並告訴我們你是否打算公開。
- 我們會在 2 個工作日內確認收到，並告訴你我們能否重現。
只要研究遵守這些規則，我們不會採取法律行動。整個政策就是這樣，沒有另外的表格。