一、腾讯云与腾讯会议简述

腾讯云作为全球顶尖云服务商，基于深厚的基础架构、多年对海量互联网服务的经验,不管是社交、游戏、视频还是其他领域，都有成熟产品来为广大用户提供服务。

腾讯云在全球已开放25个地理区域，运营53个可用区，为全球用户提供高效、安全、稳定的云服务。

腾讯云在安全上全面布局，已提供从底层的数据安全、主机层的安全防御、网络层的攻击防御，到客户端的安全防御等一系列的安全保障。

腾讯会议是基于腾讯云下的一款致力于打造便捷易用的高可靠、高性能和高品质的视频会议产品。腾讯会议从设计、网络、系统、部署、用户数据以及应用程序等多个层面，均赋予以最高的安全级别，同时由腾讯七大联合安全实验室进行保驾护航，确保每一个用户可以放心使用腾讯会议提供的服务。

二、安全说明

2.1 主机及网络安全

① 基础设施安全：电力、空调、消防和静电防护等基础设施安全对腾讯会议数据中心机房来说是最为基础的要求，也是保证可用性最重要的方面之一。腾讯会议各数据中心均按照相关国际标准和当地安全要求进行选址及建设。各数据中心电力系统和空调系统均采用高稳定性全冗余系统，在任意单设备故障情况下，均能确保数据中心的电力和供冷持续性；各数据中心均配备完整的消防系统，包括定点区域火灾侦测系统、自动气体灭火系统以及供紧急使用的手动灭火装置；各数据中心内部全部安装防静电地板，机柜、线槽等，且均安装接地线，用以防御静电给设备带来的损害。此外，腾讯会议还要求所有机房管理人员定期接受业务连续性应急演练培训，以确保数据中心基础设施的安全保障得到有效落实。

② 主机安全：腾讯会议服务器均使用腾讯自研Linux系统TLinux，通过内核定制等实现高效的同时兼顾安全，同时专业操作系统团队进行维护与安全更新，保障操作系统层面安全防护能力；所有主机均安装有入侵检测模块，针对主机入侵等异常行为实现有效的监测，可以有效保障主机安全。

③ 网络通信安全：腾讯会议客户端和服务端的通信都使用 SSL/TLS安全协议进行加密防护。此外，腾讯会议的 API 所提供的所有接口具有SSL/TLS 加密、签名校验、状态监测等安全能力，能为企业通信安全保障。

④ DDoS 攻击防护：腾讯会议为您提供高效的分布式防护能力。其中BGP高防，接入21线 BGP线路，全面覆盖国内外主流运营商，带来极速、稳定的访问体验。

⑤ 网络冗余：基础网络需采用N*N的冗余建设方式，配合路由层级的路径优先和路由可达性的流量工程调度，确保网络服务不会因为单点设备故障而中断。计算节点也是采用N*N的冗余建设，单一计算节点在故障发生时通过调度器实时自动剔除，保证业务不受影响。

⑥ 网络接入安全：腾讯会议所有外网接口统一由TGW（TencentGateWay统一接入网关）进行处理，TGW具有可靠性高、扩展性强、性能高、抗攻击能力强等特点，提供了更加高效和安全的网络访问。

⑦ 访问控制：腾讯会议根据设备的重要性对数据中心不同区域定义了的三类安全级别：包括一般安全区域、受限安全区和高度受限安全区。各数据中心根据不同级别的区域安全要求制订了严格的基础设施和环境访问控制。根据数据中心人员类别和访问权限，建立了完整的人员访问控制安全矩阵，实现对数据中心的各类人员的访问、操作等行为的有效管控。其中，门禁授权系统按照不同安全等级和不同功能的区域进行划分，各类来访或工作人员出入数据中心均需进行身份核对和随身物品检查，并登记携带物品。从环境控制角度，各数据中心对车辆进出也有严格的管理规定和控制措施，所有员工个人车辆、供应商货车等都需进行车辆信息登记，且仅允许获得授权的车辆进入数据中心周边环境。

