資訊安全政策

生效日期：2026-07-16 · 最後更新：2026-07-16

本文件由 AI_ERP 營運團隊發布；正式法律主體名稱與登記地址待法務確認後更新。

一、適用範圍

本政策說明 AI_ERP 及隱碼平台之資訊安全管理原則，適用於租戶使用者、消費者及營運人員可存取之介面與 API。

二、身分與存取控制

  • 多因素驗證（TOTP／WebAuthn）用於高權限操作
  • 角色權限（RBAC）：租戶管理員、倉儲操作員、稽核主管等
  • 租戶資料隔離：跨租戶存取回傳 404／403
  • 連續驗證失敗鎖定（例如 5 次／15 分鐘）

三、網路與應用防護

  • Global HTTPS Load Balancer、TLS 1.3
  • Cloud Armor OWASP CRS；預設拒絕非授權來源（403）
  • 公開 API rate limiting（逾限 HTTP 429）
  • CORS 限允許之網域來源

四、資料加密與金鑰

  • 傳輸加密：HTTPS
  • 靜態加密：Cloud SQL CMEK、Cloud KMS 金鑰輪替
  • 簽章金鑰獨立 Key Ring（DS-08）

五、監控與稽核

  • WORM 稽核日誌；建議保存 ≥730 日
  • Cloud Logging、5xx 與異常告警
  • 定期弱掃（OWASP ZAP）；Critical／High 須清零後上線

六、事件通報

若發生個資或資安事件，我們將依法令及內部程序通報並採取應變措施。通報聯絡：privacy@yungbo.ai

返回首頁