隱私，是信任的基礎

將數據保護融入產品與服務明確邊界，審慎處理

把數據保護，落實到使用的每一步

靜態數據、傳輸鏈路與加密密鑰需要共同管理。我們根據具體產品和部署方案規劃加密、訪問控制與備份安排，並在交付時明確責任邊界、配置要求和恢復機制。具體加密能力以相應服務的技術文檔爲準。

靜態數據

靜態數據保護方案可採用 AES-256 等加密技術，結合密鑰管理、訪問控制與備份安排，按實際部署範圍規劃數據保護措施。

傳輸中的數據

傳輸保護按服務配置採用 TLS、IPsec 等協議。TLS 1.3 的現行規範參考 RFC 9846；協議版本、算法套件與證書配置以實際端點及技術文檔爲準。

加密密鑰

密鑰與其他機密須按權限管理、限制訪問，並結合服務約定安排保管、輪換及恢復。由客戶管理和由服務方管理的密鑰應分別明確控制權與責任。

數據請求處理原則

政府或其他機構提出數據請求時，我們審查請求方身份、法律依據、管轄權限及請求範圍。在適用法律允許的範圍內，優先要求請求方向客戶直接索取資料，並將披露限制在合法且必要的範圍。對依據不足、範圍不明或過度寬泛的請求，要求澄清或依法提出異議。
承諾：

1. 不以規避正常身份驗證和訪問控制爲目的提供通用後門或萬能鑰匙。政府或執法請求須通過適用的法律程序逐案審查。
2. 持續改進信息披露、訪問控制與響應流程，推動透明、可追溯的數據處理。
3. 對數據請求審查身份、權限、法律依據與必要性；不提供不受限制的客戶數據訪問。在法律允許且合理可行時，將請求引導至客戶，並依據合同和適用程序處理爭議。

執法請求時：收到涉及客戶數據的有效請求後，在法律允許且合理可行的範圍內及時通知客戶，說明請求性質及可披露的內容。未經客戶指示或有效法律依據，不作相關披露；依法需要披露時，範圍限制於必要資料。
透明度原則重視數據請求處理的透明度，在法律允許的範圍內披露適當的彙總信息，同時保護個人隱私、商業祕密及依法應當保密的調查內容。

以清晰標準，建立長期信任

圍繞業務所在地、數據類型與部署範圍，龍盤重視安全治理、數據保護和服務責任的清晰界定。我們參考國際通行標準與適用監管要求，爲不同場景規劃相應的技術和管理措施。具體產品資質、檢測範圍及交付責任，以對應證書、技術文件與服務合同爲準。
安全標準與評估框架本節介紹雲服務、隱私保護與密碼應用相關的主要標準和評估框架。項目根據業務場景、系統邊界與部署地區選擇適用要求，具體認證與授權範圍以對應證書、機構記錄及技術文件爲準。
按場景選擇適用標準管理體系、雲服務安全、個人信息保護、密碼模塊和特定行業授權分別對應不同的技術與管理邊界。方案規劃從使用場景出發，明確評估目標、實施範圍與交付要求。

產品與服務標準參考

FIPS 140-3 · 密碼模塊驗證

FIPS 140-3 是 NIST 與加拿大網絡安全中心共同開展的 CMVP 密碼模塊驗證所依據的現行標準，設四個安全等級，Level 4 爲該體系中的最高等級。驗證覆蓋特定密碼模塊、版本及運行環境。FIPS 140-2 驗證於 2026 年 9 月 22 日轉入歷史清單，既有系統使用依適用政策管理。

ITAR · 國防貿易管制法規

ITAR 是美國《聯邦法規彙編》第 22 編第 120—130 部分中的國防貿易管制法規，由美國國務院國防貿易管制局管理。它涉及特定國防物項、技術數據與服務的出口管制，不是通用雲安全認證，也不能僅因採用某項技術就宣稱符合全部要求。

FedRAMP · 雲服務評估與授權

FedRAMP 爲美國聯邦機構使用雲服務提供安全評估、授權與持續監測框架。相關狀態對應特定雲服務及其授權邊界，應以官方 Marketplace 當前記錄和適用材料爲準。
FIPS 199 用於信息與信息系統的安全分類，NIST SP 800-53 提供安全和隱私控制目錄。FedRAMP 的相關狀態針對特定雲服務及授權邊界，須結合對應服務記錄判斷適用範圍。

DoD · 特定任務的雲安全要求

美國國防部雲計算安全要求按數據敏感性和任務要求區分影響級別。IL2、IL5 等級適用於相應任務與數據場景，相關項目須結合服務邊界、適用授權和任務方要求進行評估。

GB/T 39786-2021 · 信息系統密碼應用

該現行國家標準按信息系統安全等級，對物理與環境、網絡與通信、設備與計算、應用與數據等方面提出密碼應用要求，並涵蓋相關管理要求，爲具體系統的設計、實施和密碼應用評估提供依據。

商用密碼產品與網絡協議
網絡與網關相關現行版本參考：GM/T 0022-2023《IPSec VPN技術規範》。以下列示技術領域及已覈對的替代版本，適用要求以國家密碼管理局公告、具體產品及測評範圍爲準：

GM/T 0023-2023 · IPSec VPN網關產品規範
GM/T 0024-2023 · SSL VPN技術規範
GM/T 0025-2023 · SSL VPN網關產品規範
GM/T 0026-2023 · 安全認證網關產品規範
智能密碼鑰匙：按適用產品規範及 GM/T 0016-2023 密碼應用接口要求評估。
GM/T 0028-2024 · 密碼模塊安全要求
簽名驗籤服務器：按具體產品邊界覈驗適用規範與檢測材料。
服務器密碼機：覈驗產品型號、有效認證與實際運行環境。
電子簽章：區分密碼技術、應用接口與法律效力，接口參考 GM/T 0131-2023。
授權與訪問控制：按身份、角色、最小權限及審計需求設計和驗證。
GM/T 0033-2023 · 時間戳接口規範
證書認證系統：按適用 SM2 算法、數字證書格式與協議要求覈驗。
射頻識別系統：根據標籤、讀寫設備及應用環境選取適用密碼要求。
非接觸卡門禁：結合介質、密鑰管理與系統集成範圍評估。
證書認證系統檢測：覈驗適用檢測規範與測試報告。
證書認證密鑰管理：覈驗密鑰全生命週期管理與檢測範圍。

密碼檢測與互操作
以下版本依據國家密碼管理局第 50 號公告更新，自 2025 年 7 月 1 日實施，分別用於相關產品的安全檢測與互操作評估：

GM/T 0039-2024 · 密碼模塊安全檢測要求
GM/T 0040-2024 · 射頻識別標籤模塊密碼檢測規範
GM/T 0041-2024 · 智能IC卡密碼檢測規範
三元對等密碼安全協議：按具體協議實現覈對適用測試規範與報告範圍。
GM/T 0043-2024 · 數字證書互操作檢測規範