组织与合规
信息安全如何组织 Mendix?
Mendix 已根据 ISO/IEC 27001:2022 标准实施了信息安全管理体系 (ISMS)。该 ISO 标准的基础是制定和实施严格的安全计划，其中包括制定和实施 ISMS，并要求 Mendix 做以下事情：
- 系统地评估我们的信息安全风险，同时考虑威胁和漏洞的影响
- 设计和实施一套全面的信息安全控制措施和其他形式的风险处理措施来应对安全风险
- 利用总体管理流程确保信息安全控制持续满足我们的需求
哪些第三方安全认证和保证报告 Mendix 有？
Mendix 符合各种第三方安全认证和保证报告。这些内容如下所述。
ISO认证22301
Mendix 经认证符合 ISO 22301 标准。ISO 22301 是业务连续性管理的一项重要国际标准，旨在帮助组织预防、准备、应对和恢复意外和破坏性事件。
ISO/IEC 27001:2022 认证
Mendix 经认证符合 ISO / IEC 27001：2022 标准涵盖附件 A 中的所有控制措施。ISO/IEC 27001:2022 是安全管理的重要国际标准，规定了安全管理最佳实践和全面的安全控制措施。
ISO/IEC 27017 认证
Mendix 经认证符合 ISO/IEC 27017 标准，且涵盖附件 A 中的所有控制措施。ISO/IEC 27017 是云服务信息安全控制行为准则的重要国际标准。
ISO/IEC 27018 认证
Mendix 经认证符合 ISO / IEC 27018 标准涵盖附件 A 中的所有控制措施。ISO/IEC 27018 是作为 PII 处理器的公共云中个人身份信息 (PII) 保护行为准则的重要国际标准。
ISO认证27701
Mendix 经认证符合 ISO / IEC 27701 标准涵盖所有附件 A 和附件 B 控制措施。ISO/IEC 27701 是隐私管理的重要国际标准，它规定了隐私相关要求，并为 PII 控制者和 PII 处理者提供指导，帮助他们承担 PII 处理的责任和义务
ISO认证9001
Mendix 经认证符合 ISO 9001 标准。ISO 9001 是质量管理的重要国际标准，它以一系列质量管理原则为基础，包括高度重视客户、高层管理人员的激励和指导、过程方法和持续改进。
NEN 7510 认证
Mendix 经认证符合 嫩7510 标准，所有附件 A 控制均在范围内。NEN 7510 是荷兰医疗保健认证，它提供了基于 ISO/IEC 27001:2022 和 ISO/IEC 27002 标准的框架，以保护医疗保健组织及其处理器。
ISAE 3000 Type II 和 ISAE 3402 Type II 保证报告
ISAE 3000 和 ISAE 3402 是针对服务机构控制的国际保证标准。 Mendix 持有 ISAE 3000 Type II 和 ISAE 3402 Type II 报告，其中披露了 Mendix 过去一年来，安全控制工作一直得到管理。
SOC 1 类型 II 和 SOC 2 类型 II 鉴证报告
SOC 1 和 SOC 2 是美国针对服务机构控制的保证标准。 Mendix 持有 SOC 1 类型 II 报告和 SOC 2 类型 II 报告，披露如何 Mendix 过去一年来，安全控制工作一直得到管理。
PCI DSS V4 1 级服务提供商合规证明
Mendix 经认证符合 PCI DSS 标准为 1 级服务提供商，这是 PCI DSS 服务提供商可以获得的最高认证。
HIPAA
Mendix 证明符合 HIPAA。1996 年《健康保险流通与责任法案》（HIPAA）要求美国卫生与公众服务部（HHS）部长制定法规，保护某些健康信息的隐私和安全。
Cyber Essentials（英国）
Mendix 经认证符合 网络基础。Cyber Essentials 计划针对最常见的基于互联网的网络安全威胁。有关更多详细信息，请参阅 更多计划信息.
CSA STAR 认证
CSA之星 是云端安全保障计划。STAR 包含三个保障级别，基于全面的云控制目标列表。
Mendix 已完成 CSA STAR 一级自我评估，可根据要求提供。
FSQS 及 FSQS-NL
Mendix 经认证符合 质量标准金融服务资格体系 (FSQS) 是一个由银行、建筑协会、保险公司和投资服务机构等金融机构组成的社区，这些机构正在合作商定一个单一标准，以管理日益复杂的第三方和第四方信息，以证明符合监管机构、政策和治理控制的要求。
ENS
Mendix is 国家安全局 (ENS) 高级认证。该认证制定了适用于西班牙所有政府机构和公共组织以及公共服务所依赖的服务提供商的安全标准。ENS 认证计划由财政和公共管理部和国家密码中心 (CCN) 制定。该计划包括充分保护信息所需的基本原则和最低要求。要获得 ENS 高级认证， Mendix 已成功通过经认可的独立评估师的审计。
安全控制的作用是什么 Mendix 为员工制定了哪些政策？
全部 Mendix 员工必须提供政府认证的背景调查（良好行为证明），并受保密协议中规定的严格保密义务的约束。此外， Mendix 已经为所有员工实施了安全意识计划。 Mendix 安全和隐私人员拥有行业标准认证，包括但不限于 CISSP、CCSP、CIPP/E、CDPSE 和 CISM。
谁是数据所有者 Mendix 应用程序？
- Mendix 客户拥有其数据和知识产权的所有权 Mendix 应用程序，如所述 Mendix 主协议和最终用户协议。
欲了解更多信息，请参阅 导出您的数据 in 没有供应商锁定.
谁有权访问我的数据？
所有对客户数据的访问均在客户的控制之下。 Mendix 行政控制严格禁止此类人员进入，并且只有在客户明确批准后才有权进入。
多频繁 Mendix 进行风险评估？
根据要求 Mendix ISO/IEC 27001:2022 认证，风险评估至少每年进行一次，并在发生重大变化时进行。 Mendix 风险计划系统地检查信息安全风险，考虑到威胁、弱点和影响。
儿童在 Mendix 合同终止后可以安全地擦除我的数据吗？
合同终止后，所有适用的应用环境都将被安全销毁，包括备份。
儿童在 Mendix 有灾难恢复计划吗？
灾难恢复和业务连续性是 Mendix 安全框架。为了确保灾难发生后能够恢复客户服务， Mendix 制定了灾难恢复程序。该程序每季度进行一次测试。此外， Mendix 提供灾难恢复服务，包括跨多个可用区域的高可用性、应用程序环境的水平扩展以及意外中断时的自动恢复。
欲了解更多信息 Mendix 云架构，请参阅 云架构.