Siemens 網路安全常見問題
請閱讀我們的網路安全常見問題，了解 Siemens Digital Industries Software (DI SW) 對其系統安全性所採取的各項措施。
存取控制
是。預設情況下，我們雲端服務中的資料無任何存取權限。客戶管理員將授予或移除使用者的存取權。
在 Siemens Digital Industry Software (Siemens) 內部，我們每季審核雲端帳戶的最低權限存取。此模式包括職責分離、「知其所需」原則，以及所有存取請求的申請與審核流程。
生產雲端環境存取透過一組指定的存取點進行控制，且僅限於具有特權的特定團隊成員。使用者須透過公司憑證並搭配硬體多因素驗證 (MFA) 進行存取點驗證，具體要求視生產資產之所在地點而定。密碼及雙因素驗證用於存取網路裝置。這些驗證機制根據工作職責僅限於經授權的個人和系統程序使用，並會定期變更。
適用的存取控制要求亦包括使用者存取管理、特權存取、存取審核、多因素驗證，以及密碼過期、長度、鎖定和複雜度，同時包括註冊與註銷流程、存取限制、憑證最佳實踐，以及使用者存取權限審核的要求。
是。Siemens 設施部門負責評估我們的實體地點、實施實體安全措施，並根據需要定期調整這些措施。辦公大樓、資料中心及其他 Siemens 地點皆已實施實體存取控制機制（例如識別證、受控接待處、攝影機、存取記錄）。
認證與標準
我們維護多種資訊安全認證，包括 ISO 27001/17/18、SOC2、TISAX、雲端安全聯盟 (CSA) STAR 第一級 CAIQ 以及 Cyber Essentials Plus。
如需詳細資訊，請參閱「System Certificates」（系統憑證）頁面。
我們已實施並持續監控 NIST SP 800-53 中的大量控制措施，且我們的指南與 ISO 27001 和 SOC 2 合規框架保持一致。
資料隱私
是。我們已根據資料保護原則實施技術與組織措施 (TOM)，以保護我們的系統、符合 GDPR 要求並保護資料當事人的權利。
有關 Siemens TOM 的詳情，請參閱《資料隱私條款》附件二。
處理資料當事人權利的程序詳見我們的《資料隱私條款》第 10 條，該條描述了如何依據 GDPR 處理資料當事人權利。通常情況下，若 Siemens 收到資料當事人行使其權利（如：存取、更正、刪除或限制處理之權利）的請求，Siemens 將在不無故拖延的情況下通知客戶。Siemens 隨後將協助客戶採取技術與組織措施，以履行其回應此類請求並遵守適用資料保護法的義務。
請參閱資料隱私條款。
開發實踐
在實施新技術時，您的組織是否擁有結構化的「設計/預設之資料保護」方法？您如何使資料保護成為處理系統和服務核心功能的必要組成部分？
是。對於 Siemens 而言，「隱私設計」意指在開發我們的產品與服務時，已考慮到合法性、透明度、資訊自決權、資料經濟與資料安全。因此，隱私設計概念已整合到我們適用的產品開發流程中。
是。我們已為軟體開發和原始程式碼存放庫建立指南與要求，其中包括整個軟體與服務開發生命週期的安全性指南。這些指南涵蓋了多項主題，例如：於經核准的存放庫中維護原始程式碼（包括記錄與監控）、針對軟體工程師與程式分析師實施安全開發訓練，以及對安全開發、測試與營運環境的各項要求。
我們的編碼實務直接依循開放全球應用程式安全計畫 (OWASP) 標準。我們實施安全測試（如滲透、靜態及/或動態分析）組合，以識別 OWASP「前十大」Web 應用程式安全風險與相關問題。我們發現的任何關鍵問題會儘快得到解決，而次要問題通常會在未來版本中得到解決。
資料保護
是。傳輸中的雲端資料與靜態資料（包括備份）皆經過加密。
是。我們的員工每年必須接受安全意識訓練。訓練主題包括程式與工具的安全使用、網路釣魚方法、密碼安全與多因素驗證、資訊分類、行動/居家辦公安全、安全通訊等。
是。保密事項已包含在《Siemens 公司指令》中，每位員工在聘僱協議中皆同意遵守。我們與夥伴及廠商的協議也包含保密義務，並執行《Siemens 商業夥伴規則》，其中定義了機密資訊的正確處理方式。
營運持續與災難復原
是。我們的正常運行時間 SLA 各不相同，具體取決於適用於對應雲端服務的服務層級等級。
標準級別 = 98%
增強級別 = 99.5%
最高級別 = 99.95％
（增強與最高可用性可能不適用於所有雲端服務）
有關詳細資訊，請參閱雲端支援與服務層級架構（雲端 SLA）。
是，透過我們的 Gold 支援服務層級提供。
查看我們的雲端支援與服務層級架構（雲端 SLA）了解有關詳細資訊。
是。除非支援中心另有規定，否則雲端服務在各服務區域每週皆有預定維護時段，如下所示：
- 美洲：美東時間 (GMT -4) 週六凌晨 1:00 至週一凌晨 3:00
- 歐洲、中東及非洲：歐洲中部時間 (GMT +2) 週六凌晨 1:00 至週一凌晨 3:00
- 亞太地區：日本標準時間 (GMT +9) 週六凌晨 1:00 至週一凌晨 3:00
客戶可在我們的支援中心訂閱通知，以便在預定停機時自動獲得通知。
是，我們會備份透過雲端服務代管的客戶資料。所有依據標準服務等級提供的雲端服務，皆會進行每日備份（保留兩週）以及每月備份（保留三個月）。所有物件資料皆遵循與原始資料相同的存取及加密流程，備份至與原始資料相同地理區域的次要系統帳戶/資料中心。
如欲了解更多關於資料保留以及 Siemens「增強級別」和「最高級別」方案（可用性視產品而異）的資訊，請參閱《雲端支援與服務層級架構》（「雲端 SLA」）第 3.1 節。
是。我們實施資訊安全管理流程、標準和所有權要求，以在不利情況下維持業務運作。
備份資料還原程序每年至少進行一次測試，並納入內部與外部稽核流程進行審核。
Trustworthy and Secure AI
At Siemens, trustworthy and secure AI means applying governance, security, privacy, transparency, and risk management practices throughout the AI lifecycle to support the responsible and secure development, deployment, and use of AI.
Siemens applies risk-based security, privacy, and data protection controls to AI-enabled products and services. These controls include access management, monitoring, logging, testing, data governance and processes for identifying and managing AI-related security risks. Our shared-responsibility approach promotes accountability, human oversight, and coordination across key functions, including supply chain, product management, quality management, security, legal and compliance.
Siemens evaluates applicable legal, regulatory, contractual and security requirements and incorporates relevant transparency, documentation, security and compliance obligations into AI governance and product lifecycle processes.
Siemens uses defined governance and risk management practices based on shared responsibility, clear ownership, accountability, appropriate human oversight, and coordination across supply chain management, product, security, privacy, legal and compliance teams.
Siemens provides information about AI-enabled functionality so customers can understand, select and responsibly use AI capabilities.
Product-specific information about AI functionality and applicable terms are available in product documentation at the Siemens Digital Industries Software Customer Center and supporting Siemens Trust Center resources.