合同記錄著交易的對象、金額、條款等商業(yè)核心數(shù)據(jù)，堪稱企業(yè)的“生命線”。合同信息的安全傳輸與存儲，是企業(yè)在選擇電子簽名服務商時比較注重的因素，也是電子簽名服務商的核心能力與技術壁壘的體現(xiàn)。

本次將主要以放心簽為例，從技術和管理兩個層面詮釋電子合同信息安全傳輸與存儲的措施。希望能給大家?guī)硐鄬I(yè)的安全知識。

技術層面

【金融級別的數(shù)據(jù)中心】

金融一直是對安全敏感的行業(yè)，他們的安全標準也超乎尋常。為了達到優(yōu)質(zhì)化的安全保障，電子簽名平臺可以將數(shù)據(jù)中心承載在金融云上。比如，放心簽部署在安全級別很高的阿里金融云上，通過等保四級測評，也具備完善的安全防御設施，包括DDoS、IDS、WAF、云殺毒和態(tài)勢感知。這些布局都是合同信息安全有力的保障。

【數(shù)據(jù)加密保護至關重要】

在電子簽約場景中，對敏感數(shù)據(jù)進行嚴格的加密保護至關重要。當下技術條件下，可以通過對合同進行一文一密的加密存儲；對客戶隱私數(shù)據(jù)進行國密4加密存儲，這是符合互金和銀行的行業(yè)標準，能夠有效保證電子合同數(shù)據(jù)隱私。

【嚴格的數(shù)據(jù)傳輸加密】

數(shù)據(jù)傳輸中的加密也是至關重要的一環(huán)，電子合同簽約中數(shù)據(jù)傳輸通過 SSL/TLS加密，并且對請求進行簽名，可以有效確保只有合法身份發(fā)起的請求才會被正確響應，能杜絕惡意盜用的情況發(fā)生。這也是合同信息安全的重要防線。

管理層面

【信息安全管理流程】

想要保障安全，電子簽名企業(yè)必須要以銀行的標準去自我要求。以放心簽的管理為例，放心簽運維必須在由堡壘機管理的專用工作站上進行操作，限制任何數(shù)據(jù)的下載，而堡壘機記錄所有操作行為。并且管理賬號的權限沒有重合，每月進行全面安全審計。

這樣的管理方式，也通過了匯豐銀行的評估，滿足其“上下游行為一致的原則”，可為銀行供應鏈上的所有客戶所信任。匯豐銀行的認可也進一步認可了信息安全管理的重要性與可靠性。

【安全合規(guī)認證】

電子合同簽約中安全至關重要，能否獲得第三方權威機構的認證也是展現(xiàn)安全保障能力的重要方式。ISO27018個人隱私保護國際認證是非常具有代表性的認證，這是專注于云中個人數(shù)據(jù)保護的國際行為準則，是目前國際上被廣泛接受和應用的信息安全體系認證。

而ISO27001信息安全管理體系認證、公安部信息安全三級等保、工信部可信云等安全認證也非常具有權威性，可以為信息安全做背書。

【SDL全覆蓋】

SDL是Security Development Lifecycle（安全開發(fā)生命周期）的縮寫，是微軟提出的從安全角度指導軟件開發(fā)過程的管理模式。SDL是一個安全保證的過程，它在開發(fā)的所有階段都引入了安全和隱私的原則。

電子簽名服務商通過全面落實SDL，真正落實安全設計、安全開發(fā)和安全測試，會大大增強產(chǎn)品的安全性，比如放心簽會對每個版本進行安全測試，每月進行內(nèi)部安全掃描，每年進行2次第三方滲速測試，這些舉措都為整體簽約過程的絕對安全保駕護航。

安全措施千萬條，信息安全第一條，合同是企業(yè)的“生命線”，放心簽作為行業(yè)領跑者必然會全力保障合同信息的傳輸與存儲，也會始終引領電子簽約平臺的信息安全標準。