隐私，是信任的基础

将数据保护融入产品与服务明确边界，审慎处理

把数据保护，落实到使用的每一步

静态数据、传输链路与加密密钥需要共同管理。我们根据具体产品和部署方案规划加密、访问控制与备份安排，并在交付时明确责任边界、配置要求和恢复机制。具体加密能力以相应服务的技术文档为准。

静态数据

静态数据保护方案可采用 AES-256 等加密技术，结合密钥管理、访问控制与备份安排，按实际部署范围规划数据保护措施。

传输中的数据

传输保护按服务配置采用 TLS、IPsec 等协议。TLS 1.3 的现行规范参考 RFC 9846；协议版本、算法套件与证书配置以实际端点及技术文档为准。

加密密钥

密钥与其他机密须按权限管理、限制访问，并结合服务约定安排保管、轮换及恢复。由客户管理和由服务方管理的密钥应分别明确控制权与责任。

数据请求处理原则

政府或其他机构提出数据请求时，我们审查请求方身份、法律依据、管辖权限及请求范围。在适用法律允许的范围内，优先要求请求方向客户直接索取资料，并将披露限制在合法且必要的范围。对依据不足、范围不明或过度宽泛的请求，要求澄清或依法提出异议。
承诺：

1. 不以规避正常身份验证和访问控制为目的提供通用后门或万能钥匙。政府或执法请求须通过适用的法律程序逐案审查。
2. 持续改进信息披露、访问控制与响应流程，推动透明、可追溯的数据处理。
3. 对数据请求审查身份、权限、法律依据与必要性；不提供不受限制的客户数据访问。在法律允许且合理可行时，将请求引导至客户，并依据合同和适用程序处理争议。

执法请求时：收到涉及客户数据的有效请求后，在法律允许且合理可行的范围内及时通知客户，说明请求性质及可披露的内容。未经客户指示或有效法律依据，不作相关披露；依法需要披露时，范围限制于必要资料。
透明度原则重视数据请求处理的透明度，在法律允许的范围内披露适当的汇总信息，同时保护个人隐私、商业秘密及依法应当保密的调查内容。

以清晰标准，建立长期信任

围绕业务所在地、数据类型与部署范围，龙盘重视安全治理、数据保护和服务责任的清晰界定。我们参考国际通行标准与适用监管要求，为不同场景规划相应的技术和管理措施。具体产品资质、检测范围及交付责任，以对应证书、技术文件与服务合同为准。
安全标准与评估框架本节介绍云服务、隐私保护与密码应用相关的主要标准和评估框架。项目根据业务场景、系统边界与部署地区选择适用要求，具体认证与授权范围以对应证书、机构记录及技术文件为准。
按场景选择适用标准管理体系、云服务安全、个人信息保护、密码模块和特定行业授权分别对应不同的技术与管理边界。方案规划从使用场景出发，明确评估目标、实施范围与交付要求。

产品与服务标准参考

FIPS 140-3 · 密码模块验证

FIPS 140-3 是 NIST 与加拿大网络安全中心共同开展的 CMVP 密码模块验证所依据的现行标准，设四个安全等级，Level 4 为该体系中的最高等级。验证覆盖特定密码模块、版本及运行环境。FIPS 140-2 验证于 2026 年 9 月 22 日转入历史清单，既有系统使用依适用政策管理。

ITAR · 国防贸易管制法规

ITAR 是美国《联邦法规汇编》第 22 编第 120—130 部分中的国防贸易管制法规，由美国国务院国防贸易管制局管理。它涉及特定国防物项、技术数据与服务的出口管制，不是通用云安全认证，也不能仅因采用某项技术就宣称符合全部要求。

FedRAMP · 云服务评估与授权

FedRAMP 为美国联邦机构使用云服务提供安全评估、授权与持续监测框架。相关状态对应特定云服务及其授权边界，应以官方 Marketplace 当前记录和适用材料为准。
FIPS 199 用于信息与信息系统的安全分类，NIST SP 800-53 提供安全和隐私控制目录。FedRAMP 的相关状态针对特定云服务及授权边界，须结合对应服务记录判断适用范围。

DoD · 特定任务的云安全要求

美国国防部云计算安全要求按数据敏感性和任务要求区分影响级别。IL2、IL5 等级适用于相应任务与数据场景，相关项目须结合服务边界、适用授权和任务方要求进行评估。

GB/T 39786-2021 · 信息系统密码应用

该现行国家标准按信息系统安全等级，对物理与环境、网络与通信、设备与计算、应用与数据等方面提出密码应用要求，并涵盖相关管理要求，为具体系统的设计、实施和密码应用评估提供依据。

商用密码产品与网络协议
网络与网关相关现行版本参考：GM/T 0022-2023《IPSec VPN技术规范》。以下列示技术领域及已核对的替代版本，适用要求以国家密码管理局公告、具体产品及测评范围为准：

GM/T 0023-2023 · IPSec VPN网关产品规范
GM/T 0024-2023 · SSL VPN技术规范
GM/T 0025-2023 · SSL VPN网关产品规范
GM/T 0026-2023 · 安全认证网关产品规范
智能密码钥匙：按适用产品规范及 GM/T 0016-2023 密码应用接口要求评估。
GM/T 0028-2024 · 密码模块安全要求
签名验签服务器：按具体产品边界核验适用规范与检测材料。
服务器密码机：核验产品型号、有效认证与实际运行环境。
电子签章：区分密码技术、应用接口与法律效力，接口参考 GM/T 0131-2023。
授权与访问控制：按身份、角色、最小权限及审计需求设计和验证。
GM/T 0033-2023 · 时间戳接口规范
证书认证系统：按适用 SM2 算法、数字证书格式与协议要求核验。
射频识别系统：根据标签、读写设备及应用环境选取适用密码要求。
非接触卡门禁：结合介质、密钥管理与系统集成范围评估。
证书认证系统检测：核验适用检测规范与测试报告。
证书认证密钥管理：核验密钥全生命周期管理与检测范围。

密码检测与互操作
以下版本依据国家密码管理局第 50 号公告更新，自 2025 年 7 月 1 日实施，分别用于相关产品的安全检测与互操作评估：

GM/T 0039-2024 · 密码模块安全检测要求
GM/T 0040-2024 · 射频识别标签模块密码检测规范
GM/T 0041-2024 · 智能IC卡密码检测规范
三元对等密码安全协议：按具体协议实现核对适用测试规范与报告范围。
GM/T 0043-2024 · 数字证书互操作检测规范