您發布了一個表單。有人填寫了它。他們的姓名、電子郵件，可能還有出生日期或醫療狀況，進入了某個數據庫。
接下來會發生什麼？誰能看到它？它是如何存儲的？如果您使用的平台遭到入侵會怎樣？
大多數建立表單的人在問題發生之前從未問過這些問題。這篇文章就是關於在問題發生之前問這些問題——並知道答案應該是什麼樣的。
這裡有一個相關的風險值得區分：將敏感文件上傳到隨機的線上工具——PDF 壓縮器、轉換器、合併器——是一個單獨但相鄰的問題，我們在5 種您不應該在線處理的文件類型中深入探討過。那篇文章是關於將文件交給您無法控制的工具的風險。這篇文章是關於表單平台本身的風險——收集、存儲和管理您的受訪者提交內容的軟體。
為什麼表單數據是目標
表單是任何企業中數據收集密度最高的點之一。一個單一的接收表單可能會在一次提交中捕獲姓名、聯繫方式、保險信息和醫療問題描述。
這種集中性正是使表單對攻擊者具有吸引力的原因，也是收集和存儲這些數據的平台需要認真對待安全性的原因。
風險並不是抽象的。配置錯誤的表單可能會將提交內容暴露給任何擁有正確 URL 的人。沒有適當訪問控制的平台意味著不滿的員工——或入侵一個帳戶的外部攻擊者——可以訪問所有內容。未加密的靜態數據在存儲系統遭到入侵時是可以恢復的。
好消息是，正確的安全架構可以處理所有這些問題。問題是您使用的平台是否擁有它。
真正重要的安全堆疊
安全文檔可能很密集。以下是關鍵部分對您的數據實際意味著什麼。
傳輸中和靜態加密
傳輸中意味著數據在從用戶的瀏覽器到伺服器的過程中被加密。這就是 TLS（HTTPS 背後的技術）提供的。TLS 1.2 和 TLS 1.3 是當前標準——舊版本已知存在漏洞，不應使用。
靜態意味著數據在存儲中被加密——數據庫、備份、文件系統。廣泛採用的標準是 AES-256，一種由全球政府和金融機構使用的對稱加密算法。沒有靜態加密，存儲入侵就會變成數據洩露。有了它，獲得原始存儲訪問權限的攻擊者只能獲得不可讀的密文，無法訪問加密密鑰。
兩者都很重要。僅在傳輸中加密而不在靜態加密的平台留下了顯著的漏洞。
要尋找什麼： 傳輸中使用 TLS 1.2 或 1.3，靜態使用 AES-256。兩者都應明確說明，而不是暗示。
訪問控制和最小特權原則
團隊中的每個人都不應該能夠查看所有表單提交。每個系統過程都不應該能夠寫入每個數據庫。最小特權原則說：僅賦予每個人和過程所需的訪問權限，不多不少。
在實踐中，這意味著：
- 基於角色的權限，分析師可以查看響應但不能編輯表單邏輯；管理員可以執行兩者
- 多因素身份驗證，憑證盜竊不應足以入侵帳戶
- 審計日誌，記錄誰在何時訪問了什麼
對於受監管行業，審計日誌尤為重要。如果您正在處理醫療數據，有人問哪些員工訪問了患者的記錄，“我們不知道”不是一個可接受的答案。
要尋找什麼： 可配置的角色、MFA 執行和防篡改訪問日誌。
基礎設施和網絡隔離
有信譽的表單平台運行在雲基礎設施上，生產環境與開發環境隔離。這很重要，因為在測試過程中引入的錯誤不應能夠影響生產數據，開發系統的入侵不應蔓延到生產環境。
網絡級控制——防火牆、虛擬私有雲（VPC）、Web 應用防火牆（WAF）——創造了額外的邊界。應用伺服器應位於私有子網中，而不是直接暴露在互聯網上。
要尋找什麼： 生產/開發隔離、基於 VPC 的網絡分離、公共端點前的 WAF。
備份和冗餘
數據丟失也是一個安全問題。平台應維護冗餘備份，保留一段定義的時間（通常為 15 天以上），並將其存儲在與主要數據不同的位置。對於高可用性要求，多可用區架構確保一個數據中心的故障不會使整個服務中斷。
要尋找什麼： 備份保留期、地理分離和記錄的恢復時間目標。
合規認證：實際意義
認證不僅僅是標誌。它們代表由沒有利害關係的第三方對實際安全控制進行的獨立審核。
SOC 2 類型 II
SOC 2 是美國註冊會計師協會用於評估服務提供商如何處理客戶數據的框架。類型 II 比類型 I 更嚴格：它不僅評估控制在某一時刻是否存在，還測試這些控制在持續時間內是否有效運行——通常為六到十二個月。
