合规
SOC 2 Type II 报告（安全性）
Ostorlab 已获得覆盖安全性准则的 SOC 2 Type II 报告（审计期间：2024年11月18日至2025年4月18日；本期审计正在进行中）。Type II 审计评估的是安全控制在一段持续期间内的运行情况，而不仅仅是某个时间点。
信任中心
Ostorlab 的安全与合规
您的应用二进制文件、源代码和安全报告都是敏感数据。以下是我们的保护方式，以及如何开展您的供应商评估。
- SOC 2 Type II 报告（安全性）
- 静态与传输中加密
- 支持本地部署
- 自带 AI 密钥
概览
我们如何保护您的数据
安全和采购团队最先关注的控制措施。
加密
静态与传输中加密
所有客户数据，包括应用二进制文件、源代码和报告，均在静态存储和传输过程中加密。
基础设施
云平台与本地扫描器
Ostorlab 运行于配备硬件安全模块的 Google Cloud 基础设施上。本地部署扫描器在本地执行扫描，将结果与状态发送至云平台，用于编排和报告。
了解本地扫描数据驻留
选择数据存放位置
企业版方案可选择托管区域：美国数据驻留、欧盟托管、GCC 数据主权与云隔离，或亚太托管。
AI 与您的数据
自带 AI 密钥
BYOK 使用您自己的 AI 提供商账号、凭据和模型，并可设置每次扫描的支出上限。数据会发送至所选提供商；留存和训练政策取决于提供商及账号。请向安全团队索取政策详情。
访问控制
SSO/SAML、RBAC 与审计日志
基于 SAML 的单点登录、基于角色的访问控制和审计日志可作为附加功能提供，企业版已包含。
数据处理
我们如何处理您的数据
AI 提供商数据流、本地执行、云端报告和数据管理。
数据在什么情况下会发送给 AI 提供商？
使用 AI 的扫描，例如 Deep Agentic Scan、多资产扫描、Mobile Shielding Scan 和 Single Vulnerability Assessment，会使用您在配置扫描时选择的 AI 提供商：Cyber Models 在 Ostorlab 的提供商账户上运行，通过预付积分付费；BYOK 在您自己的提供商账户上运行，由您的提供商直接计费。Fast、Full 和 Exhaustive 扫描以及攻击面扫描不需要 AI 提供商。
使用本地部署扫描器时，哪些内容保留在您的环境中？
本地部署扫描器在您控制的基础设施上运行扫描：根据您的许可证，可扫描移动应用、Web 应用和 API、私有网络以及源代码。它是适用于 Linux 或 macOS 的守护进程，使用组织 API 密钥连接到 Ostorlab 平台并接收您分派的扫描。扫描在本地运行，结果会连同其状态（包括 IP 地址、CPU 和内存）一起报告给平台。
如何删除数据？
您可以自行归档扫描列表中的扫描、删除攻击面中的资产、删除 BYOK 提供商密钥以及删除 Copilot 对话。归档扫描会永久删除其数据。
数据会保留多久，由谁处理？
如需了解保留和删除期限、子处理方列表，以及您的数据如何在 Ostorlab 中流转、存储在哪里、谁可以访问，请在审查过程中联系安全团队。
咨询您的数据流
合规
SOC 2 Type II 报告：安全性准则
Ostorlab 已获得覆盖安全性准则的 SOC 2 Type II 报告，审计期间为 2024年11月18日至2025年4月18日。本期审计正在进行中。Type I 报告只审查某一日期的控制设计，而 Type II 审计会测试这些控制在整个审计期间内的运行情况。
SOC 2 Type II 报告包含哪些内容
- 被审计系统及其边界的描述
- 现有的安全控制措施以及审计师的测试方式
- 审计师意见及审计期间的测试结果
分析机构认可
入选 2025 Gartner® Hype Cycle™ for Application Security
在 2025 年 7 月 22 日发布的 Gartner® Hype Cycle™ for Application Security, 2025 中，Ostorlab 被列为 Mobile Application Security Testing 的 Sample Vendor。
文档
在文档中深入了解
您的安全和 IT 团队可以在沟通前查阅的公开指南。