安全白皮书

快速阅读

本文按控制项说明呼叫中心平台的安全责任边界、已列出的认证、基础设施布局、身份与权限、研发安全阶段、监控审计、数据加密和账号凭证。

• 安全责任分两侧：平台负责基础设施、平台自身和向企业提供的安全能力；企业负责账号、密钥、敏感数据配置和自有应用。
• 认证与遵从以「三」的清单为准：ISO 27001 / 9001 / 20000 / 14001、等保 2.0 三级、可信云，以及《网络安全法》和等保 2.0。
• 北京、上海各两座核心数据中心，经 SD-WAN Full-Mesh 互联。双云同时承载是方案型能力，不是每个租户的默认开通。录音落到企业桶或 SFTP 见混合存储，不是混合云。
• 管理员密码：不少于 10 位，四类字符中至少三类；1 小时内错误最多 5 次；有效期通常不超过 90 天、最长 180 天。主账号和控制台用户不创建密钥；密钥使用不超过半年。
• 录音存储加密为 AES-256，密钥用 KMS 信封加密（CMK / DEK）。API 传输使用 HTTPS，现稿写明最高 256 位密钥。

阅读地图

• 谁负责什么、有哪些认证：读「二」「三」。
• 机房、网络、主机、WAF：读「四」「五」「六」。
• 内部身份、管理员要求和研发阶段：读「七」「八」。
• 监控、审计表、应急：读「九」。
• 数据分类、防泄漏、加密、企业账号：读「十」「十一」。

一、文档说明

本文说明平台已经落地的安全控制：责任怎么分、认证有哪些、基础设施和主机怎么防护、账号和密钥怎么管、数据在传输和存储时怎么加密、安全事件怎么进入应急流程。

适用：企业安全与合规负责人、技术负责人、实施顾问。

可用性与双云方案的产品说明见 高可用设计、CTICloud 架构说明。录音文件位置见 混合存储。保留天数见 数据存储生命周期。HIPAA、GDPR 的专项差异见对应页。

二、安全责任

基于企业在平台上的应用，安全由双方分担。平台保障平台自身安全，并提供安全能力。企业负责使用方式和基于 API 构建的应用。

1. 平台侧

基础设施

• 跨地域、多可用区的公有云资源
• 跨地域、多地点的 IDC
• 骨干传输网络
• 计算、存储与网络设备的物理及硬件安全

平台

• 身份管理与访问控制
• 平台监控与运维
• 操作系统与数据库补丁
• 网络访问控制与 DDoS 防护
• 灾备与业务连续性

合规与审计

• 发现并修复平台安全漏洞；修复过程维持客户业务可用
• 与外部独立机构合作，做安全合规与审计评估

提供给企业的能力

• 多地域、多可用区的云数据中心，以及多线 BGP 接入
• 账号安全：密码策略、API 校验、IP 访问限制、多因素认证、组授权、细粒度授权、临时授权
• 含审计在内的安全监控与运维
• 数据加密

2. 企业侧

账号

• 保护身份凭证，例如启用多因素认证
• 按最小权限配置账号
• 用角色和权限做职责分离
• 用操作审计查看管理端操作和 API 调用，见 用户操作日志

数据

• 使用平台提供的数据加密
• 对敏感数据加密或脱敏，并管理密钥
• 使用隐藏与脱敏保护敏感信息

应用

• 按安全要求配置并使用产品
• 通过 API 构建自有应用时控制调用方式
• 保障自有应用与业务的安全

三、认证与法规遵从

1. 国际认证

2. 国内认证

3. 法规

个人信息保护的现稿措施：安全管理团队、隐私政策与用户权益、内部数据安全管理体系、数据安全防护技术、个人信息全生命周期保护。上述 ISO 27001、三级等保、可信云作为认证佐证。

资质和说明性报告通过邮件、客户经理提供。

四、基础设施

分层拓扑和接口分层见 CTICloud 架构说明。本节只列安全相关的布局和机房清单。

1. 多数据中心与网络

• 北京、上海各两座核心数据中心，四座之间用 SD-WAN 做 Full-Mesh。
• SD-WAN：控制与数据分离；节点之间全互联；实时检测网络状态；节点故障时自动切换，现稿描述为毫秒级；集中调度流量。
• 一座核心数据中心异常时，业务切到其他核心数据中心。
• 互联网接入：多家云服务商的互联网链路，IDC 互联网接入作备份。
• 专线：可直连不同数据中心、不同地域。

