ผู้ใช้ Evernote ไว้ใจเราพร้อมกับบันทึก, โปรเจค และไอเดียหลายพันล้านอย่างของพวกเขา ความไว้วางใจนั้นขึ้นอยู่กับการที่เราเก็บข้อมูลส่วนตัวและเพื่อความปลอดภัย ข้อมูลในหน้าเพจนี้มีไว้เพื่อแสดงความโปร่งใสของวิธีการปกป้องข้อมูลของผู้ใช้ เราจะขยายและอัพเดตข้อมูลนี้ขณะที่เราเพิ่มความปลอดภัยใหม่ ๆ และทำให้ประสิทธิภาพด้านการป้องกันข้อมูลภายในผลิตภัณฑ์ของเราดีขึ้น
ความปลอดภัยของเราคือการมีทีมงานที่ทำหน้าที่เฉพาะภายใน Evernote กฏเหล็กของทีมด้านความปลอดภัยของเราคือการปกป้องข้อมูลที่คุณเก็บไว้ในบริการของเรา เราผลักดันโปรแกรมด้านความปลอดภัยในด้านหลัก ๆ ดังต่อไปนี้: ความปลอดภัยของผลิตภัณฑ์, การควบคุมโครงสร้างพื้นฐาน (ทั้งด้านกายภาพและแนวคิด), นโยบาย, การคำนึงถึงพนักงาน, การตรวจจับการบุกรุก, และกิจกรรมการประเมินต่าง ๆ
ทีมความปลอดภัยจะเปิดโปรแกรมการตอบสนองต่อสถานการณ์ไม่พึงประสงค์ภายในองค์กร (“IR”) และให้คำแนะนำแก่พนักงานของ Evernote เกี่ยวกับวิธีรายการพฤติกรรมที่น่าสงสัยต่าง ๆ ทีม IR ของเรามีกระบวนการและเครื่องมือครบในที่เดียวเพื่อจัดการกับปัญหาด้านความปลอดภัยและคอยประเมินเทคโนโลยีใหม่เพื่อปรับปรุงความสามารถของเราในการตรวจจับการโจมตีโครงสร้างพื้นฐาน, บริการ และพนักงานของเรา
เราคอยประเมินโครงสร้างพื้นฐานและแอพพลิเคชันของเราอยู่เสมอ ว่ามีช่องโหว่อะไรบ้าง และแก้ไขช่องโหว่เหล่านั้นที่มีผลกระทบต่อความปลอดภัยของข้อมูลลูกค้า ทีมด้านความปลอดภัยของเราจะคอยประเมินเครื่องมือใหม่เพื่อเพิ่มประสิทธิภาพในการประเมินเหล่านี้ให้ครอบคลุมในเชิงลึก
Evernote จำกัดขอบเขตด้านเครือข่ายของตัวเองโดยใช้อุปกรณ์ช่วยในการแบ่งโหลด, ไฟวอล และ VPNs เราใช้อุปกรณ์เหล่านี้ในการควบคุมบริการที่ใช้งานบนระบบอินเตอร์เน็ตและจัดระบบเครือข่ายการผลิตของเราจากโครงสร้างพื้นฐานในการคำนวณที่เหลือของเรา เราจำกัดสิทธิ์ของบุคคลในการเข้าถึงโครงสร้างพื้นฐานในการผลิตของเราตามความต้องการของธุรกิจ และรับรองความถูกต้องในการเข้าถึงระบบอย่างเข้มงวด
Evernote จะไม่เก็บรหัสผ่านในรูปแบบข้อความที่ไม่มีการปรับแต่งหรือ plaintext ของคุณเลย เมื่อเราจำเป็นต้องเก็บรหัสผ่านบัญชีของคุณอย่างปลอดภัยเพื่อรับรองความถูกต้อง เราจะใช้ PBKDF2 (รหัสผ่านโดยใช้ฟังก์ชันแป้นพิมพ์ 2) ด้วยตัวอักขระพิเศษสำหรับการยืนยันตัวตนแต่ละครั้ง เราเลือกปริมาณของการทำแฮชซ้ำในรูปแบบของการปรับสมดุลระหว่างประสบการณ์ของผู้ใช้และความซับซ้อนในการแกะรหัสผ่าน
ขณะที่เราไม่ได้บังคับให้คุณตั้งค่ารหัสผ่านให้มีความซับซ้อน ตัวชี้วัดความปลอดภัยของรหัสผ่านจะกระตุ้นให้คุณเลือกรหัสผ่านที่ปลอดภัยมากพอเอง เราจำกัดจำนวนครั้งในความพยายามเข้าสู่ระบบที่ไม่ถูกต้อง ทั้งแบบต่อบัญชีและต่อ IP-address เพื่อให้การโจมตีระบบด้วยการเดารหัสผ่านทำได้ยากยิ่งขึ้น
