إطار الأمان

نظرة عامة على إطار الأمان لـ Zoom AI

إطار الأمان

تتكون دورة حياة تطوير البرمجيات الآمنة الخاصة بـ Zoom (SDLC) من مجموعة من الممارسات والعمليات المصممة لدمج الأمان في كل مرحلة من مراحل دورة حياة تطوير البرمجيات. ويتم تقييم ضوابط تطوير البرمجيات الآمنة الخاصة بـ Zoom من قبل شركات تدقيق مستقلة كما هو موضح في شهادات وإقرارات الأمان الخاصة بـ Zoom، والتي تكون متاحة للعملاء على مركز الثقة الخاص بـ Zoom. تتبع ميزات Zoom AI عملية SDLC الآمنة المعيارية الخاصة بـ Zoom، والتي تتضمن الأقسام التالية.

مراجعة التصميم

يشارك فريق هندسة الأمان في Zoom خلال مرحلة التصميم عندما يتم تصور إحدى الميزات بحيث يمكن تضمين ضوابط الأمان الرئيسية في المتطلبات. ويتم إجراء مراجعات تصميم الأمان، التي تشمل تحليل التهديدات، لتحديد التهديدات المحتملة وطرق التخفيف منها. تحتفظ Zoom بمعايير معالجة الثغرات التي تحكم إصلاح الثغرات الأمنية أو التخفيف من حدتها والتي يتم تحديدها أثناء مراجعة تصميم الأمان.

مراجعة التعليمات البرمجية

تعد مراجعات التعليمات البرمجية من قِبل الأقران عنصرًا أساسيًا في دورة حياة تطوير البرمجيات الآمنة الخاصة بـ Zoom ويتم فرضها في منصة تطوير البرمجيات الخاصة بـ Zoom. وبالإضافة إلى مراجعات التعليمات البرمجية من قِبل الأقران، فإن المناطق عالية الخطورة التي يتم تحديدها أثناء مراجعة تصميم الأمان تتطلب مراجعات تعليمات برمجية آمنة. وعند الاقتضاء، يتم أيضًا إجراء اختبارات يدوية على أساس كل إصدار.

اختبار التحليل الثابت

تستخدم Zoom أدوات اختبار الأمان بالتحليل الثابت (SAST) لفحص التعليمات البرمجية المصدر الخاصة بها بحثًا عن أخطاء البرمجة والثغرات الأمنية الشائعة، بما في ذلك أفضل 10 في مشروع أمان تطبيقات الويب المفتوحة (OWASP) وقاعدة بيانات الثغرات الوطنية (NVD). تحتفظ Zoom بمعايير معالجة الثغرات التي تحكم إصلاح الثغرات الأمنية أو التخفيف من حدتها والتي يتم تحديدها من خلال اختبار التحليل الثابت.

اختبار التحليل الديناميكي

تستخدم Zoom أدوات اختبار الأمان بالتحليل الديناميكي (DAST) لتحديد الثغرات الأمنية الشائعة، بما في ذلك أفضل 10 لـ OWASP وقاعدة بيانات الثغرات الوطنية (NVD). تحتفظ Zoom بمعايير معالجة الثغرات التي تحكم إصلاح الثغرات الأمنية أو التخفيف من حدتها والتي يتم تحديدها من خلال اختبار التحليل الديناميكي.

مراجعات تعليمات البرمجيات لطرف ثالث

عندما يُستخدم برنامج مفتوح المصدر (OSS)، يجب أن تخضع حزمة البرامج OSS لعملية مراجعة التعليمات البرمجية لطرف ثالث الخاصة بـ Zoom، والتي تتضمن مجموعة من معايير تقييم OSS والبحث عن الثغرات الأمنية الشائعة. تحتفظ Zoom بمعايير معالجة الثغرات التي تحكم إصلاح الثغرات الأمنية أو التخفيف من حدتها والتي يتم تحديدها من خلال أدوات فحص OSS التابعة لطرف ثالث.

النشر

تُعد الموافقة الأمنية مطلوبة لنشر المنتجات والميزات الجديدة، بما في ذلك ميزات Zoom AI. لدى Zoom وظيفة مخصصة لضمان أمان الإصدارات مسؤولة عن فحص إصدارات Zoom Client قبل الإصدار. تم تصميم عمليات الفحص النهائية لإصدارات Zoom Client لتحديد الثغرات المحتملة أو المحتوى الخبيث، كما يتم توقيع الإصدار رقميًا للحفاظ على سلامته وأصالته.

أمان نموذج الذكاء الاصطناعي التوليدي

بالإضافة إلى الخطوات الموضحة أعلاه في دورة حياة تطوير البرمجيات الآمنة الخاصة بـ Zoom، تخضع النماذج المستضافة بواسطة Zoom لمراجعات أمنية لتقييم التهديدات الأمنية الخاصة بنماذج الذكاء الاصطناعي التوليدي. تتضمن مراجعة نموذج الذكاء الاصطناعي التوليدي الثغرات المعروفة الشائعة في نماذج LLM، بما يتماشى مع أفضل 10 لـ OWASP الخاصة بـ LLMs وأطر الذكاء الاصطناعي الآمنة الأخرى. يجب معالجة الثغرات التي يتم تحديدها في مراجعات أمان الذكاء الاصطناعي التوليدي وفقًا لمعايير معالجة الثغرات الخاصة بـ Zoom.

تخضع المعالجات الفرعية التابعة لجهات خارجية الخاصة بـ Zoom لتقييمات أمنية مرة واحدة على الأقل سنويًا كجزء من برنامج إدارة المخاطر الخاص بالأطراف الثالثة لدى Zoom. ويتم تقييم ضوابط إدارة مخاطر الأطراف الثالثة الخاصة بـ Zoom من قبل شركات تدقيق مستقلة كما هو موضح في شهادات وإقرارات الأمان الخاصة بـ Zoom، والتي تكون متاحة للعملاء على مركز الثقة الخاص بـ Zoom.

تقييمات الأمان

لدى Zoom فريق مخصص للأمن الهجومي يجري أبحاثًا مستمرة عن الثغرات وتمارين الفريق الأحمر عبر منصة Zoom، بما في ذلك ميزات Zoom AI. وبالإضافة إلى فريق الأمن الهجومي المخصص لدى Zoom، يتم إجراء اختبارات الاختراق بواسطة طرف ثالث مستقل مرة واحدة على الأقل سنويًا.

برنامج الإفصاح عن الثغرات

تؤمن Zoom بأن مجتمع البحث الأمني المستقل يمكن أن يقدم مساهمات رئيسية في أمان منتجات Zoom. تحتفظ Zoom بـ برنامج الإفصاح عن الثغرات بالإضافة إلى برنامج مكافآت الثغرات عبر HackerOne الذي يحفز الباحثين الأمنيين على الإبلاغ المسؤول عن الثغرات الأمنية المحتملة حتى تتمكن Zoom من إصلاحها والحفاظ على سلامة مستخدميها.

شهادات الامتثال

تلتزم ميزات Zoom AI بمتطلبات الأمان والامتثال نفسها التي تنطبق على منتجات Zoom الأساسية التي تندرج ضمنها، كما أن ميزات Zoom AI الرئيسية في Zoom Workplace (الذي كان يُسمى سابقًا AI Companion) حاصلة على شهادات ISO 27001 وISO 27701 وISO 27017/18 ومشمولة ضمن نطاق تقرير SOC 2 الخاص بـ Zoom، والمتاح على مركز الثقة الخاص بـ Zoom.