如果一個平台擁有 SOC 2 類型 II，則獨立審核員審查了他們的安全控制，包括訪問管理、數據保護、事件響應程序和可用性承諾，並得出結論它們按聲明運行。報告的副本通常可以按要求獲得或通過供應商的信任中心獲得。
ISO 27001
ISO 27001 是信息安全管理系統的國際標準。它涵蓋了一個組織如何建立、實施、維護和不斷改進其安全態勢——不僅僅是一個快照，而是一個持續的計劃。
ISO 27001 是當前標準（最新版本）。獲得認證的組織已經過獨立審核，並被發現符合該標準。
ISO 27017 和 ISO 27018
這些是 ISO 27001 的雲特定擴展。ISO 27017 處理雲服務的安全控制——既適用於雲提供商，也適用於其客戶。ISO 27018 專注於保護雲環境中的個人識別信息（PII）。
對於在基於雲的平台中存儲個人數據的企業，這些認證提供了超越基本 ISO 27001 標準的有意義的保證。
HIPAA
HIPAA 適用於醫療機構及其業務夥伴——任何代表其處理受保護健康信息（PHI）的第三方。要使表單平台符合 HIPAA，必須為 PHI 實施特定的管理、技術和物理保護措施。
關鍵是：HIPAA 合規需要您的組織與平台之間簽署的業務夥伴協議（BAA）。沒有 BAA，使用該平台收集 PHI 會使您的組織面臨 HIPAA 違規風險，無論平台具備什麼安全控制。BAA 在雙方之間創建了一個正式的、具有法律約束力的承諾。
有關誰需要 HIPAA 合規以及處罰的詳細說明，請參閱我們的 HIPAA 合規指南。
GDPR
GDPR 管理組織如何收集、處理和存儲來自歐盟居民的個人數據。對於表單平台，這意味著擁有記錄的合法處理基礎，提供數據主體權利（訪問、刪除、可攜性），並維持適當的數據安全。
詢問您的表單平台的問題
在信任一個平台處理敏感表單數據之前，請使用這個作為起始清單。“正確答案”欄告訴您可信的回答應該是什麼樣的。
| 問題 | 正確答案 |
|---|---|
| 您在傳輸中和靜態使用什麼加密？ | TLS 1.2/1.3 + AES-256。兩者都應明確說明。 |
| 您是否完成了 SOC 2 類型 II 審核？ | 是的，報告可以按要求獲得或通過信任中心獲得。 |
| 我的數據存儲在哪裡？是否與其他客戶隔離？ | 指定區域（例如指定的 AWS 區域，如 us-east-1），租戶級別的邏輯隔離。 |
| 您是否為 HIPAA 合規簽署 BAA？ | 是的——如果您處理任何 PHI，則需要。 |
| 您的數據保留政策是什麼？我可以按需刪除提交內容嗎？ | 可配置的保留窗口，立即刪除可用。 |
| 您如何處理安全事件？ | 定義的 SLA 通知（GDPR 通常要求在 72 小時內通知），指定的聯絡點。 |
| 您的員工是否可以訪問我的提交數據？ | 訪問受到限制、記錄和審計。 |
如果供應商無法清楚回答這些問題，那就是答案。
關於 PlatoForms 的說明： 上表反映了可信答案的樣子，不一定是 PlatoForms 當前的認證狀態。SOC 2 類型 II 認證正在進行中。有關當前認證狀態和可用合規文件，請參閱 信任中心。
PlatoForms 如何處理安全性
那麼，擁有這些控制的平台實際上是什麼樣的呢？
PlatoForms 專為處理敏感數據的組織而設計——醫療保健提供者、法律實務、金融服務和受監管行業的企業。
基礎設施
- 託管在 AWS 上，數據在傳輸中使用 TLS 1.2/1.3 加密，靜態使用 AES-256 加密，包括備份
- 生產和開發環境完全隔離
- 所有員工對客戶數據的訪問均被記錄、審計，並受最小特權政策管理
合規性
- 為 HIPAA 受監管的組織簽署業務夥伴協議——有關設置詳情，請參閱 HIPAA 合規文檔
- 設計以滿足 HIPAA 安全規則的管理、技術和物理保護要求
帳戶安全
要了解全貌——認證、可下載的合規文件和安全架構概述——請訪問 PlatoForms 信任中心。
如果您在醫療保健行業，需要具有簽署 BAA 的 HIPAA 合規表單，請參閱 PlatoForms 的 HIPAA 合規表單。
如果您對用例的安全性有具體問題，請聯繫我們。安全要求因行業和所收集數據的敏感性而異，我們很樂意討論 PlatoForms 是否合適。
