Siemens 網路安全常見問題
請閱讀我們的網路安全常見問題，了解 Siemens Digital Industries Software (DI SW) 對其系統安全性所採取的各項措施。
存取控制
是。預設情況下，我們雲端服務中的資料無任何存取權限。客戶管理員將授予或移除使用者的存取權。
在 Siemens Digital Industry Software (Siemens) 內部，我們每季審核雲端帳戶的最低權限存取。此模式包括職責分離、「知其所需」原則，以及所有存取請求的申請與審核流程。
生產雲端環境存取透過一組指定的存取點進行控制，且僅限於具有特權的特定團隊成員。使用者須透過公司憑證並搭配硬體多因素驗證 (MFA) 進行存取點驗證，具體要求視生產資產之所在地點而定。密碼及雙因素驗證用於存取網路裝置。這些驗證機制根據工作職責僅限於經授權的個人和系統程序使用，並會定期變更。
適用的存取控制要求亦包括使用者存取管理、特權存取、存取審核、多因素驗證，以及密碼過期、長度、鎖定和複雜度，同時包括註冊與註銷流程、存取限制、憑證最佳實踐，以及使用者存取權限審核的要求。
是。Siemens 設施部門負責評估我們的實體地點、實施實體安全措施，並根據需要定期調整這些措施。辦公大樓、資料中心及其他 Siemens 地點皆已實施實體存取控制機制（例如識別證、受控接待處、攝影機、存取記錄）。
認證與標準
我們維護多種資訊安全認證，包括 ISO 27001/17/18、SOC2、TISAX、雲端安全聯盟 (CSA) STAR 第一級 CAIQ 以及 Cyber Essentials Plus。
如需詳細資訊，請參閱「System Certificates」（系統憑證）頁面。
我們已實施並持續監控 NIST SP 800-53 中的大量控制措施，且我們的指南與 ISO 27001 和 SOC 2 合規框架保持一致。
資料隱私
是。我們已根據資料保護原則實施技術與組織措施 (TOM)，以保護我們的系統、符合 GDPR 要求並保護資料當事人的權利。
有關 Siemens TOM 的詳情，請參閱《資料隱私條款》附件二。
處理資料當事人權利的程序詳見我們的《資料隱私條款》第 10 條，該條描述了如何依據 GDPR 處理資料當事人權利。通常情況下，若 Siemens 收到資料當事人行使其權利（如：存取、更正、刪除或限制處理之權利）的請求，Siemens 將在不無故拖延的情況下通知客戶。Siemens 隨後將協助客戶採取技術與組織措施，以履行其回應此類請求並遵守適用資料保護法的義務。
請參閱資料隱私條款。
開發實踐
在實施新技術時，您的組織是否擁有結構化的「設計/預設之資料保護」方法？您如何使資料保護成為處理系統和服務核心功能的必要組成部分？
是。對於 Siemens 而言，「隱私設計」意指在開發我們的產品與服務時，已考慮到合法性、透明度、資訊自決權、資料經濟與資料安全。因此，隱私設計概念已整合到我們適用的產品開發流程中。
是。我們已為軟體開發和原始程式碼存放庫建立指南與要求，其中包括整個軟體與服務開發生命週期的安全性指南。這些指南涵蓋了多項主題，例如：於經核准的存放庫中維護原始程式碼（包括記錄與監控）、針對軟體工程師與程式分析師實施安全開發訓練，以及對安全開發、測試與營運環境的各項要求。
我們的編碼實務直接依循開放全球應用程式安全計畫 (OWASP) 標準。我們實施安全測試（如滲透、靜態及/或動態分析）組合，以識別 OWASP「前十大」Web 應用程式安全風險與相關問題。我們發現的任何關鍵問題會儘快得到解決，而次要問題通常會在未來版本中得到解決。
資料保護
是。傳輸中的雲端資料與靜態資料（包括備份）皆經過加密。
是。我們的員工每年必須接受安全意識訓練。訓練主題包括程式與工具的安全使用、網路釣魚方法、密碼安全與多因素驗證、資訊分類、行動/居家辦公安全、安全通訊等。
是。保密事項已包含在《Siemens 公司指令》中，每位員工在聘僱協議中皆同意遵守。我們與夥伴及廠商的協議也包含保密義務，並執行《Siemens 商業夥伴規則》，其中定義了機密資訊的正確處理方式。
營運持續與災難復原
是。我們的正常運行時間 SLA 各不相同，具體取決於適用於對應雲端服務的服務層級等級。
標準級別 = 98%
增強級別 = 99.5%
最高級別 = 99.95％
（增強與最高可用性可能不適用於所有雲端服務）
有關詳細資訊，請參閱雲端支援與服務層級架構（雲端 SLA）。
是，透過我們的 Gold 支援服務層級提供。
查看我們的雲端支援與服務層級架構（雲端 SLA）了解有關詳細資訊。
是。除非支援中心另有規定，否則雲端服務在各服務區域每週皆有預定維護時段，如下所示：
- 美洲：美東時間 (GMT -4) 週六凌晨 1:00 至週一凌晨 3:00
- 歐洲、中東及非洲：歐洲中部時間 (GMT +2) 週六凌晨 1:00 至週一凌晨 3:00
- 亞太地區：日本標準時間 (GMT +9) 週六凌晨 1:00 至週一凌晨 3:00
客戶可在我們的支援中心訂閱通知，以便在預定停機時自動獲得通知。
是，我們會備份透過雲端服務代管的客戶資料。所有依據標準服務等級提供的雲端服務，皆會進行每日備份（保留兩週）以及每月備份（保留三個月）。所有物件資料皆遵循與原始資料相同的存取及加密流程，備份至與原始資料相同地理區域的次要系統帳戶/資料中心。
如欲了解更多關於資料保留以及 Siemens「增強級別」和「最高級別」方案（可用性視產品而異）的資訊，請參閱《雲端支援與服務層級架構》（「雲端 SLA」）第 3.1 節。
是。我們實施資訊安全管理流程、標準和所有權要求，以在不利情況下維持業務運作。
備份資料還原程序每年至少進行一次測試，並納入內部與外部稽核流程進行審核。