Güvenlik Çerçevesi

Zoom AI güvenlik çerçevesine genel bakış

Güvenlik Çerçevesi

Zoom’un güvenli yazılım geliştirme yaşam döngüsü (SDLC), yazılım geliştirme yaşam döngüsünün her aşamasına güvenliği entegre etmek için tasarlanmış bir dizi uygulama ve süreçten oluşur. Zoom’un güvenli yazılım geliştirme kontrolleri, Zoom’un güvenlik sertifikalarında ve beyanlarında belirtildiği üzere bağımsız denetim firmaları tarafından değerlendirilir; bunlar Müşteriler için Zoom’un Güven Merkezi üzerinde Uygun olarak sunulmaktadır Zoom’un Güven Merkezi. Zoom AI Özellikler, aşağıdaki bölümleri içeren Zoom’un Standart güvenli SDLC sürecini izler.

Tasarım İncelemesi

Zoom’un Mühendislik Güvenliği ekibi, bir Özellikler tasarlanırken tasarım aşamasında devreye girer; böylece temel güvenlik kontrolleri gereksinimlere dahil edilebilir. Tehdit analizi dahil güvenli tasarım incelemeleri, olası tehditleri ve azaltma önlemlerini belirlemek için gerçekleştirilir. Zoom, güvenli tasarım incelemesi sırasında belirlenen güvenlik açıklarının giderilmesini veya azaltılmasını yöneten güvenlik açığı giderme standartlarını sürdürür.

Kod İncelemesi

Akran kod incelemeleri, Zoom’un güvenli yazılım geliştirme yaşam döngüsünün temel bir unsurudur ve Zoom’un yazılım geliştirme platformunda uygulanır. Akran kod incelemelerine ek olarak, güvenli tasarım incelemesi sırasında belirlenen yüksek riskli alanlar güvenli kod incelemeleri gerektirir. Uygun durumlarda sürüm bazında manuel test de yapılır.

Statik Analiz Testi

Zoom, kaynak kodunu kodlama hataları ve yaygın güvenlik açıkları için taramak üzere statik analiz güvenlik testi (SAST) araçlarını kullanır; buna Açık Web Uygulama Güvenliği Projesi’nin (OWASP) En İyi 10’u ve Ulusal Güvenlik Açığı Veritabanı (NVD) dahildir. Zoom, statik analiz testi yoluyla belirlenen güvenlik açıklarının giderilmesini veya azaltılmasını yöneten güvenlik açığı giderme standartlarını sürdürür.

Dinamik Analiz Testi

Zoom, OWASP’ın İlk 10’u ve NVD dahil olmak üzere yaygın güvenlik açıklarını belirlemek için dinamik analiz güvenlik testi (DAST) araçlarını kullanır. Zoom, dinamik analiz testi yoluyla belirlenen güvenlik açıklarının giderilmesini veya azaltılmasını düzenleyen güvenlik açığı giderme standartlarını sürdürür.

Üçüncü Taraf Kod İncelemeleri

Açık kaynak yazılım (OSS) kullanıldığında, OSS Paketi; bir OSS değerlendirme kriterleri seti ve yaygın güvenlik açıkları için taramayı içeren Zoom’un üçüncü taraf kod inceleme sürecinden geçmelidir. Zoom, üçüncü taraf OSS tarama araçlarıyla belirlenen güvenlik açıklarının giderilmesini veya azaltılmasını düzenleyen güvenlik açığı giderme standartlarını sürdürür.

Dağıtım

Yeni ürünlerin ve özelliklerin, Zoom AI özellikleri dahil, dağıtımı için güvenlik onayı gereklidir. Zoom, yayımdan önce Zoom istemcisi derlemelerini taramaktan sorumlu özel bir Sürüm Güvenliği Güvencesi işlevine sahiptir. Nihai Zoom istemcisi derleme taramaları, olası güvenlik açıklarını veya kötü amaçlı içeriği belirlemek üzere tasarlanmıştır ve derlemenin bütünlüğünü ve özgünlüğünü korumak için dijital olarak imzalanır.

Üretken Yapay Zekâ Modeli Güvenliği

Yukarıda Zoom’un güvenli SDLC’sinde belirtilen adımlara ek olarak, Zoom tarafından barındırılan modeller, üretken yapay zekâ modellerine özgü güvenlik tehditlerini değerlendirmek için güvenlik incelemelerine tabidir. Üretken yapay zekâ modeli incelemesi, OWASP’ın LLM’ler için İlk 10’u ve diğer güvenli yapay zekâ çerçeveleriyle uyumlu olarak, yaygın olarak bilinen LLM model güvenlik açıklarını içerir. Üretken yapay zekâ güvenlik incelemelerinde belirlenen güvenlik açıkları, Zoom’un güvenlik açığı giderme standartlarına uygun olarak giderilmelidir.

Zoom’un üçüncü taraf alt işleyenleri, Zoom’un üçüncü taraf risk yönetimi programının bir parçası olarak en az yıllık bazda güvenlik değerlendirmelerine tabi tutulur. Zoom’un üçüncü taraf risk yönetimi kontrolleri, Zoom’un güvenlik sertifikalarında ve beyanlarında belirtildiği üzere bağımsız denetim firmaları tarafından değerlendirilir; bu belgeler müşterilere ... Uygun olan Zoom’un Güven Merkezi.

Güvenlik Değerlendirmeleri

Zoom, Zoom AI özellikleri de dahil olmak üzere, Zoom’un platformu genelinde sürekli güvenlik açığı araştırması ve red team tatbikatları yürüten özel bir saldırı güvenliği ekibine sahiptir. Zoom’un özel saldırı güvenliği ekibine ek olarak, en az yılda bir kez bağımsız bir üçüncü taraf tarafından sızma testleri gerçekleştirilir.

Güvenlik Açığı Bildirim Programı

Zoom, bağımsız güvenlik araştırma topluluğunun Zoom ürünlerinin güvenliğine önemli katkılar sağlayabileceğine inanır. Zoom, bir güvenlik açığı bildirim programı ayrıca HackerOne üzerinden bir hata yakalama ödül programı da yürütmektedir; bu program, güvenlik araştırmacılarını olası güvenlik açıklarını sorumlu bir şekilde bildirmeye teşvik ederek Zoom’un bunları gidermesini ve kullanıcılarını güvende tutmasını sağlar.

Uyumluluk Sertifikaları

Zoom’un AI özellikleri, içine dahil edildikleri temel Zoom ürünleriyle aynı güvenlik ve uyumluluk gereksinimlerine uyar ve Zoom Workplace’teki (önceki adı AI Companion) temel Zoom AI özellikleri ISO 27001, ISO 27701 ve ISO 27017/18 sertifikalarına sahiptir ve Zoom’un SOC 2 raporunun kapsamına dahildir; rapor şurada Uygun: Zoom’un Güven Merkezi.