双云双活按项目选型落地：两侧同时在线、同时承载，配置经同步保持一致，并在方案约定的极端场景下做云间切换。它不是每个租户的默认开通。Region 见 CTICloud 地域说明。

混合存储只决定录音文件在平台默认存储，还是企业桶 / SFTP。它不改变本节的数据中心和云部署。见 混合存储。

2. 基础设施清单

广州、深圳各一座，不按北京、上海的「各两座」计算。

3. 安全技术分层

横向：

纵向：安全监控与运维贯穿上面两层。

平台内的用户数据安全、应用安全和安全运维，由平台安全管理与运维执行。物理、硬件、主机、容器一类基础设施安全随云服务提供，企业不单独配置这一层。

企业可配置的是账号安全层：租户隔离为默认防护；数据加密等需要企业打开并配好。

五、基础设施安全控制

1. 物理与网络隔离

选用的数据中心按高可用、安全、灾备建设。云平台合作方在物理安全和授权管理上有独立流程。生产网络与非生产网络物理隔离，非生产网络不能直接访问生产网络中的服务器或网络设备。

2. 堡垒机

生产网络边界部署堡垒机。办公网运维人员只经堡垒机进入生产网络。登录使用域账号密码加动态密码。通道使用高强度加密。

能力：运维身份认证、账号管控、系统操作审计、基于协议的正向代理、对经代理的 SSH 数据流全量记录、重组协议流并回放。

要解决的问题：多人共用主机账号无法定位责任人、主机密码泄露、运维操作缺少记录、未授权访问。

3. 网络安全

• 设专门部门和人员，负责网络安全的规划、建设、管理和维护。
• 网络与信息系统划分安全域，域间访问控制；生产网络与办公网络分开。
• 网络管理系统统一管理资源与设备，并监控运行状态。
• 关键通信线路和网络设备冗余。
• 安全域边界部署防火墙、入侵检测、VPN。

4. 主机安全

使用第三方安全产品。控制覆盖：

5. Web 应用防火墙

使用第三方 WAF。防护项：

• SQL 注入
• XSS
• 常见 Web 服务器插件漏洞
• 木马上传
• 核心资源未授权访问
• OWASP 常见 Web 攻击
• 海量恶意访问
• 网站资产数据泄露

六、身份、密码与权限

本节前半是平台内部用户（正式员工、实习生、外包、合作伙伴），后半是企业管理员和员工使用云账号时的要求。

1. 内部账号

密码策略统一下发：满足长度和复杂度，定期修改，不得与上一次相同。内部登录方式：账号密码、一次性密码、数字证书。

权限按权限、角色、用户组、部门、用户管理。生命周期为申请、使用、回收。权限和角色按风险分级，对应不同审批。

2. 用户管理员

1. 统一配置多因素认证。
2. 密码复杂度：长度不少于 10 位；数字、小写字母、大写字母、特殊符号中至少 3 类。
3. 登录锁定：1 小时内密码错误最多 5 次。
4. 密码有效期通常不超过 90 天，最长不超过 180 天。过期后限制登录。
5. 高权限账号增加 IP 白名单，建议只允许办公网络。
6. 主账号不得创建密钥。控制台用户不得创建密钥。密钥使用时间不得超过半年。
7. 账号开通和授权走工单。

3. 普通员工

1. 在公有云开通账号、创建 AK/SK、申请或变更权限时，提交工单审批。
2. AK/SK 不硬编码在源代码中。
3. 一人一号，不共享、不借用。

七、产品安全生命周期（SPLC）

安全检查放在立项、研发、测试、发布和应急各阶段。

八、安全监控

1. 目标与结构

监控要发现针对平台应用、主机、网络及其他资源的恶意攻击，并触发内部应急流程。

2. 例行检测

3. 云平台安全审计（每月）

4. 公网暴露审计（每月）

1. 梳理 AWS 与阿里云上配置了公网 IP 或弹性公网 IP 的 EC2、SLB、RDS。
2. 梳理 IDC 全部公网 IP。
3. 对云平台和 IDC 资产做端口扫描，检查高危端口和管理端口是否对外。
4. 检查内部支撑系统和管理系统是否对公网开放。
5. 检查应用系统是否存在高危端口和管理端口对外暴露。