⑧ 安全检查及审计：腾讯会议各数据中心的安保人员每日均严格根据巡检清单和巡检计划对各机房和设备情况进行巡检，巡检频率不低于每2小时/次，并在每个检查点签名并记录检查时间，一旦发现安全违规事件，会立即启动数据中心机房管理紧急流程。各数据中心均已制订了物理安全应急预案，并定期组织数据中心工作人员进行安全演练。一旦发生物理安全事件，该预案将能够立即生效并指导相关人员以最大可能保护客户资产。同时，为了确保上述措施和规范的落地执行，腾讯会议统一建立了定期安全审计管理制度，每个季度对物理安全现场操作和管理进行审计，并输出内部审计报告，跟进和推动物理安全审计风险点的改进。

2.2 终端安全

① 提供终端设备类型识别、登录保护、恶意设备识别等终端安全保护能力。通过使用加壳、混淆、签名校验等手段防止程序被反编译、篡改。具备模拟器、恶意设备指纹等检测能力。在终端数据加密的场景，支持密钥内存存储，避免密钥本地存储风险，大大提高加密过程的安全性。

② 安全检查与评估：Web应用测试环境接入Web漏洞扫描进行自动化扫描，以实现在产品上线前通过自动化的方式发现产品安全问题，避免将安全问题带到上线。通过有效实施DevSecOps，基于腾讯安全专家与安全自动化能力，从设计、架构、研发到运维的各个阶段均嵌入安全检查与评估动作，构建全流程安全体系，保障腾讯会议的产品安全。

③ 应用扫描：静态扫描和动态扫描结合的方式能最大限度覆盖应用中潜在的安全漏洞，静态扫描采用污点分析技术，通过回溯变量值，能够在寄存器的粒度对漏洞进行分析跟踪。动态扫描采用模煳测试方法，通过还原真实的Android环境，得到精确结果。Android覆盖数十个常规漏洞检测，包括Web组件代码执行、目录遍历、https敏感数据劫持、应用克隆、私有文件泄漏、动态加载劫持、密码硬编码、拒绝服务攻击、后门SDK检测等策略。 iOS覆盖数十个常规漏洞检测，包括后门SDK检测、https敏感数据劫持、编译安全、URI Scheme、弱加密、私有API检测等策略。

④ 应用加固：可以实现隐藏APP中的源码，以及对抗APKTool等反编译工具，防止源码被窃取，止添加恶意病毒代码或者广告，杜绝盗版应用，防止调试应用、注入进程、更好保护程序运行安全。

⑤ 适配分析：包含自动适配测试，提供随机50款真机机型，进行自动兼容适配测试，有效反映应用在真机上的兼容适配情况。低配机型重点测试，提供30款低配真机机型，进行自动兼容适配测试。有效反映应用在适配重灾区机型上的兼容适配情况。

⑥ 应用防护：相关应用接入腾讯自研应用防护系统，可以实现对Web攻击等的实施拦截。

⑦ 安全演习与渗透测试：由云鼎实验室牵头联合腾讯其他安全团队、邀请外部安全厂商，不定期实施渗透测试以及周期性的安全演习，通过安全对抗发现可能存在的安全问题并持续提升腾讯会议安全体系。

2.3业务&应用安全

按照相关法规，所有用户实名使用，未注册的游客也需要通过手机认证才能使用。

按照相关法规，通过个人账号登陆的用户需通过实名认证才可以使用直播功能。

对业务使用提供基于角色的访问控制、账号保护、多因子身份验证、单点登录等安全能力。访问管控使用票据技术控制用户访问权限，严防越权、非法访问。同时服务端系统模块也接入票据管理系统，对模块级别票据也有严格管控，防止内部越权、非法访问。

对用户登录密码的严格管理，包括密码强度限制，密码长度为8-16位，必须包含大小写字母及数字；密码防刷策略，客户端重复多次密码输入错误后，账号将被锁定，WEB端则唤起防水墙；以及密码找回及重置策略，密码修改策略等。

会议的创建者具备主持人权限，预定时可以对会议进行设置，包含会议入会密码，参会成员是否可以上传文档，是否开启屏幕共享水印，是否开启会议直播等。

会议进行时会议主持人可以对参会人进行权限的设置和权限的管控，创建者可以设置多名会议联席主持人，帮助创建者一同维持会议秩序，包含一键全体静音、一键解除全员静音、成员入会时静音、给成员改名等操作权限。

