JFrog技术和组织措施

应用程序和基础设施控制	JFrog的网络事故应变小组(CIRT)持续监控我们的产品、基础设施运营和安全解决方案。hth华体会最新官方网站JFrog的安全团队已经建立了一个全面的策略和政策来快速有效地响应、通知和修复安全事件。 JFrog的CIRT在我们的内部安全信息和事件管理中持续监控我们的产品日志、基hth华体会最新官方网站础设施操作和系统审计日志(SIEM)，以迅速有效地发现潜在事故。作为这一持续努力的一部分，CIRT调查并回应来自漏洞赏金计划、漏洞披露计划、自动扫描仪、客户支持门户和专用电子邮件收件箱的报告。 为确保及时有效地作出反应，我们的保安行动中心(SOC)配备了高素质和经验丰富的安全专家，他们致力于履行我们的内部SLA政策。
内部控制	JFrog根据最小特权原则为每个系统和服务定义了访问角色。访问我们所有的应用程序只能通过单点登录(SSO)和双因素认证(2足总)，并设有强大的密码策略。 JFrog要求其员工使用密码管理器，以确保他们使用唯一且复杂的密码，并将其存储在安全的保险库中。 JFrog使用零信任解决方案，通过JFrog的内部网络安全地连接我们的员工、设备和应用程序。我们的零信任解决方案提供Web和URL过滤、沙箱、云防火墙、CASB和DLP。 JFrog工程师使用先进的2FA和即时访问解决方案连接到我们的生产资源，这使我们能够2022世界杯阿根廷预选赛赛程采用最小特权原则并进行全面审计。 JFrog笔记本电脑配备了默认开启的加密技术，以及先进的反恶意软件。 JFrog使用电子邮件保护解决方案，旨在防止恶意软件、零日攻击、网络钓鱼、商业电子邮件泄露(BEC)、垃圾邮件和N-days。 作为入职培训的一部分，JFrog员工将接受强制性的数据保护和网络安全意识培训，并在入职后接受持续培训。此外，员工还会接受持续的安全教育培训，内容包括网络钓鱼、密码管理、安全开发和运营云账户的安全最佳实践等。
安全事件	JFrog的CIRT与外部事件响应专家合作，协助我们处理紧急安全事件。作为我们全面漏洞管理流程的一部分，JFrog的CIRT对我们所有的资产进行连续和自动的漏洞扫描;优先修复漏洞并快速发布补丁。
标准	JFrog获得以下认证ISO 27001，是资讯科技安全管理策略的全球标准。ISO 27001是信息安全管理系统(ISMS)的框架，它使信息(包括人员、流程和IT系统)的持续机密性、完整性和可用性成为可能，其目标是为建立、实施、维护和持续改进ISMS提供要求。 JFrog获得以下认证ISO 27701，数据隐私扩展到ISO 27001/2。本隐私信息管理系统(PIMS)概述了个人身份信息(PII)控制者和PII处理者管理隐私控制和降低个人隐私权风险的框架。 JFrog聘请安永会计师事务所对其系统和组织控制报告进行审计SOC 2 II类报告。此审核程序确保我们安全地管理和保护客户的数据。该报告每年进行验证和更新，是概述和证明JFrog实现和保持合规和控制目标的方式的关键文件。

访问控制	每个云客户帐户(i)部署一个唯一的ID，以保证充分的分离;(二)根据最小特权原则赋予其独特而狭隘的作用。当用户需要执行任务或访问共享资源(如数据库、云对象存储等)时，可以根据需要授予相应的权限。2022世界杯阿根廷预选赛赛程 JFrog平台的默认自动部署是在一个共享环境中，包括以下资源:2022世界杯阿根廷预选赛赛程 负载均衡器是区域级别的共享组件; 应用程序的数据库模式和角色是为每个客户专用的。 应用程序的数据库和文件存储使用云提供商管理的服务进行部署，在区域级别共享; 每个客户都有自己独特的角色，对自己的文件具有权限。 JFrog平台使用来自主要云提供商的托管对象存储和数据库。
数据加密	传输中的数据被定义为通过同一网络或internet在不同目的地(例如，应用程序到数据库或对象存储)之间主动传输的数据。在JFrog平台中，客户数据在传输过程中使用带有TLS V1.2的HTTPS进行加密。 静态数据被定义为物理上以任何数字形式存储和托管的数据(例如，云存储、数据库、数据仓库或云备份)，并且在不同目的地之间不主动传输。在JFrog平台中，所有静态托管数据都使用256位AES加密安全地存储在数据库和对象存储中。
应用程序和基础设施控制	作为我们多层云保护方法的一部分，我们已经建立了一个专门的DDoS缓解生态系统。JFrog采用反ddos保护、下一代WAF、API保护工具、高级速率限制和僵尸程序保护
网络控制	JFrog拥有适当的网络外围防御解决方案，用于监视、检测和防止恶意网络活动，并限制对授权用户和服务的访问。
备份	通过将存储和数据库复制到同一大洲的不同区域，JFrog为Artifactory实例维护了一个内部备份解决方案。
业务连续性计划和灾难恢复计划	JFrog会维持业务连续性计划(BCP)和灾难恢复计划(组成)，符合JFrog平台的行业最佳实践，该平台将至少每年进行一次测试。此外，BCP和DRP将确保:(i)在中断的情况下，用于提供JFrog平台的已安装系统将被恢复;(ii)在发生物理或技术事故时，JFrog及时恢复客户数据的可用性和访问权限的能力;以及(iii) JFrog用于提供JFrog平台的系统的持续保密性、完整性、可用性和弹性。
标准	JFrog获得以下认证ISO 27017，是面向云服务提供商和用户的全球安全标准。ISO 27017提供了关于云计算信息安全方面的指导，以建立一个更安全的基于云的环境，并降低安全问题的风险。