技术安全保障制度

本制度包含网络安全保障、信息安全保密管理、用户信息安全管理三大方面，全面落实《网络安全法》、行政指导文件技术安全硬性要求，实现平台内容 7×24小时实时监管、违规内容即时处置、数据全程留痕。

一 网站安全保障措施

• 部署安全设施：部署 Web 应用防火墙、DDoS 高防、入侵检测系统、主机安全防护等安全设施；
• 7×24 小时安全监控：建立 7×24 小时安全监控机制，每月开展漏洞扫描，每季度开展一次渗透测试；
• HTTPS 加密传输：全站强制启用 HTTPS 加密传输，保障用户、内容数据传输安全；
• 境内服务器部署：所有服务器部署境内阿里云，无境外服务器存储用户、业务数据。

二 信息安全保密管理措施

1 保密组织管理架构

公司设立信息安全保密管理小组：

成立由技术负责人为组长的信息安全保密管理小组，对用户信息、公司核心数据分类分级管理。

2 信息安全保密管理

三 用户信息安全管理措施

1 信息收集原则

平台在收集用户个人信息时，遵循以下四项基本准则：

• 合法性与正当性：仅收集与服务直接相关、实现功能必需的信息，不超范围获取、不强制收集非必要信息；
• 收集前明确告知：以清晰显著弹窗、《隐私政策》公示收集目的、使用范围、存储时长；用户自愿授权：未经明确同意，不收集、使用或向第三方提供个人信息；
• 用户自愿授权：未经用户明确勾选同意，不收集、使用或向第三方提供个人信息；未成年人信息收集必须取得监护人同意；
• 最小化收集：坚持够用即止，仅收集必需的最少信息，用户拒绝非必要信息收集不影响基础服务使用。

2 信息安全保护措施

• 数据加密存储：敏感信息采用AES-256算法加密，密钥与数据分系统管理；
• 界面脱敏展示：手机号、身份证号等敏感字段部分隐藏展示；
• 传输通道加密：全程启用 TLS 加密协议，防止数据传输截获、篡改；
• 权限访问控制：按岗位授予最小必要权限，无关人员无权查看用户敏感信息；
• 操作日志与审计：所有用户信息查看、导出操作自动记录，每月开展安全审计排查异常访问。

3 用户个人信息五项权利保障

4 信息泄漏事件应急响应

• 发现后2小时内：启动预案，成立应急小组，暂停相关权限，防止扩大；
• 发现后4小时内：完成初步排查，确定性质、范围、原因及影响用户数；
• 发现后12小时内：通过短信、站内信通知受影响用户，提示防范措施；
• 发现后24小时内：按规定向网信、公安、文旅监管部门书面报告，配合调查取证；
• 发现后72小时内：完成系统漏洞修复、服务器全面加固，形成事件复盘报告归档。