F5合规

所有新入职人员（包括员工和承包商）均须在入职时接受安全意识培训，此后每年接受一次。用户还须根据其角色和职责完成其他定期培训（如每季度、每年等）。其他培训包括安全开发生命周期培训、全球数据隐私培训、数据分类、漏洞管理、企业威胁管理、加密与凭据安全等。


适用范围：企业

F5品牌产品遵循符合行业标准（如NIST 800-53和NIST 800-218）的安全软件开发实践。我们的安全软件开发生命周期包含多项关键环节，包括但不限于：威胁建模、设计评审、代码评审、漏洞扫描、安全测试，以及对关键组件进行定期渗透测试。


适用于：企业版

是。根据相关法律、法规和合同协议，所有F5人员在入职前均须接受筛查和背景调查。筛查标准与业务要求、岗位及职责的敏感程度，以及不良背景状况可能带来的潜在风险相匹配；此类状况可能表明存在盗窃、欺诈或滥用设施的风险。如果岗位风险较高或受到较多关注，例如首席财务官，则需要开展额外调查（如信用调查），以确保相关人员适合担任该岗位。对于承包商，F5依靠与其签订合同的人员派遣机构开展背景调查。


适用于：企业

F5已实施数据丢失防护（DLP）解决方案和计划。系统会持续监控DLP的运行情况，并已制定相应流程，用于处理疑似数据丢失事件。DLP配置了相关规则，禁止未经授权将敏感信息或个人信息传输至外部网站，例如网络邮箱、博客、个人存储网站等。DLP规则会定期审核。DLP还会扫描组织内的所有电子邮件。


适用范围：企业

所有信息安全政策均每年审核一次。支持这些政策的标准、程序和操作规范也会每年审核。请注意，另有许多政策为F5的业务实践提供支持，以下列出的是最常被索取的政策。

• 移动设备政策
• 网络安全事件响应计划
• 企业可接受使用政策
• 企业云安全策略
• 企业密码控制策略
• 企业地理位置策略
• 企业身份和访问管理政策
• 企业信息安全政策
• 企业非常规数据访问策略
• 企业补丁和漏洞管理政策
• 企业远程办公安全政策
• 企业制裁政策
• 企业安全软件开发政策
• 企业数据保留政策
• 企业信息分类政策
• 企业网络政策
• F5灾难恢复计划政策

适用于：企业版

F5已制定事件管理计划，并由每年进行测试的事件响应计划提供支持。有关事件管理需求的共同责任，请参阅贵公司与F5签订的现行合同协议。

适用于：Enterprise

F5实施由政策和程序文档支持的漏洞与补丁管理计划。网络安全团队独立于开发团队，定期对新开发内容或产品发生重大变更的情况开展安全评估。至少每季度对生产网络、配套生产基础设施和服务开展一次漏洞评估，以识别潜在的安全漏洞。F5使用多种工具和服务，定期扫描内部和外部网络、代码库或存储库、应用及其他依赖项，以发现漏洞。随后，相关负责人会按照规定的服务级别协议（SLA）对这些漏洞进行分类处置和修复。SLA在相关政策和配套文档中规定，并由多项因素决定，包括但不限于行业准则和良好实践、关键程度和严重程度，以及环境因素等。F5还会利用其他行业信息来源和供应商发布的信息，识别可能影响F5的新漏洞，并采取适当措施进行分类处置和修复。

适用于：企业版

F5采用多种方法，防止未经授权连接（包括远程访问）内部系统和资源。员工如需远程访问生产环境和生产系统，必须先通过F5的企业IAM解决方案进行身份验证。该解决方案要求使用指定的用户密码和轮换软令牌进行多重身份验证。随后，用户必须通过企业VPN解决方案进行连接，该解决方案同样要求使用用户密码和轮换软令牌进行多重身份验证。身份验证后，用户将获得预设的基于角色的访问权限，并在设备上安装证书，以获得对不同系统和资源的相应访问权限。不允许使用拆分隧道。F5通过RBAC、最小权限原则、按需知悉原则和用户生命周期管理实施访问控制。

适用于：企业版

我们采用多层网络架构，在物理和逻辑层面将生产环境、DMZ和非生产环境相互隔离。请注意，公司网络图和完整的网络安全策略属于机密信息，无法对外共享。

适用于：企业版

F5的业务连续性计划以企业范围的业务影响分析（BIA）为基础。BIA用于识别关键业务领域和流程；这些领域和流程一旦中断，可能会在中断发生后的48小时内对整体业务运营、声誉和/或盈利能力造成重大影响。BIA和业务连续性计划会考虑维持持续运营所需的关键资源，以及在以下资源缺失或不可用时采取的补偿策略：设施/地点、关键人员、IT应用和第三方服务提供商。

