Security without compromise

组织安全

Crowdin 信息安全政策要求适用于整个 Crowdin 组织，并且对所有员工和参与这些业务流程的人员都是强制性的。ISMS 建立在三大支柱之上：人员、流程和技术，并广泛实施零信任架构（ZTA）。零信任架构的运行原则是“从不信任，始终验证”，这意味着对资源的访问永远不会基于用户或设备的位置而隐式信任。相反，每次访问尝试都需要严格的身份验证和持续的身份验证，无论它是来自网络边界内部还是外部。首席信息安全官（CISO）负责确保信息资产和技术得到适当的保护。

安全培训和安全意识

At Crowdin, all employees complete ongoing security and awareness training throughout the year. Each new team member completes basic security training within the first month of hire. We conduct regular access audits, password updates and operate on the principle of the least privilege. Role-specific security training is also required.

硬件安全

所有员工设备都配有加密的硬盘驱动器。只有指定的系统管理员才能进行硬件和软件的安装、配置或更改。设备进出数据中心设施的交付、移除都经过授权、记录和监测。访问工作站设备、服务和应用程序需要特定于用户的访问凭据（如用户 ID/密码对等）。

• BYOD（自带设备）是受限的。敏感数据仅在公司管理的设备上处理。
• 公司托管的设备配备了 MDM、二进制授权和监控系统、防病毒软件以及受控软件更新。
• 强制硬件密钥 - 对公司数据的访问由基于硬件的强制两步验证密钥控制。
• 语境感知访问 - 仅允许从公司托管的设备访问公司数据。
• 强制执行基于位置的访问限制。
• 二进制授权和监测 - 只能在员工设备上执行列入允许名单的二进制文件。

物理环境安全

Crowdin 的办公室受到警报系统的监测和保护。整个办公室内安装了闭路摄像机并捕捉入口、出口及其他指定区域。Crowdin 雇员无法物理访问我们的任何生产设施，因为它们都在云端部署。安全区域受到进入管制，因此只允许经过授权的人员进入。

网络安全

我们的内网是受限、分区并受到密码保护的，且所有网络安全相关的事件都会被记录下来。

软件安全

Crowdin雇用了一个24/7/365的服务器专家团队，以保持我们的软件及其依赖的更新，消除潜在的安全漏洞。我们使用监测解决方案来防止和消除网站攻击。

• 软件允许名单 - 公司设备上只允许安装经批准的软件和浏览器插件。
• OAuth 应用程序控制 - 持续控制和监视有权访问公司数据的 OAuth 应用程序。
• 云服务访问是通过具有语境感知访问的 SAML 进行的。

事故响应

Crowdin 执行处理安全事件的协议，其中包括升级程序、快速缓解和事后处理。所有雇员都了解我们的政策。

员工审查

Crowdin 根据当地法律，对所有新员工、承包商或其他可以进入系统或网络或物理数据中心设施的个人进行背景调查。

第三方与供应商安全

Crowdin maintains vendor risk management practices to ensure third parties are scrutinized and maintain expected levels of security controls. View our List of Sub-processors.