> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/zh/ai/ai-whitepaper/security-framework.md).

# 安全框架

## **安全框架**

Zoom 的安全软件开发生命周期（SDLC）是一系列旨在将安全性融入软件开发生命周期各个阶段的实践和流程。Zoom 的安全软件开发控制由独立审计公司进行评估，相关信息详见 Zoom 的安全认证和证明，这些内容可供客户在 [Zoom 的信任中心](https://www.zoom.com/en/trust/legal-compliance/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236)。Zoom AI 功能遵循 Zoom 的标准安全 SDLC 流程，其中包括以下部分。

## **设计审查**

当某项功能处于概念设计阶段时，Zoom 的工程安全团队会介入，以便将关键安全控制纳入需求中。会执行包含威胁分析在内的安全设计审查，以识别潜在威胁及其缓解措施。Zoom 制定了漏洞修复标准，用于规范在安全设计审查中发现的安全漏洞的修复或缓解。

## **代码审查**

同行代码审查是 Zoom 安全软件开发生命周期的关键环节，并在 Zoom 的软件开发平台中强制执行。除了同行代码审查外，安全设计审查中识别出的高风险区域还需要进行安全代码审查。在适当情况下，还会按每个版本进行手动测试。

## **静态分析测试**

Zoom 使用静态分析安全测试（SAST）工具扫描其源代码，以查找编码错误和常见安全漏洞，包括开放式 Web 应用程序安全项目（OWASP）的 Top 10 和国家漏洞数据库（NVD）。Zoom 制定了漏洞修复标准，用于规范通过静态分析测试识别出的安全漏洞的修复或缓解。

## **动态分析测试**

Zoom 使用动态分析安全测试（DAST）工具来识别常见安全漏洞，包括 OWASP 的 Top 10 和 NVD。Zoom 制定了漏洞修复标准，用于规范通过动态分析测试识别出的安全漏洞的修复或缓解。

## **第三方代码审查**

在使用开源软件（OSS）的情况下，OSS 软件包必须经过 Zoom 的第三方代码审查流程，其中包括一套 OSS 评估标准以及对常见安全漏洞的扫描。Zoom 制定了漏洞修复标准，用于规范通过第三方 OSS 扫描工具识别出的安全漏洞的修复或缓解。

## **部署**

新产品和功能的部署需要安全批准，包括 Zoom AI 功能。Zoom 设有专门的发布安全保障职能，负责在发布前扫描 Zoom 客户端构建版本。最终的 Zoom 客户端构建版本扫描旨在识别潜在漏洞或恶意内容，并对构建版本进行数字签名以维护其完整性和真实性。

## **生成式 AI 模型安全**

除上述 Zoom 安全 SDLC 中概述的步骤外，由 Zoom 托管的模型还需接受安全审查，以评估生成式 AI 模型特有的安全威胁。生成式 AI 模型审查包括常见的 LLM 模型漏洞，并与 OWASP 的 LLM Top 10 及其他安全 AI 框架保持一致。在生成式 AI 安全审查中发现的漏洞必须按照 Zoom 的漏洞修复标准进行修复。

作为 Zoom 第三方风险管理计划的一部分，Zoom 的第三方子处理方至少每年接受一次安全评估。Zoom 的第三方风险管理控制由独立审计公司进行评估，相关信息详见 Zoom 的安全认证和证明，这些内容可供客户在 [Zoom 的信任中心](https://www.zoom.com/en/trust/legal-compliance/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236).

## **安全评估**

Zoom 拥有专门的进攻性安全团队，在 Zoom 平台上持续开展漏洞研究和红队演练，包括针对 Zoom AI 功能。除 Zoom 的专门进攻性安全团队外，还会由独立第三方至少每年执行一次渗透测试。

## **漏洞披露计划**

Zoom 认为，独立安全研究社区可以为 Zoom 产品的安全提供关键贡献。Zoom 设有一个 [漏洞披露计划](https://www.zoom.com/en/trust/vulnerability-disclosure/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236) 以及通过 HackerOne 运行的漏洞报告奖励计划，激励安全研究人员负责任地报告潜在安全漏洞，以便 Zoom 进行修复并保障用户安全。

## **合规性认证**

Zoom 的 AI 功能遵循与其所嵌入的主要 Zoom 产品相同的安全和合规性要求，Zoom Workplace（此前名为 AI Companion）中的关键 Zoom AI 功能已通过 ISO 27001、ISO 27701 和 ISO 27017/18 认证，并纳入 Zoom 的 SOC 2 报告范围内，可在 [Zoom 的信任中心](https://www.zoom.com/en/trust/legal-compliance/?ampDeviceId=bb815bd9-9fc2-43c5-8323-028b2011295a\&ampSessionId=1777925804236).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://library.zoom.com/technical-library/zh/ai/ai-whitepaper/security-framework.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.