FAQ——安全与托管

本页汇总安全与托管方面最常见的问题。如需详尽说明，Omniscol可应要求（视情况也可在签署保密协议后）提供以下正式文件：

• SECURITY_OVERVIEW.md——公开的总体概述，
• SECURITY_ONE_PAGER.md——面向首席信息安全官（CISO）的摘要，
• SECURITY_FULL.md——完整文档（治理、基础设施、控制措施、合规、事件响应），
• ISO27001_MAPPING.md——与ISO 27001控制项的对照，
• SSI_QUESTIONNAIRE_STANDARD.md——标准信息系统安全问卷的答复。

任何安全问题，请联系：[email protected]。

我的数据托管在哪里？

法律声明中注明，数据托管在欧盟境内，使用AWS巴黎和Scaleway。冗余、备份、保留期限和可用性的具体承诺，取决于适用于您账户的合同框架。

Omniscol符合GDPR吗？

Omniscol的设计以符合GDPR的使用方式为目标。实际表现为：

• 仅在欧盟（法国）托管。
• 各客户之间逻辑隔离：账户之间无法交叉访问。
• 不做任何用户画像，不转售数据，不对贵校的内容做任何二次使用。
• 可迁移性：可通过 下载 以JSON格式完整导出。
• 按适用的合同和法规框架处理数据主体的请求。

Omniscol通过了ISO 27001认证吗？

目前尚未认证，但相关实践与该标准的原则保持一致，并采用基于风险、持续评审的方法。控制措施的详情可在适当的合同或安全框架下提供。

密码如何保护？

Omniscol通过以下方式保护密码：

• 在客户端用scrypt预哈希——您的明文密码绝不会到达服务器。
• 服务器端以加盐哈希的形式存储。
• 明文密码从不传输，也从不存储。
• Omniscol的任何管理员都无法读取、找回或恢复用户密码。

如果怀疑账户已被盗用，修改密码会使依赖该密码的衍生访问失效，尤其是与创建者密码绑定的分享链接。

通信是否加密？

面向公众的应用访问均通过HTTPS。网络暴露的配置取决于所选的部署方式，需在相关账户的安全或合同框架下核实。

身份验证如何运作？

Omniscol的会话使用带签名、有效期有限的令牌；用户在界面中操作期间，访问权限会自动续期。

分享链接和API令牌遵循各自独立的规则：

• 分享链接可以设置到期日期，并且还依赖于创建它的账户；修改该账户的密码或停用该账户，会使相关访问失效；
• API令牌依赖于在界面中创建的密钥；删除该密钥或到达其到期日期，会使关联的令牌失效。

另请参见 分享链接 和 Omniscol API。

API：密钥与令牌

API访问在界面中管理，涉及两类可见的对象：

1. 密钥——创建时需填写标签，必要时设置到期日期。该到期日期之后可以修改。
2. 令牌——由某个密钥生成，带有一份允许访问的API端点列表和自己的到期日期。令牌的到期日期生成后无法修改；需要创建新的令牌。

最佳实践：每个集成使用一个密钥，标签清晰明确，到期时间与实际需求相符。如有疑虑，请删除该密钥并创建新的。

参见 Omniscol API。

我的用户可以使用企业账号（SSO）登录吗？

可以，通过 OIDC / SSO，前提是账户已启用该配置。Omniscol支持Google Workspace、Microsoft Entra ID以及通用的OIDC身份提供方。

用户随后使用其企业身份登录，并保留在Omniscol中配置的权限。

对恶意登录尝试有哪些防护？

• 身份验证失败的响应会被有意延迟。
• 管理界面享有更强的防护。
• Omniscol不会提示账号是否存在：提示信息始终保持笼统。

用户账户的生命周期

• 停用而不删除——被停用的账户无法再登录，但其关联的数据会被保留。
• 首次访问时强制修改——手动设置密码后，用户必须在首次登录时修改。
• 重置——管理员可以在不知道现有密码的情况下触发重置。

网络安全与运维

应要求提供的安全文件，详细说明了适用于相关账户的托管、网络隔离、数据访问规则和运维流程。

有审计日志吗？

有，前提是账户已启用日志选项及相应的保留期限。可见范围取决于被记录的操作，以及Omniscol配置的保留深度。参见 活动日志。

OWASP Top 10

Omniscol采取了与OWASP Top 10风险相对应的控制措施：访问控制、加密、输入验证、安全配置、依赖项跟踪、会话保护和日志记录。具体范围可在应要求提供的安全文件中详细说明。

自动化安全测试

自动化检查已纳入Omniscol的开发和部署流程。其范围会随产品演进；详细内容可在适当的安全框架下提供。

如何手动备份？

下载 按钮会以JSON格式下载账户的完整导出文件。请妥善保管该文件：其中包含密码哈希和全部个人数据。

发生重大事故时，可以把该文件发回Omniscol团队，用于重新导入。

如果账户已启用备份点选项，您还可以自动创建可恢复的备份点。参见 备份点。

事件历史

截至最近一次统计（2026年2月）：

• 0起客户数据泄露（累计）。
• 2025年0起安全事件。

这些数字发布在 SECURITY_ONE_PAGER.md 中，该文件每季度更新一次。