风险管理
本页面提供有关我们针对 ProtoPie Enterprise Cloud 环境的风险管理流程信息，包括风险识别与评估，以及为降低风险而实施控制措施。
我们采用全面的风险管理方法，其中包括以下步骤：
识别 - 识别与相关类别有关的潜在风险。
评估 - 从潜在影响、严重程度和发生可能性等方面评估每项已识别风险，以帮助我们理解风险级别并据此确定行动优先级。
实施 - 实施响应性措施，以控制并减轻这些风险造成的中断。
风险识别与评估
服务中断风险
为确保服务不中断，我们依托 AWS 的世界级数据中心，这些数据中心采用强大的安全措施和冗余设计，以降低公用服务中断（如断电和网络中断）带来的风险。
以下是 AWS 数据中心实施的一些关键安全措施：
紧急断电装置：AWS 数据中心在易于访问的区域设置了紧急断电装置。这些装置受到保护，防止未经授权的触发，确保只有授权人员才能启动紧急供电流程。
不间断电源（UPS）：为无缝应对电源丢失，AWS 数据中心使用短期 UPS 系统。这些系统可提供临时电力，以便平稳切换到备用电源，确保信息系统持续运行。
防漏水保护：我们已采取措施保护信息系统免受漏水造成的损害。AWS 数据中心采用主切断阀或隔离阀，这些阀门便于访问、功能正常且关键人员知晓。这些阀门有助于防止与水相关的事件影响系统完整性。
消防抑制与探测：AWS 数据中心配备了由独立能源支持的消防抑制和探测设备/系统。这可确保在发生火灾紧急情况时快速响应并有效控制，将对基础设施的潜在损害降至最低。
温湿度控制：AWS 数据中心会定期监控和维护温度与湿度水平。这些措施确保环境条件保持在可接受范围内，以保护设备并维持最佳性能。
高影响环境风险
为确保您的数据安全与完整性，我们使用 AWS 提供的数据中心，这些数据中心战略性地位于可提供世界级安全性并能抵御洪水、龙卷风、地震和飓风等环境威胁的区域。
客户可选择数据存储的地理位置，但主要依据数据所属公司的所在地，并遵循数据处理协议（DPA）。
威胁向量管理
为有效管理我们服务面临的主要威胁向量，我们已实施全面措施：
持续监控：我们使用防火墙和 AWS Security Manager 等高级工具对网络与系统进行持续监控。我们会主动审查监控日志，以识别任何可疑活动或潜在威胁，从而及时采取行动并维持安全环境。
渗透测试：为识别漏洞并提升安全措施，我们每年进行渗透测试。这些测试帮助我们发现系统和应用中的潜在薄弱点，使我们能够主动修复并加固防御。
ISO27001 和 27701 审计：我们每年接受 ISO27001 和 27701 合规审计。这些审计确保我们遵循国际公认的信息安全管理和隐私实践标准。
个人信息保护：虽然我们目前没有专门的网络安全保险，但我们致力于遵循韩国《个人信息保护法》规定的指南。作为我们降低个人信息保护相关风险工作的一部分，我们已投保由 KB Insurance 提供的个人信息保护责任保险。该保障有助于降低与个人信息保护相关的潜在风险。
业务连续性
业务连续性是我们运营中的重要组成部分，确保即使在发生灾难时，我们仍具备维持关键职能的能力。我们的风险管理实践和流程旨在防止关键服务中断，并实现快速、平稳的恢复，使我们能够尽快恢复全部功能。
业务连续性规划（BCP）
我们每年会进行一次全面的 BCP 测试，每年一次，以评估计划有效性并识别可能需要改进的领域。该测试流程使我们能够评估在发生中断或灾难时的准备情况，并确保组织在不发生重大中断的情况下持续执行关键职能。
除 BCP 测试外，我们还会定期测试我们的备份与冗余机制。这些测试每年进行，旨在验证备份系统的可靠性和功能性。
通过测试这些机制，我们可以在任何突发事件或系统故障情况下，可靠地依赖它们恢复数据与服务。
应急计划制定
作为我们确保业务连续性承诺的一部分，我们已为信息系统制定了全面的应急计划。该计划概述了在发生可能影响运营的中断或事件时应遵循的步骤和流程。它可作为快速恢复的路线图，并帮助我们将对业务和客户的影响降至最低。
我们的业务连续性规划与灾难恢复流程（DRP）已到位，以降低风险并保持关键服务的可用性。
我们优先实施控制措施，以确保组织内部以及支持我们解决方案的第三方资源都具备信息安全意识。
安全意识培训
我们的员工和承包商在入职过程中会接受IT 安全意识培训和个人信息培训。该培训使其具备有效应对中断并确保业务连续性所需的技能和知识，涵盖以下多个关键方面：
安全意识的重要性
保护您的操作系统与互联网交易
密码安全
电子邮件安全与最佳实践
备份重要信息
移动安全
物理安全
社会工程学
如何管理可移动介质的风险
网络安全事件报告
所有可访问我们解决方案的系统管理员培训每年进行一次，以强化有效降低安全风险所需的知识与实践。
我们还会在需要时提供复训，以使相关人员保持准备状态并及时了解最新流程与规范。
数据恢复
我们的云解决方案配备了可独立于软件和服务提供商的数据还原与恢复能力。我们持续评估并改进实践，以增强业务恢复流程。
针对不同级别的故障场景，我们可承诺以下恢复时间目标（RTO）和恢复点目标（RPO）：
一级故障：RTO 在 6 小时内，RPO 低于 6 小时。
二级故障：RTO 在 24 小时内，RPO 低于 24 小时。
三级故障：RTO 在 48 小时内，RPO 少于 3 天。
虚拟基础设施能力
客户可以选择将虚拟机镜像下载并迁移到其他云服务商，但可能存在某些限制。不过，不允许或不支持将机器镜像复制到客户自有的异地存储位置。此外，我们还为客户提供撤销对虚拟机所做任何更改或修改的能力，使其对其环境拥有灵活性和控制力。