信息安全和安保标准

1. ISO/IEC 27001 信息安全管理框架

CreditBird 建立并严格运行符合 ISO/IEC 27001 国际标准与越南网络安全法的信息安全管理体系（ISMS）。

从 IT 人才甄选、软件需求对接、服务器基础架构配置到源代码交付的完整生命周期中，严格贯彻三项核心安全基石：

2. 源代码安全与 DevSecOps 流程

针对定制化软件工程及企业 ERP 深度客制项目，CreditBird 严格推行安全软件开发生命周期（SSDLC）：

• 物理隔离代码仓库架构: 每个客户项目均建立独立的代码仓库，配置分支保护规则（Branch Protection Rules），必须经由至少 2 位资深技术主管评审批准方可合并。
• 全自动安全漏洞扫描: 集成静态代码分析（SAST）侦测 OWASP Top 10 漏洞，配合软件成分分析（SCA）防范开源第三方组件的零日漏洞。
• 敏感机密防泄露机制: 自动拦截包含 API 密钥、数据库账密及敏感令牌的提交与部署。
• 100% 洁净交付标准: 交付最终源代码时，附带完整的漏洞扫描报告，确保零高危与致命漏洞（Zero High/Critical Vulnerabilities）。

3. ERP 数据安全与灾难恢复（DRP）

ERP 数据（订单记录、库存流转、VAS 会计凭证、组织架构）是企业的核心数字资产。多层防护机制包括：

• 自动化每日备份: 在业务低峰时段自动创建快照，支持精细到任意秒级的时间点恢复（PITR）。
• 3-2-1 黄金备份法则: 保持至少 3 份数据副本，存储在 2 种独立的介质类型上，且至少保留 1 份异地多活数据中心归档副本。
• 端到端高强度加密: 数据库快照在传输至主权云存储库前，均采用 AES-256 算法进行端到端加密。
• 不可篡改审计日志（Immutable Audit Trail）: 任何财务凭证调整、物料出入库及用户权限变更，均写入防篡改、不可删除的只读日志中。

4. IT 驻场/远程外包人才安全合规标准

当企业使用 CreditBird 的 IT 工程师驻场或离岸团队服务时，为绝对保障客户商业机密而采取以下措施：

• 全员签署独立保密协议（Individual NDA）: 100% 派驻技术人员在进驻项目前均必须签署具备个人法律效力的保密契约。
• 标准化安全办公设备: 工程师仅使用客户指定终端或由 CreditBird 统一部署、开启 BitLocker/FileVault 全盘加密并安装安全管控软件的工作电脑。
• 杜绝任何本地私自存储: 严禁工程师私自将客户源代码或数据库转存至私人设备、个人云盘或未经授权的 USB 移动介质。

5. 智能 IoT 香氛扩香机与中央空调联动安全

支持 WiFi 远程控制及 App 联动管理的商用智能香氛设备均具备高规格安全设计：

• 采用经过双向证书校验的 TLS/MQTT 协议实现通信通道全程加密。
• 通过划分专有 IoT VLAN 实现网络环境严格隔离，杜绝触碰企业内网核心资产。
• 固件附带 CreditBird 官方数字签名，防止恶意代码注入与非法越权控制。

6. 安全漏洞反馈与应急处置流程

CreditBird 诚挚欢迎白帽安全研究人员与技术社区共同维护系统安全。如发现疑似漏洞，请及时联络我们：