适用于：企业

数据是指公司使用或处理的事务流、文件、数据存储、表和输出。客户数据的管理、处理和存储遵循相关数据保护法规及其他法规，并符合F5与客户或供应商签订的协议中正式规定的具体要求。

公司已部署安全的方法和协议，用于通过公共网络传输机密或敏感信息。存放敏感客户数据的数据存储已启用加密。

F5服务存储或处理的所有客户数据均视为机密信息。F5的数据分类和处理要求如下：

• 关键（机密）
• 受限
• 内部
• 公开

适用于：企业版

监控对于了解控制措施的有效性至关重要，包括这些措施是否按预期运行，或是否应重新设计，以更好地适应流程或提高有效性。管理和监督人员负责在日常工作中监控内部控制的质量和有效性。F5产品团队成员定期参与安全和风险相关小组，以监控新兴技术带来的影响。

适用于：企业版

安全运营中心（SOC）提供全天候专业支持。安全运营中心会主动监控企业服务并管理实例，以便在攻击发生时及时响应。

安全运营中心采用全球接力模式运营，并在各地区的正常工作时间配备充足人员。安全运营中心在全球以下地点开展运营：西雅图（美国）、海得拉巴（印度）、华沙（波兰）、瓜达拉哈拉（墨西哥）。

SOC地点信息请参阅：https://docs.cloud.f5.com/docs-v2/platform/reference/data-residency-locations

适用于：F5 Distributed Cloud Managed Services

F5建立了完善的网络安全计划，并以企业信息安全政策（EISP）以及一套全面的其他网络安全政策和标准为支撑。这些政策的目标之一是确保F5实施适当的安全控制措施，保护客户数据免遭未经授权的访问、丢失和损坏。该政策是F5信息安全管理体系（ISMS）的重要组成部分。此外，该政策符合行业标准和框架以及适用的法律法规，包括NIST 800-53标准。F5每年接受外部审计，对安全控制措施的设计、实施情况和运行有效性进行评估。

适用于：企业

F5已建立供应商管理计划。作为该流程的一部分，F5会根据第三方服务提供商对公司及其数据构成的风险进行评估。F5网络安全团队会在供应商准入期间以及此后每年，对所有可访问F5数据或系统的供应商进行风险评估。此外，F5还会开展第三方安全评估（TPSA），作为尽职调查的一部分，评估供应商、合作伙伴、客户、承包商、顾问或中介机构等第三方的安全状况，确保其安全实践符合F5的最低安全标准。所有供应商都必须同意采取适当措施保护F5和客户数据。与第三方供应商签订的协议包含符合F5业务和保密要求的条款。合规团队会在供应商准入期间以及此后每年审查供应商的安全合规报告和认证，确保供应商控制措施符合F5的政策和标准。

适用于：企业

请注意，既定的RTO和RPO仅适用于我们的SaaS服务（Distrubuted Cloud、AI Guardrails、AI Red Team、NGINX One、Bot Defense）。

• 恢复时间目标（RTO）：24 小时
• 恢复点目标（RPO）：6 小时

适用于：F5 Distributed Cloud Managed Services

F5设有AI/ML模型治理团队，负责审查企业内部使用或集成到产品中的任何模型的所有用途。所有模型均须接受模型影响评估。F5制定了与ISO/IEC 42001:2023《信息技术（人工智能管理体系）》保持一致的企业人工智能（AI）政策，并至少每年审查和更新一次。

适用于：企业

请查看适用于相关产品的隐私声明：https://www.f5.com/company/policies/privacy-notice

适用于：企业版

从合规要求到服务指南，我们为员工、供应商和合作伙伴提供了多份参考文档。如需查找有关产品、支持服务、隐私和合同的管理文档，请访问以下页面查看F5政策和文档：https://www.f5.com/company/policies。

适用于：企业

是的，首席隐私官负责监督公司隐私合规计划的实施，并向总法律顾问汇报。数据保护官是公司聘请的外部律师，具备数据保护专业知识，负责维护数据主体的权益，向董事会汇报，并与首席隐私官协商开展工作。

适用于：企业版