此翻译仅为方便起见。英文版本是具有法律约束力的文本。 查看英文版本

安全事件响应与呈报

本页面由 Georithm 维护，旨在解释我们在怀疑或确认发生安全事件时所遵循的流程、我们努力达成的响应目标，以及如果您未收到内部回复时如何联系我们或进行呈报。本文件描述了我们在公开测试（public beta）期间的自身实践；它并非独立的审计、认证，亦非对任何特定结果的保证。

Version
v1.0
Last updated
29 July 2026

安全事件是指我们认为会损害或可靠地威胁到 Georithm 服务或其中所保存数据的机密性、完整性或可用性的任何事件。

这包括怀疑未经授权访问账户或数据、绕过我们的访问控制或方案权限、支付或 Webhook 异常以及凭据泄露。

Georithm 目前处于公开测试阶段。我们发布此流程是为了让客户和安全研究人员了解预期情况，并确保我们的团队每次都遵循相同的步骤。

请发送电子邮件至 jerogz@georithm.info，并提供尽可能详尽的细节。请勿就安全事务使用一般支持渠道，并请在给予我们合理的响应机会之前，不要公开发布相关细节。

一份有用的报告应包括：

  • 事件的单行摘要
  • 受影响的 URL、页面或端点
  • 重现步骤
  • 您认为该问题产生的影响
  • 您观察到该问题的时间（UTC）
  • 用于后续跟进的联系地址

请仅报告标识符 —— 切勿向我们发送他人的数据副本。登录客户也可以在“设置”中的“安全联系与呈报”下找到这些联系方式。

我们将每份报告和内部信号划分为四个级别之一，以此设定我们的响应目标。

  • P1 — 紧急 (Critical)：已确认或极高概率的客户数据泄露、账户接管、流量欺诈或已认证产品的全面停机。全天候 15 分钟内确认，至少每小时更新一次直到事件得到遏制。
  • P2 — 高 (High)：尚无确认数据丢失的可利用弱点，或 MFA、速率限制、权限执行等安全控制功能降级。4 个工作小时内确认，每日更新。
  • P3 — 中 (Medium)：影响有限或前提条件不太可能达成的安全相关缺陷。2 个工作日内确认，每周更新。
  • P4 — 低或信息性 (Low or informational)：加固建议和尚未证明存在利用路径的发现。5 个工作日内确认并记录在我们的待办事项中。

这些是我们努力达成的目标。它们是对流程和努力的承诺，而非合同保证，我们可能会随着对事件了解的深入而重新分类。

  1. 检测与报告。信号来自我们的内部安全监控、自动化安全回归套件、支付服务商或各界用户。在进行任何更改前都会捕获证据。
  2. 分选与分类。我们指定一名事件指挥官负责决策和沟通，分配严重性级别，并开启记录运行时间线的事件档案。
  3. 遏制。在查找根本原因之前先制止影响：撤销会话、禁用受影响的账户或角色、收紧访问规则，以及轮换任何可能泄露的凭据。
  4. 根除与恢复。我们修复根本原因，添加回归测试以便自动检查同类问题，重新运行完整的安全回归套件，并恢复正常服务。
  5. 通知。我们评估个人数据是否受到影响，并通知需要知情的个人和组织。
  6. 复盘。在事件解决后的五个工作日内，我们进行不追究责任的审查，并将发现的结果转化为可追踪的行动。

如果我们确定事件影响了您的账户或数据，我们将通过您账户中的电子邮件地址与您联系。

我们的通知旨在告知您：发生了什么、涉及哪些数据、我们已采取的处理措施、我们的建议措施，以及如何就疑问联系我们。对于我们尚不清楚的情况，我们会如实说明，而非进行猜测。

在可能发生个人数据泄露的情况下，我们按照隐私政策和 GDPR 公告中描述的通知时限开展工作，包括在可行的情况下且不无故拖延地在获悉后 72 小时内通知相关监管机构。若 Georithm 作为商业客户的处理者（processor），则适用我们《数据处理协议》中的通知条款。

如果您报告了问题但在上述确认时限内未收到回复，您可以进行呈报：

  1. 回复您发向 jerogz@georithm.info 的原始邮件，并引用您首次发送的时间。
  2. 发送电子邮件至 jerogz@georithm.info，说明原始报告情况，以便直接联系负责的所有者。
  3. 对于涉及个人数据的任何事宜，请抄送至 jerogz@georithm.info，以确保隐私合规人参与其中。
  4. 如果您对我们处理隐私事务的方式有疑虑，您保留随时向您的数据保护机构反映问题的权利，正如我们的 GDPR 公告中所述。

我们欢迎遵循《安全披露政策》规定所进行的善意安全研究。简而言之：使用您自己的测试账户，不要访问或窃取属于他人的数据，不要降低其他用户的服务质量，如果获得意外访问权请立即停止，并在发布前给我们留出合理的修复窗口。

我们目前不运营有偿漏洞赏金计划。如果您愿意，我们乐于对负责任报告的研究人员进行致谢。

整体服务的安全性是共同承担的。

  • Georithm 负责应用程序及其访问控制、监控和此响应流程。
  • 我们的平台提供商 负责其运营的基础设施的安全，包括我们的托管、数据库、身份验证和支付提供商。其平台内的问题应直接向其报告。
  • 您 负责确保您的凭据安全、启用多因素身份验证、管理您邀请进入账户的成员，并在怀疑账户被盗用时及时告知我们。

This document is provided as an original template for Georithm and is maintained by the account owner. It is app-owned editable content and is not legal advice or an independent certification. Replace every bracketed placeholder with your company details and have the final text reviewed by a qualified adviser before relying on it.

Feedback