通过 ISO 27001 信息安全认证，数据安全再升级

我们正式通过 ISO/IEC 27001 信息安全管理体系认证，认证范围覆盖产品研发、基础设施运维与客户支持的全流程。

这项工作具体做了什么

认证不是一次性的合规动作，而是一套需要长期运转的机制。我们为此重新梳理了从产品研发到客户支持的全部环节，把安全要求写进日常流程，而不是留在文档里。 建设过程中投入最多的不是工具采购，而是权限与流程的梳理。很多历史遗留的越权入口被逐条关闭，代价是前期效率变慢，但换来了后续审计时的从容。

• 资产梳理：识别全部数据资产并明确责任人与分级
• 访问控制：最小权限原则落地，关键操作全程留痕
• 风险评估：建立每季度例行的风险识别与处置流程
• 应急响应：明确安全事件的发现、上报与复盘路径

为什么值得投入

我们的客户里有相当比例的团队需要接受内部审计。当平台本身能提供体系化的安全证据，客户的合规成本会显著下降，采购流程也走得更顺畅。 而对我们自己来说，这套机制让"安全"从口号变成了日常流程的一部分。谁在什么时候改了哪项配置，都能被完整记录并追溯，出了问题不再靠回忆。

持续改进

认证只是起点。我们会持续公开安全实践进展，并欢迎通过安全邮箱反馈问题，所有有效报告都会在修复后得到确认与致谢。这个反馈渠道长期有效，不因认证结束而关闭。 下一年度，我们计划把风险评估从季度缩短到月度，并邀请第三方做一次渗透测试，把外部视角也纳入持续改进的闭环。频率提高之后，问题更容易在影响扩大前被发现。

对客户的价值

认证带来的不只是资质背书，更直接的价值体现在采购环节。许多客户的合规审查清单里，信息安全管理体系是必填项，有了认证，这一栏可以直接勾选，省去大量来回沟通。 日常使用中，客户能感知到的变化集中在权限与日志两块：越权访问更难发生，关键操作都有记录可查。这些能力不是认证后的附加功能，而是体系运转自然沉淀下来的结果，越用越能体现价值。

安全不是一次认证，是每天都要做的选择。