Evernote จัดให้มี การตรวจสอบความถูกต้องสองขั้นตอน (“2SV”) หรือรู้จักกันในนามการตรวจสอบสิทธิ์สองขั้นตอน หรือ การตรวจสอบสิทธิ์หลายขั้นตอน สำหรับทุกบัญชี ระบบ 2SV ขึ้นอยู่กับอัลกอริทึมของการตั้งรหัสผ่านเดียวต่อครั้ง (TOTP) ผู้ใช้ทุกคนสามารถสร้างรหัสภายในเครื่องโดยใช้แอพพลิเคชันบนอุปกรณ์พกพา หรือสามารถเลือกรับรหัสผ่านเป็นข้อความก็ได้เช่นกัน
Evernote ให้คุณสามารถสร้างบันทึกในบัญชีของคุณเองโดย ส่งอีเมลไปยังอีเมลเฉพาะของ Evernote เพื่อเป็นการปกป้องคุณจากเนื้อหาที่ไม่ดีต่าง ๆ เราจะสแกนอีเมลทุกฉบับที่เราได้รับโดยใช้เครื่องมือช่วยสแกนไวรัสทั่วไป
เมื่อคุณได้รับอีเมลจาก Evernote เราอยากให้คุณมั่นใจว่าอีเมลนั้นมาจากเราจริง ๆ เราได้ประกาศการใช้นโยบาย DMARC ในการเพิ่มความมั่นใจให้คุณว่า อีเมลที่คุณได้รับจาก Evernote นั้นถูกต้องจริง ทุกอีเมลที่เราส่งจากโดเมนดังต่อไปนี้จะมีการลงนามที่เข้ารหัสไว้โดยใช้ DKIM และสร้างจาก IP address เราเผยแพร่ไว้ในบันทึก SPF ของเรา
Evernote:
การสร้างความปลอดภัยให้บริการเว็บไซต์บนโลกอินเตอร์เน็ตนั้นสำคัญมากในการปกป้องข้อมูลของคุณ ทีมด้านความปลอดภัยของเราเน้นเรื่องโปรแกรมความปลอดภัยของแอพพลิเคชันในการเพิ่มความปลอดภัยให้แก่รหัส และประเมินการให้บริการเมื่อเกิดปัญหาด้านความปลอดภัยของแอพพลิเคชันอยู่เนือง ๆ ซึ่งปัญหาเหล่านั้นรวมถึง: CSRF, การโจมตีโดยตรง (XSS, SQLi), การจัดการกิจกรรมบนแอพพลิเคชัน, การเปิด URL และการโจมตีผ่านการคลิ๊กลิงก์
การให้บริการเว็บของเรารับรองความถูกต้องของแอพพลิเคชันภายนอกทั้งหมดโดยใช้ OAuth ซึ่ง OAuth มีวิธีให้คุณเชื่อมต่อแอพพลิเคชันภายนอกกับบัญชีของคุณได้อย่างราบรื่นโดยไม่ต้องเข้าสู่ระบบในแอพพลิเคชัน ทันทีที่คุณระบุตัวตนกับ Evernote สำเร็จแล้ว เราจะคืนโทเคนในการระบุสิทธิ์ของเครื่องไคลเอ็นต์เพื่อรับรองสิทธิ์ของคุณในการเข้าถึงระบบของเรา นี่เป็นการควบคุมไม่ให้แอพพลิเคชันภายนอกเก็บชื่อผู้ใช้และรหัสผ่านของคุณไว้ในอุปกรณ์
ทุกแอพพลิเคชันบนเครื่องไคลเอ็นต์ที่คุยกับบริการของเราจะใช้ อินเตอร์เฟสทริฟ API ที่ชัดเจน สำหรับทุกคำสั่ง เมื่อมีการจัดการการสื่อสารผ่าน API นี้ เราจะสามารถตรวจสอบสิทธิ์เป็นหลักในการใช้งานแอพพลิเคชัน จะไม่มีการเข้าถึงการบริการโดยตรงและแต่ละโทเคนสำหรับการระบุตัวตนของเครื่องไคลเอ็นต์จะถูกตรวจสอบเมื่อมีการเข้าถึงการบริการ เพื่อให้แน่ใจว่าเครื่องไคลเอ็นต์จะถูกตรวจสอบและให้สิทธิ์เข้าถึงบันทึกหรือสมุดบันทึกบางเล่ม โปรดดูที่ dev.evernote.com สำหรับข้อมูลเพิ่มเติม
