数据保护法规
中国《个人信息保护法》、中国香港《个人资料（私隐）条例》、欧盟《通用数据保护条例》（GDPR）等。
- 法规要求
- 各地法规虽有不同，但核心要求大体一致：为每项处理活动确立合法性基础，保障个人的各项权利，开展影响评估，落实安全措施；越来越多的法规还要求在数小时或数日内向监管机构报告数据泄露事件。在部分国家和地区，罚款最高可达营业额的一定比例。
- CPSID 的做法
- 将个人权利请求、影响评估、数据泄露处置和个人信息保护负责人的工作集中在一处，每项证据都与适用于您的法规相对应。
CPSID · Purple Team
网络安全、数据保护、数据主权与数据智能
网络安全与数据保护，集于一体。
CPSID 将防御、攻击验证、隐私、数据主权与数据智能整合到同一平台。Purple Team 方法通过共同的控制措施、负责人和证据，将首席信息安全官与数据保护官联系起来。
CPSID 为您带来的价值。
事件发生时快速响应，全天候持续监控，证据随时可提交主管机关和审计师。
重大事件响应
自通知 CPSID 起计算。
CPSID 响应团队接手事件并开始处置。
遏制事件，阻止其继续扩散。
说明发生了什么、影响范围及相关证据，可直接提交管理层和主管机关。
持续监控
平台不间断监控网络、终端、WAF 和云环境，并向您的团队发出告警。
法定时限尽在掌控
这是法规通常要求的数据泄露通报时限。CPSID 为每项时限计时，并备好附证据的通报材料。
一份证据，满足所有法规
一次证明，即可满足所有相关法规和标准的要求，减少每次审计中的重复工作。
数字取证
CPSID 取证团队采集并分析事件证据，全程保持监管链。
预评估
明确自身现状和优先整改事项：对照适用法规，按风险对差距排序。
合同保障的可用性
CPSID 在服务合同中对平台可用性作出承诺。
重大事件响应时间以服务合同为准。全天候监控由平台完成；CPSID 响应团队自接到通知起开展行动。
无论身在哪个国家，法律都已提出要求。
数据保护、网络安全和人工智能在全球许多国家和地区都已纳入监管。了解自身的成熟度并能够加以证明，已不再只是最佳实践，而是有期限、有罚则的法定义务。
高级网络安全
中国《网络安全法》《数据安全法》、欧盟 NIS2 指令、NIST CSF 2.0 和 ISO/IEC 27001 等。
- 法规要求
- 由管理层对网络安全风险管理负责，检测并响应安全事件，并在越来越短的时限内向主管部门报告，有时只有数小时。
- CPSID 的做法
- 将安全运营、威胁情报、漏洞管理和事件响应建立在同一套控制措施之上，并备好附有证据的监管报告。
人工智能安全
欧盟《人工智能法》、ISO/IEC 42001 和 NIST《人工智能风险管理框架》。
- 法规要求
- 掌握组织使用了哪些人工智能系统，评估其风险，保护用于训练和运行的数据，并对其决策保持人类监督。
- CPSID 的做法
- 实施专门针对人工智能的控制措施，维护已批准模型清单，并检测未经授权的人工智能使用。
平台上的每项控制措施都已映射到要求实施该措施的法规和标准。您只需证明一次，即可在开展业务的每个国家和地区满足每一部法规的要求，范围涵盖中国、欧盟、美国、拉丁美洲、巴西和沙特阿拉伯等地。
一个平台，连接安全与数据。
将检测、响应和安全验证与数据保护、主权、治理和智能相结合。安全官、数据保护官、技术团队和审计人员共享控制措施和证据。
个人信息保护
将数据保护法规的各项要求集中在一处，并与每项控制措施的证据相关联。
- 含数据血缘的个人信息处理活动记录
- 带处理时限的个人权利请求，以及带身份验证的公共门户
- 与每项处理活动关联的影响评估
- 跨境数据传输地图
文档生成
依据经过核实的组织数据，生成政策、程序和评估报告。无法核实的内容一律标记为待确认，绝不凭空编造。
- 填补审计中发现的每一项文档缺口
- 带数字指纹（哈希）和质量检查的文档版本
- 法定人数审批与一次性验证码签署
- 导出为 Word、PDF 和 Excel 格式
内嵌人工智能
智能助手可回答与您的合规体系相关的问题，并注明来源、置信度和尚缺的数据，还可基于本地模型运行。人工智能负责提出建议，审批和签署则由人来完成。
- 基于您自有数据、可验证的回答
- 按您所在行业定制的文档
- 依据 OWASP《大语言模型应用十大风险》开展模型安全测试
人工智能中的数据保护（DLP）
发现团队未经批准使用的人工智能工具和 SaaS 应用，并在平台内置的人工智能中保护敏感数据。
- 未经批准的人工智能和 SaaS 使用（影子 AI 与影子 IT）
- 拦截、匿名化和脱敏规则
- 附审批状态的人工智能模型清单
资产与身份发现
发现您拥有的每台设备、每项云资源和每个服务，并与资产清单进行比对。
- 适用于 Windows、Linux、macOS 和 Kubernetes 的可安装探针
- 覆盖 AWS、Azure、Google Cloud、Oracle Cloud 等云平台的资源清单
- 与网络实际发现结果比对的资产清单（CMDB）
