安全框架

Zoom AI 安全框架概览

安全框架

Zoom 的安全软件开发生命周期（SDLC）是一套旨在将安全性融入软件开发生命周期每个阶段的实践和流程。Zoom 的安全软件开发控制会由独立审计机构进行评估，相关内容见 Zoom 的安全认证和声明，这些内容可供客户在线查阅，见于 Zoom 的信任中心。Zoom AI 功能/特性遵循 Zoom 的标准安全 SDLC 流程，其中包括以下部分。

设计审查

Zoom 的工程安全团队会在功能/特性构思阶段参与设计阶段，以便将关键安全控制纳入需求中。会执行安全设计审查，其中包括威胁分析，以识别潜在威胁和缓解措施。Zoom 维护漏洞修复标准，以规范在安全设计审查中发现的安全漏洞的修复或缓解。

代码审查

同行代码审查是 Zoom 安全软件开发生命周期的关键组成部分，并在 Zoom 的软件开发平台中强制执行。除同行代码审查外，安全设计审查期间识别出的高风险区域还需要进行安全代码审查。在适当情况下，还会按每个版本进行手动测试。

静态分析测试

Zoom 使用静态分析安全测试（SAST）工具扫描其源代码中的编码错误和常见安全漏洞，包括开放式 Web 应用程序安全项目（OWASP）的 Top 10 和国家漏洞数据库（NVD）。Zoom 维护漏洞修复标准，以规范通过静态分析测试发现的安全漏洞的修复或缓解。

动态分析测试

Zoom 使用动态分析安全测试（DAST）工具识别常见安全漏洞，包括 OWASP 的 Top 10 和 NVD。Zoom 维护漏洞修复标准，以规范通过动态分析测试发现的安全漏洞的修复或缓解。

第三方代码审查

在使用开源软件（OSS）时，OSS 软件包必须经过 Zoom 的第三方代码审查流程，该流程包括一套 OSS 评估标准和对常见安全漏洞的扫描。Zoom 维护漏洞修复标准，以规范通过第三方 OSS 扫描工具发现的安全漏洞的修复或缓解。

部署

新产品和功能/特性的部署需要获得安全批准，包括 Zoom AI 功能/特性。Zoom 设有专门的发布安全保障职能，负责在发布前扫描 Zoom 客户端构建版本。最终的 Zoom 客户端构建版本扫描旨在识别潜在漏洞或恶意内容，并对构建版本进行数字签名以维护其完整性和真实性。

生成式 AI 模型安全

除上述 Zoom 安全 SDLC 中概述的步骤外，Zoom 托管的模型还会接受安全审查，以评估生成式 AI 模型特有的安全威胁。生成式 AI 模型审查包括常见的大语言模型（LLM）漏洞，并与 OWASP 的 LLM Top 10 及其他安全 AI 框架保持一致。在生成式 AI 安全审查中发现的漏洞必须按照 Zoom 的漏洞修复标准进行修复。

Zoom 的第三方分包处理方至少每年都会接受一次安全评估，作为 Zoom 第三方风险管理计划的一部分。Zoom 的第三方风险管理控制会由独立审计机构进行评估，相关内容见 Zoom 的安全认证和声明，这些内容可供客户在线查阅，见于 Zoom 的信任中心.

安全评估

Zoom 拥有一支专门的主动安全团队，持续在 Zoom 平台上开展漏洞研究和红队演练，包括针对 Zoom AI 功能/特性。除 Zoom 专门的主动安全团队外，还会由独立第三方至少每年执行一次渗透测试。

漏洞披露计划

Zoom 相信独立的安全研究社区能够为 Zoom 产品的安全性做出关键贡献。Zoom 维护一个 漏洞披露计划 以及通过 HackerOne 开展的漏洞报告奖励计划，以激励安全研究人员负责任地报告潜在安全漏洞，从而使 Zoom 能够修复这些漏洞并保障其用户安全。

合规性认证

Zoom 的 AI 功能/特性遵循与其所集成的主要 Zoom 产品相同的安全和合规性要求，而 Zoom Workplace（先前名为 AI Companion）中的关键 Zoom AI 功能/特性已通过 ISO 27001、ISO 27701 和 ISO 27017/18 认证，并纳入 Zoom 的 SOC 2 报告范围，可在线查阅 Zoom 的信任中心.