> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/zh-tw/ai/ai-whitepaper/security-framework.md).

# 安全框架

## **安全框架**

Zoom 的安全軟體開發生命週期（SDLC）是一套旨在將安全性整合至軟體開發生命週期各階段的做法與流程。Zoom 的安全軟體開發控制措施由獨立審計公司進行評估，相關內容可見於 Zoom 的安全認證與聲明，客戶可在上查閱 [Zoom 的信任中心](https://www.zoom.com/en/trust/legal-compliance/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236)。Zoom AI 功能遵循 Zoom 的標準安全 SDLC 流程，其中包括以下部分。

## **設計審查**

Zoom 的工程安全團隊會在功能構思的設計階段介入，以便將關鍵安全控制納入需求中。會執行安全設計審查（包括威脅分析），以識別潛在威脅及其緩解措施。Zoom 維護漏洞修補標準，以規範在安全設計審查期間發現之安全漏洞的修補或緩解。

## **程式碼審查**

同儕程式碼審查是 Zoom 安全軟體開發生命週期的關鍵要素，並在 Zoom 的軟體開發平台中強制執行。除了同儕程式碼審查外，在安全設計審查中識別出的高風險區域還需要進行安全程式碼審查。必要時，也會按每個版本進行手動測試。

## **靜態分析測試**

Zoom 使用靜態分析安全測試（SAST）工具掃描其原始碼中的程式錯誤與常見安全漏洞，包括 Open Web Application Security Project（OWASP）Top 10 與 National Vulnerability Database（NVD）。Zoom 維護漏洞修補標準，以規範透過靜態分析測試識別出的安全漏洞之修補或緩解。

## **動態分析測試**

Zoom 使用動態分析安全測試（DAST）工具來識別常見安全漏洞，包括 OWASP Top 10 與 NVD。Zoom 維護漏洞修補標準，以規範透過動態分析測試識別出的安全漏洞之修補或緩解。

## **第三方程式碼審查**

當使用開放原始碼軟體（OSS）時，OSS 套件必須經過 Zoom 的第三方程式碼審查流程，其中包括一套 OSS 評估標準與常見安全漏洞掃描。Zoom 維護漏洞修補標準，以規範透過第三方 OSS 掃描工具識別出的安全漏洞之修補或緩解。

## **部署**

新產品與功能的部署，包括 Zoom AI 功能，都需要安全核准。Zoom 設有專責的發行安全保證職能，負責在發行前掃描 Zoom 用戶端版本。最終的 Zoom 用戶端版本掃描旨在識別潛在漏洞或惡意內容，且該版本會進行數位簽章以維持其完整性與真實性。

## **生成式 AI 模型安全性**

除了上述 Zoom 安全 SDLC 所列步驟外，Zoom 託管的模型亦須接受安全審查，以評估生成式 AI 模型特有的安全威脅。生成式 AI 模型審查包含常見已知的 LLM 模型漏洞，並符合 OWASP 的 LLM Top 10 及其他安全 AI 架構。於生成式 AI 安全審查中識別出的漏洞，必須依照 Zoom 的漏洞修補標準進行修補。

Zoom 的第三方次處理者至少每年都會依照 Zoom 的第三方風險管理計畫接受安全評估。Zoom 的第三方風險管理控制措施由獨立審計公司進行評估，相關內容可見於 Zoom 的安全認證與聲明，客戶可在上查閱 [Zoom 的信任中心](https://www.zoom.com/en/trust/legal-compliance/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236).

## **安全評估**

Zoom 擁有專責的主動防禦安全團隊，持續針對 Zoom 平台進行漏洞研究與紅隊演練，包括 Zoom AI 功能。除 Zoom 專責的主動防禦安全團隊外，滲透測試至少每年由獨立第三方執行一次。

## **漏洞揭露計畫**

Zoom 相信獨立安全研究社群可對 Zoom 產品的安全性做出關鍵貢獻。Zoom 維持一個 [漏洞揭露計畫](https://www.zoom.com/en/trust/vulnerability-disclosure/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236) 以及透過 HackerOne 的漏洞賞金計畫，以鼓勵安全研究人員負責任地回報潛在安全漏洞，讓 Zoom 能夠修補這些問題並保護其使用者安全。

## **合規認證**

Zoom 的 AI 功能遵循與其所整合之主要 Zoom 產品相同的安全與合規要求，而 Zoom Workplace（前稱 AI Companion）中的主要 Zoom AI 功能已通過 ISO 27001、ISO 27701 及 ISO 27017/18 認證，並納入 Zoom 的 SOC 2 報告範圍內，可在上查閱 [Zoom 的信任中心](https://www.zoom.com/en/trust/legal-compliance/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://library.zoom.com/technical-library/zh-tw/ai/ai-whitepaper/security-framework.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.