สถาปัตยกรรมความปลอดภัยระดับองค์กร
ภาพรวมที่ครอบคลุมว่า HotelStack ปกป้องข้อมูลทรัพย์สิน ข้อมูลแขก และธุรกรรมทางการเงินอย่างไร
สารบัญ
ส่วนที่ 1
บทสรุปผู้บริหาร
HotelStack สร้างขึ้นบนสถาปัตยกรรมที่เน้นความปลอดภัยเป็นอันดับแรก
เอกสารนี้อธิบายมาตรการรักษาความปลอดภัยของเรา
โปรแกรมความปลอดภัยของเราได้รับการตรวจสอบอย่างต่อเนื่อง
ส่วนที่ 2
ภาพรวมสถาปัตยกรรม
HotelStack ใช้สถาปัตยกรรม SaaS แบบหลายผู้เช่าพร้อมการแยกส่วนที่สมบูรณ์
โครงสร้างพื้นฐานของเราทำงานบนแพลตฟอร์มคลาวด์ที่กระจายทางภูมิศาสตร์
ชั้นแอปพลิเคชันใช้โมเดลเครือข่ายแบบ Zero-Trust
การควบคุมหลัก
- การใช้งานแบบ Active-Active หลายภูมิภาค
- Kubernetes พร้อมการปรับขนาดอัตโนมัติ
- Edge CDN พร้อม DDoS
- VPC ส่วนตัว
- HSM สำหรับการจัดการคีย์
- โครงสร้างพื้นฐานแบบ Immutable
ส่วนที่ 3
การปกป้องข้อมูล
ข้อมูลทั้งหมดที่จัดเก็บถูกเข้ารหัสด้วย AES-256-GCM
การเข้ารหัสระหว่างการส่งใช้ TLS 1.3
ข้อมูล PII ที่ละเอียดอ่อนได้รับการเข้ารหัสระดับฟิลด์
การควบคุมหลัก
- เข้ารหัส AES-256-GCM
- TLS 1.3
- เข้ารหัสระดับฟิลด์สำหรับ PII
- HSM FIPS 140-2
- หมุนเวียนคีย์ทุก 90 วัน
- ปิดบังข้อมูลในสภาพแวดล้อมที่ไม่ใช่ production
- ค้นหา PII อัตโนมัติ
- สิทธิ์ในการลบ GDPR
ส่วนที่ 4
การปฏิบัติตามข้อกำหนด
HotelStack ปฏิบัติตาม GDPR, CCPA, PCI DSS Level 1, SOC 2 Type II และ ISO 27001
สำหรับทรัพย์สินในตลาดที่มีการกำกับดูแล เรามีเครื่องมือการปฏิบัติตามข้อกำหนดในตัว
ข้อตกลงการประมวลผลข้อมูลมีให้สำหรับลูกค้าทุกราย
การควบคุมหลัก
- GDPR
- CCPA
- PCI DSS Level 1
- SOC 2 Type II
- ISO 27001
- HIPAA-Ready
- India IT Act
- UAE PDPL
ส่วนที่ 5
ความปลอดภัยโครงสร้างพื้นฐาน
ความปลอดภัยครอบคลุมทั้งชั้นกายภาพ เครือข่าย และแอปพลิเคชัน
ความปลอดภัยเครือข่ายรวมถึง WAF, IDS/IPS
ความปลอดภัยแอปพลิเคชันรวมถึงการวิเคราะห์โค้ด
การควบคุมหลัก
- ศูนย์ข้อมูล Tier IV
- WAF
- IDS/IPS
- สแกนความปลอดภัยคอนเทนเนอร์
- HashiCorp Vault
- อาร์ติแฟกต์ Immutable
- แพทช์อัตโนมัติ
- Microsegmentation
ส่วนที่ 6
การตอบสนองต่อเหตุการณ์
HotelStack มีแผนตอบสนองต่อเหตุการณ์ที่บันทึกไว้
SOC ให้การเฝ้าระวังตลอด 24 ชั่วโมง
เหตุการณ์ทั้งหมดถูกบันทึกพร้อมการวิเคราะห์สาเหตุ
การควบคุมหลัก
- SOC 24/7/365
- MTTD < 15 นาที
- MTTR < 1 ชั่วโมง
- การฝึกซ้อมรายไตรมาส
- Red Team ประจำปี
- จำแนกเหตุการณ์อัตโนมัติ
- แจ้งเตือนภายใน 72 ชั่วโมง
- ทบทวนหลังเหตุการณ์
ส่วนที่ 7
การรับรองและการตรวจสอบ
มาตรการรักษาความปลอดภัยได้รับการตรวจสอบอิสระ
การทดสอบเจาะระบบดำเนินการรายไตรมาส
เราเข้าร่วมโปรแกรมเปิดเผยข้อมูลอย่างรับผิดชอบ
การควบคุมหลัก
- SOC 2 Type II (ประจำปี)
- PCI DSS Level 1 (ประจำปี)
- ISO 27001
- Pentest รายไตรมาส
- สแกนช่องโหว่ต่อเนื่อง
- Bug Bounty
- อบรมความปลอดภัยประจำปี
- ประเมินผู้ขาย
มีคำถามเกี่ยวกับความปลอดภัยของเรา?
ทีมรักษาความปลอดภัยของเราพร้อมให้บริการ