การบริการของ Evernote เป็นระบบผู้เช่าหลายรายและไม่ได้แยกข้อมูลของคุณจากข้อมูลของผู้ใช้ท่านอื่น ข้อมูลของคุณอาจอยู่ในเครื่องเซิร์ฟเวอร์เครื่องเดียวกับที่เก็บข้อมูลของผู้ใช้ท่านอื่น เราถือว่าข้อมูลของคุณเป็นข้อมูลส่วนตัวและไม่อนุญาตให้ผู้อื่นเข้าถึงมันได้ ถ้าไม่ได้รับแบ่งปันจากคุณ
Evernote จะเก็บเนื้อหาของคุณไว้ ยกเว้นในกรณีที่คุณแสดงขั้นตอนในการลบบันทึกและ/หรือสมุดบันทึก หากต้องการข้อมูลแสดงวิธีลบบันทึก โปรดดู บทความของศูนย์ช่วยเหลือนี้ หากต้องการข้อมูลเกี่ยวกับนโยบายการเก็บข้อมูลของเรา โปรดดูที่หัวข้อ นโยบายเรื่องความเป็นส่วนตัว, ชื่อว่า “การลบข้อมูล”
เราจะลบหรือทำลายสื่อที่เก็บไว้ทั้งหมดเมื่อมันใช้ในการเก็บข้อมูลของผู้ใช้ เราปฏิบัติตามคำแนะนำของ NIST’ ในข้อมูลเผยแพร่ 800-88 เพื่อทำลายให้สำเร็จ หากต้องการตัวอย่างแสดงวิธีการทำลายฮาร์ดไดร์ฟอย่างปลอดภัย โปรจตรวจสอบ บทความบล็อก นี้
เราใช้ตัวเลือกการเก็บข้อมูลที่หลากหลายในแพลตฟอร์มคลาวด์ของ Google (“GCP”) รวมถึงดิสก์ภายในเครื่อง, ดิสก์ระยะยาว และพื้นที่เก็บข้อมูลบนคลาวด์ของ Google เราขอใช้ประโยชน์ของกระบวนการลบบนระบบดิจิตัลเพื่อให้แน่ใจว่า คลังเก็บข้อมูลจะไม่เปิดเผยข้อมูลส่วนตัวของลูกค้าอย่างแน่นอน
การให้บริการของ Evernote มีกระบวนการในการบันทึกกิจกรรมควบคู่ไปกับเครื่องเซิร์ฟเวอร์ของเครื่องไคลเอ็นต์และระบบบริการของเรา ซึ่งรวมถึงการบันทึกการเข้าถึงเว็บเซิร์ฟเวอร์ เช่นเดียวกันกับคำสั่งที่กระทำผ่าน API ของเรา เรายังเก็บรวบรวมข้อมูลกิจกรรมจากแอพพลิเคชันบนเครื่องไคลเอ็นต์ของเรา คุณสามารถดูเวลาในการเข้าถึงและ IP adresses สำหรับแต่ละแอพพลิเคชันที่เชื่อมต่อกับบัญชีของคุณในหัวข้อประวัติการเข้าถึงของการตั้งค่าบัญชีของคุณ
Evernote ใช้การเข้ารหัสตามมาตรฐานอุตสาหกรรมในการปกป้องข้อมูลของคุณในระหว่างการเปลี่ยนถ่าย ซึ่งรู้จักกันในนามโปรโตคอลความปลอดภัยที่เข้ารหัส (“TLS”) หรือเทคโนโลยีการเข้ารหัสข้อมูล (“SSL”) นอกจากนี้ เรายังรองรับการใช้งาน HTTP การส่งข้อมูลอย่างเข้มงวด (“HSTS”) สำหรับบริการของ Evernote (www.evernote.com) เรายังรองรับการใช้งานร่วมกันของชุดการเข้ารหัสและโปรโตคอล TLS ในการสร้างความสมดุลของการเข้ารหัสเบราว์เซอร์และเครื่องไคลเอ็นต์ที่รองรับอย่างปลอดภัย และการเข้ากันได้บนเครื่องไคลเอ็นต์ทั่วไปที่ต้องการใช้งาน เราวางแผนที่จะปรับปรุงความปลอดภัยในการส่งข้อมูลเพื่อให้ความมั่นใจในการปกป้องข้อมูลของคุณ
เรารองรับ STARTTLS สำหรับอีเมลทั้งขาเข้าและขาออก หากระบบบริการด้านอีเมลของคุณรองรับ TLS อีเมลของคุณจะถูกเข้ารหัสในระหว่างส่งข้อมูล ทั้งขารับและขาส่งจากบริการของ Evernote