5. 堡垒机审计（每月）

6. GitHub 审计

九、应急响应

应急响应处理内部监控发现或外部上报的漏洞和安全事件。

来源

• 内部：日志采集和异常分析产生告警。
• 外部：ASRC、开源组件的 CVE、第三方威胁情报。

预警

1. 用安全检测和防护设备做预警、分析，并下发处置工单。
2. 监控漏洞响应平台、CNCERT、CNVD 及安全论坛；用关键词过滤；与自有系统相关的漏洞立即推送和协调。
3. 每周汇总 CNCERT、CNVD、CVE、杀毒与操作系统厂商公告及预警，给出修复指导。
4. 每周跟踪上周预警的处置，给出排查方法和资产关联。

确认后的步骤

1. 调查并确认漏洞或事件是否属实。
2. 属实后启动应急流程，按标准流程处置。

另：定期由第三方对平台做渗透测试演练，验证防护是否有效、应急流程是否走得通。

十、用户数据安全

1. 所有权

客户在平台上传、生成和处理的数据，所有权归客户。平台不将这些数据用于其他用途，并按本章的机制维护机密性、完整性与可用性。

2. 机密性、完整性、可用性

这些能力用于防止数据泄露，并对应个人信息保护、等保 2.0 等要求。HIPAA、GDPR 的额外差异见专项页，不在本章改写保留天数。

3. 分类分级

1. 发现和检测敏感信息，例如个人身份验证信息。
2. 按敏感信息、使用场景、合规和安全要求分类分级，再做定向保护。

4. 敏感数据保护

平台把客户手机号、用户名、录音视为敏感数据。企业可按需打开：

• 手机号加密
• 手机号局部隐藏
• 录音文件名脱敏
• 录音文件加密

5. 防泄漏与访问控制

1. IP 白名单。出站回调的固定来源见 静态 IP 地址。
2. HTTPS 加密传输。
3. 按安全等级做多级验证，通过后才进入下一步。
4. 平台负责加密或非加密的传输和指定展示；重要数据放在内部核心区域。
5. 统一认证可与企业后台认证对接，企业侧申请通过后才能登录管理后台。
6. 后台权限校验；用户分层管理，支持细粒度权限。

6. 存储完整性

传输和存储的完整性依托云服务商。现稿点名 AWS、阿里云、腾讯云等，细节以各云服务商安全文档为准。

通话录音在云服务商对象存储中。现稿引用的持久性指标：

上表是云服务商对象存储的持久性指标。平台年可用性目标见 高可用设计。

7. 传输加密

8. 存储加密与信封加密

录音磁盘存储加密统一用密钥管理服务（KMS）。存储加密强度为 256 位（AES-256）。

两层密钥：

写入时，数据密钥密文（KMS 用 CMK 加密）和数据密文（存储链路用 DEK 加密）一起写入。读取时先解密数据密钥，再读数据密文。

CMK 由云服务商 KMS 保护，符合 NIST 800-57 的相关建议，使用合规密码算法和硬件安全模块（HSM）。信封加密过程中，CMK 明文只在 KMS 托管的 HSM 内使用。

录音加密按信封加密，密钥数据与录音文件一起编码。密钥数据为 TLV，并对自定义数据长度做了优化。加密后的录音可以播放，内容为噪声；解密后恢复录音内容。

十一、企业账号与凭证

1. 密码

企业使用主账号登录管理端，操作配置和数据。账号密码规范和登录安全风控由平台统一管理。主账号下子用户的密码策略由企业设置，包括字符组合、登录重试次数、密码轮换周期。管理员侧的具体阈值见「六、2」。

2. 访问密钥（AK）

访问密钥（Access Key，AK）是调用 API 的身份凭证，与登录密码等价，场景不同：AK 用于程序调用，密码用于登录管理端。

调用时传入 AK ID，用 AK Secret 签名。在管理端的企业设置中创建、冻结、启用、删除。AK 长期有效，使用中定期轮换。主账号和控制台用户不创建密钥，见「六、2」。

3. MFA

启用后登录需要两类因子：用户名和密码；MFA 设备上的动态验证码。支持基于软件的虚拟 MFA，生成 6 位认证码，遵循基于时间的一次性密码（TOTP）。

4. 操作审计

操作日志记录：操作人、操作时间、来源 IP、资源对象、操作名称、操作状态。

用于安全分析、入侵检测、资源变更追踪、合规审计，包括主账号和子用户的操作事件。入口见 用户操作日志。

十二、相关阅读