具备等候室功能，所有参会成员先进入等候室，等待主持人身份确认后方可进入会议中。

主持人有权关闭任一成员的摄像头及麦克风用于维持会议秩序。

主持人可以通过设置禁止游客入会，只允许登录用户进入会议中。

主持人可以移出并拉黑违规参会人，该参会人将不允许再次进入该会议。

主持人可以随时锁定/解锁会议，避免无关人员随意进出会议。

主持人可以设置“仅企业内部用户可入会”，非本企业账号登陆用户无权进入该会议。

主持人可以设置屏幕共享权限：仅主持人可共享屏幕或是全体成员均可共享屏幕。主持人可以中断当前屏幕共享。

主持人可以设置多种聊天模式：自由聊天、群聊、私聊、禁言。系统自动识别聊天中出现的敏感词，非法词等违规信息并进行过滤。

主持人可以设置录制权限：仅主持人可录制、全体成员可录制、允许部分成员录制。

屏幕共享时出于信息安全因素可以选择共享桌面或是只共享某一个应用，开启屏幕共享水印后，所有的参会者屏幕都会呈现对应的注册手机+昵称的水印，参会者如有截屏等异常行为发生，系统会自动检测并提示警示信息，如信息被泄漏及遗失，也可以根据水印信息追查源头。

会议主持人可以设置文档权限，如全员可上传或是仅主持人可上传；文档的创建者可以设置权限，其他参会人仅能根据对应权限进行操作。

会议在线文档查看约束：会议文档不对该预定会议结束当天24点以后第一次入会的人员显示。

仅主持人可以结束直播或是结束会议，结束会议后所有参会人都将离开会议。会议结束后，仅会议创建者可以导出本次会议参会人员名单，其他参会人无权查看。

参会人在会议中可自行设置麦克风和摄像头关闭或是打开状态，并可以举报其他有违规违法行为的参会人。

电脑锁屏时系统将自动关闭摄像头及音频。

对于安全性要求高的用户，提供会议的私有化部署。

2.4 数据安全

① 数据创建：用户使用腾讯会议过程产生的数据，会根据数据的敏感程度进行分类，后续数据的处理过程严格按照数据类别要求进行管控和处理。

② 数据使用：数据的访问和使用严格管控访问权限，防止越权，非法访问。会议所产生数据均设有权限管控，未经授权均不允许操作。对于授权第三方数据，将根据实际情况进行脱敏处理。

③ 数据加密：腾讯会议默认为加密会议，音视频数据均通过AES加密，保障用户的数据在传输过程中的安全。关键数据通过密钥进行加密，保证数据的机密性和安全性，密钥由统一的密钥管理系统进行管理，保证密钥的存储和权限安全。

④ 数据存储：不同类别的数据存储在不同的物理磁盘或者机房，从物理上隔离不同类别数据的存储环境，提供数据安全性。保存在云端的数据如果使用CBS、COS等存储介质，可以开启磁盘或文件级透明加密。

⑤ 数据传输：客户端和服务端的网络通讯使用SSL/TLS协议，同时应用层也对传输数据进行加密和校验，保证数据传输的安全性和数据的完整性，避免被非法窃取导致数据泄漏。

⑥ 数据销毁：根据腾讯安全管理制度和严格的逻辑删除和物理擦除方式，对退役报废，带离数据中心的存储介质或带有存储介质的设备进行数据删除，硬件消磁以及物理销毁处理，保证销毁过程安全可靠，销毁后的数据无法恢复。

⑦ 数据安全审计：腾讯会议对异常行为，如敏感数据访问、权限变更、异常登陆、非法访问等实施监测，发现即警告并做到有迹可查。

⑧ 敏感凭据的安全运维：对于会议后台本身的敏感凭据信息，例如数据库地址和口令，缓存密码等使用凭据管理系统进行管控，避免敏感信息明文配置导致的账号密码泄露和权限失控，提升运维安全性。