เราปกป้องการไหลของข้อมูลของลูกค้า ระหว่างศูนย์ข้อมูลของเราและแพลตฟอร์มคลาวด์ของ Google โดยใช้ IPSEC กับการเข้ารหัส GCM-AES-128 หรือ TLS
ปลายปี 2016 เราได้เริ่มย้ายระบบบริการของ Evernote ไปยังแพลตฟอร์มคลาวด์ของ Google (“GCP”) ข้อมูลของลูกค้าที่เราเก็บไว้ใน GCP จะถูกปกป้องโดยใช้คุณลักษณะการเข้ารหัสภายในของ Google นอกจากนี้ เรายังใช้คุณลักษณะการเข้ารหัสควบคู่ไปกับเครื่องเซิร์ฟเวอร์ของ Google พร้อมกับการเข้ารหัสที่บริหารจัดการโดย Google เพื่อเข้ารหัสข้อมูลทั้งหมดโดยใช้ AES-256 ซึ่งมีความโปร่งใสและอัตโนมัติ คุณสามารถดูข้อมูลเพิ่มเติมเกี่ยวกับวิธีปกป้องข้อมูลของคุณ ที่นี่
เราทำงานโดยใช้เทคโนโลยีทนทานต่อความเสียหายเพื่อให้แน่ใจว่า Evernote พร้อมใช้งานเสมอเมื่อคุณต้องการมัน
ในศูนย์ข้อมูลบนเครื่องเซิร์ฟเวอร์และโครงสร้างคลาวด์ของเรา จะประกอบด้วย:
ทั้ง Google และผู้ให้บริการแบ่งปันพื้นที่ของเราจะให้ระบบป้องกันการล่มรวมถึง: กำลังไฟ, HVAC, และการบีบอัด
เรามีการอัพเดตสถานะทั้งแบบเรียลไทม์และย้อนหลังในระบบบริการของเราที่นี่: https://twitter.com/evernotestatus และ http://status.evernote.com.
เราสำรองข้อมูลเนื้อหาของลูกค้าทั้งหมดอย่างน้อยวันละครั้ง เราไม่ได้ใช้อุปกรณ์แบบพกพาได้ หรือแม้แต่สื่อในการสำรองข้อมูลแบบถอดได้อย่างแน่นอน
เราดูแลบริการของ Evernote ด้านการใช้ทั้งระบบคลาวด์และศูนย์ข้อมูลกายภาพ
สำหรับศูนย์ข้อมูลของเรา เราทำให้โครงสร้างพื้นฐานของเรามีความปลอดภัยมากยิ่งขึ้นในพื้นที่ส่วนตัว และล็อคกุญแจไว้ ซึ่งจะมีการตรวจสอบแบบ 24x7x365 การเข้าถึงศูนย์ข้อมูลนี้อย่างน้อยจำเป็นต้องมีการรับรองความถูกต้องสองขั้นตอนใช้งาน แต่นั่นอาจรวมถึงระบบไอโอเมทริกซ์ที่เข้ามาใช้งานเพิ่มเติมด้วย ในแต่ละศูนย์ข้อมูลของเรามีการตรวจสอบ SOC-1 ประเภท 2, การทดสอบประสิทธิภาพด้านความปลอดภัยทางกายภาพของโครงสร้างพื้นฐานของเรา มีเพียงเจ้าหน้าที่ปฏิบัติการและเจ้าหน้าที่ประจำศูนย์ข้อมูลของ Evernote เท่านั้นที่มีสิทธิ์เข้าถึงโครงสร้างพื้นฐานนี้ และทีมปฏิบัติงานของเราจะทราบทันทีเมื่อมีคนเข้าถึงพื้นที่ของเรา รวมถึงมีการบันทึกวิดีโอกิจกรรมต่าง ๆ ด้วย
สำหรับบริการด้านคลาวด์ของเรา เราใช้แพลตฟอร์ม Google คลาวด์ Google มีการรับรองมากมายซึ่งเป็นการรับประกันความสามารถในด้านการให้ความปลอดภัยด้านกายภาพของข้อมูลใน Evernote คุณสามารถอ่านเพิ่มเติมเกี่ยวกับความปลอดภัยของแพลตฟอร์ม Google คลาวด์ ที่นี่
ข้อมูล Evernote ทั้งหมดจะอยู่ภายในประเทศสหรัฐอเมริกา
โปรดดู ศูนย์ความเป็นส่วนตัว ของเราเพื่อรับข้อมูลเพิ่มเติม เราไม่เผยแพร่รายงานการควบคุมองค์กรการบริการ (“SOC”)