- 权限过高、孤儿或闲置的账户，可在同一界面直接撤销
第三方风险管理（TPRM）
对供应商进行分类、评估其风险，并通过专属门户收集证据，同时开展审核和定期复评。
- 可通过一次性链接提交证据的供应商门户
- 按供应商和服务呈现风险评分与集中度
- 证据经审核后方予批准
- 定期复评，可自动创建风险条目、法务事项和连续性计划
风险、控制与成熟度
自有且可版本化管理的风险方法论、控制措施及其缺口，以及各领域成熟度与目标的对比。
- 5×5 风险矩阵，含固有风险与残余风险
- 可配置、可版本化管理的评分标准和矩阵
- 即将到期的证据及其监管链
- 按领域呈现成熟度、与目标的差距及趋势
检测与安全运营中心（SOC）
告警在哪里积压，每个传感器覆盖哪些范围，哪些威胁得到了多个来源的确认。
- 告警漏斗与检测覆盖率
- 经网络、终端和 WAF 多个传感器共同确认的告警
- 带测试和漂移跟踪的检测规则
- 威胁狩猎，以及经真实事件验证的诱饵
事件响应
从立案、遏制到向主管机关报告，每项行动都经过审批并留有记录。
- 包含受影响资产和时间线的 CSIRT 案件
- 通过探针下发的签名遏制指令和 SOAR 剧本
- 每起泄露事件对数据和处理活动的影响范围
- 掌控向主管机关通报的时限
漏洞管理与安全工程
根据真实的漏洞利用情况确定优先修复项，并在系统上线前识别其面临的威胁。
- 依据 CVSS、EPSS 和 KEV 目录确定优先级
- 将已安装软件与 NVD 数据库比对
- 软件供应链图谱（SBOM）
- STRIDE 威胁建模与攻击图
业务连续性
将实际达到的恢复能力与承诺的目标进行对比。
- 对照 RTO 和 RPO 目标的已验证恢复能力
- 业务影响分析（BIA）
- 启动步骤、版本管理和演练
- 备份矩阵与依赖关系图
治理、报告与培训
委员会及其会议纪要和决议、基于实时数据的报告，以及与每个人角色相匹配的培训。
- 委员会、会议纪要和决议，支持电子签名
- 基于实时数据、带完整性校验的 PDF 报告
- 按角色设置、含测评和可验证证书的培训学院
每位负责人，都有专属视图。
每个人都基于同一套数据，看到各自需要决定的事项：审计师审查的，正是团队实际执行的。
高层管理者
对照风险偏好查看残余风险，掌握待委员会决策的事项，并获取提交董事会的执行摘要报告。
- 超出风险偏好和容忍度的风险
- 附建议处置方式及不作为代价的委员会决策
- 提交董事会的执行摘要报告
- 委员会、会议纪要和决议，明确负责人与期限
各部门负责人
明确每项控制措施、流程、审计发现和风险由谁负责，哪些整改任务正在进行，哪些已经逾期。
- 按控制措施、证据、审计发现和风险划分的责任矩阵（RASCI）
- 带优先级、截止日期和逾期提醒的整改任务
- 关键流程及其负责人和下次审查日期
- 尚无行动计划的审计发现
数据保护官（DPO）
集中呈现个人信息处理活动记录（含合法性基础、保存期限和数据血缘）、影响评估、个人权利请求及其处理时限，以及待通知的数据泄露事件。
- 个人信息处理活动记录
- 个人信息保护影响评估（DPIA）
- 面向公众、带身份验证的个人权利请求门户
- 个人信息泄露事件处置
首席信息安全官（CISO）
在一个仪表板上集中呈现安全态势、残余风险、重大安全事件、法律风险敞口、高风险第三方和攻击面，并内置检测与响应能力。
- 基于网络、终端和 WAF 传感器关联分析的 SOC
- CSIRT 及经审批和审计的响应措施
- 适用于 Windows、Linux、macOS 和 Kubernetes 的发现探针
首席技术官（CTO）
将漏洞、云配置、逾期补丁和供应商依赖汇总为一项决策：根据不作为的代价，确定哪些问题应优先修复。
- 按优先级修复关键服务中的问题
- 按能力对比当前成熟度与目标成熟度
- 按供应商呈现供应链集中度
- 含里程碑和交付物的审计路线图
内部审计
端到端的审计计划：逐项审查控制措施及其证据，开展同行评审，并在报告定稿前进行质量把关。
- 含甘特图、关键路径以及基线与实际对比的审计计划
- 审查控制措施和证据，并为每项缺口生成文档
- 结项前的同行评审与质量把关
- 附执行摘要的 PDF 报告
外部审计师
独立于平台的专用门户：审计师只能在约定期限内查看与其共享的证据，每次访问都有记录。
- 仅限受邀访问，需密码和一次性验证码
- 设有效期和下载次数上限的证据包
- 带有查阅者身份水印的文档
- 链式、可验证的访问日志
从不确定到有据可依，只需四步。
预评估
我们对照真正适用于您的法规，逐项核查控制措施，衡量您在数据保护、网络安全和人工智能安全方面的成熟度。
差距优先级排序
明确缺少什么、每项差距的风险有多大，以及按什么顺序弥补最合适。
以证据驱动运营
控制措施、测试、文档和证据在平台上持续更新，每一项都有负责人和日期。
向主管部门报告
按时向主管部门报告数据泄露和安全事件，并以证据支撑每一次响应。
先弄清您的现状。
在预评估中，我们衡量您在数据保护、网络安全和人工智能安全方面的成熟度，并按风险高低列出您的差距。
- 办公地点
- 智利瓦尔帕莱索