2.5 运营安全

腾讯会议员工入职前通过合法的背景调查，以确保员工符合公司行为准则、商业道德、信息安全要求。

不定期对员工进行信息安全培训，确保员工按即定的安全策略执行。

对相关运营人员实行权限控制，在权限有效性、权限分级等方面进行限制，并建立合理的权限管理机制，如离职调职时权限自动回收。

联合腾讯云安全团队云鼎实验室制定完善的应急响应流程、突发事件标准处置流程和值班机制，包括：预报告阶段、报告阶段、处理阶段、修复阶段、完成阶段；并定期演练，确保方案可行性与及时性，保障业务持续性。腾讯会议将尽最大可能保障用户信息安全、数据安全。

腾讯云安全团队基于腾讯多年安全经验，保持对黑产动态及最新安全情报的持续监测，实现对最新攻击手法、漏洞等及时响应与防御。

三、安全资质

腾讯会议是专业的saas视频会议服务商，为广大用户提供安全、可靠、稳定高效的会议服务。

① ISO 27001 信息安全管理体系认证

腾讯云是国内首家获得ISO 27001:2013认证的云计算服务商，同时获得CNAS和UKAS国内外双认可。

② ISO 27017 云服务信息安全控制实施指引

ISO/IEC 27017:2015是ISO/IEC 27002:2013 的补充，腾讯云通过ISO 27017指导证书，证明腾讯云实施了有效设计和实施云计算信息安全控制。

③ CSA STAR 云安全管理体系认证

CSA STAR是针对云安全特性的一项国际性认证，腾讯云以金牌等级通过了STAR认证。

④ ISO 20000 IT服务管理体系认证

腾讯云是国内首家通过ISO 20000-1:2018新版标准认证的云计算服务商，建立并严格执行标准的IT服务管理流程。

⑤ ISO 22301 业务连续性管理体系认证

腾讯云是国内首批通过ISO 22301认证的云计算服务商，建立完善业务连续性计划并定期演练，提升云平台的稳定性。

⑥ ISO 9001 质量管理体系认证

腾讯云是国内首家在云计算领域获得ISO 9001 CNAS和ANAB双认可的云计算服务商，实施有效的质量控制流程交付优质的云服务。

⑦ SOC Type Ⅱ报告

SOC 1 Type Ⅱ报告：参照 AICPA 审计准则 SSAE No. 18 中的 AT-C section 320针对腾讯云云服务体系的控制环境出具的报告。

SOC 2 Type Ⅱ报告：参照AICPA 审计准则 SSAE No. 18 中的 AT-C section 205 以及 TSP section 100 2017 版，针对云服务体系的安全性、可用性、机密性出具的报告。

SOC 3 Type Ⅱ报告：参照AICPA 审计准则 SSAE No. 18 中的 AT-C section 205 以及 TSP section 100 2017 版，针对云服务体系的安全性、可用性、机密性报告出具的一般控制报告。

⑧ 网络安全等级保护

腾讯云金融云通过了等级保护四级备案和测评，公有云通过了等级保护三级备案和测评。

⑨ ITSS认证

ITSS信息技术服务标准是一套成体系的信息技术服务标准库，腾讯云是全国首批通过工信部云计算服务能力评估最高级（一级）的云计算服务商。

⑩ 可信云认证

腾讯云通过了数据中心联盟组织，中国信息通信研究院针对云服务能力可信云服务认证。

11、大数据产品能力认证

腾讯云是首批通过大数据产品能力认证的云计算服务商。

12、PCI DSS

PCI-DSS是由VISA和MasterCard联合多家国际卡组织共同建立的支付卡行业数据安全标准，腾讯云通过了1级服务提供商认证评估。

13、MPAA 美国电影协会

腾讯云已通过自评估的方式确保对客户内容的管理程序遵守美国电影协会（MPAA）内容安全模型指南。

14、ISO 27018 公有云个人信息保护认证

腾讯云建立了完善的个人信息保护管理体系，并成为国内首批获得公有云个人信息保护认证的云计算服务商，认证范围覆盖全球。

15、CISPE

CISPE欧洲云计算服务供应商联盟是一个云计算领导者联盟，为数百万欧洲客户服务。腾讯云是中国第一家获得CISPE数据保护行为准则认证的云计算服务商。