在 GitHub 上编辑页面 (EN)

软件政策 💾

1. 目的与指导原则

本政策旨在规范公司所有及管理设备上所有软件的获取、安装与使用。我们的目标是为员工提供最佳工具，在促进创新与提高工作效率的同时，维护一个安全稳定的技术环境。

  • 安全第一： 数据与系统的完整性至关重要。
  • 法律合规： 我们仅使用经授权且经过批准的软件。
  • 效率与协作： 我们标准化工具以确保全球团队间的无缝协作。

2. 标准软件套件 💻

所有由公司提供的计算机均预装了经批准的标准软件套件，以涵盖核心业务功能，并包含最新的安全更新。

核心应用类别

虽然具体应用列表由安全团队负责维护，但标准套件包括：

  • 操作系统： 最新版本的 macOS。
  • 生产力套件： 用于文档、表格和演示文稿的核心应用程序（例如 Google Workspace、Microsoft Office）。
  • 通讯工具： 公司批准的电子邮件、聊天和视频会议工具（例如 Slack、Google Meet）。
  • 安全性： 强制性的杀毒软件、防火墙和设备管理软件 (Rippling)。
  • 网页浏览器： 经批准的浏览器，如带有必要安全扩展的 Google Chrome。
  • 技术工具： 对于开发者和技术岗位，这包括经批准的 IDE、代码编辑器和其他开发工具。

3. 软件审批与供应商生命周期 📥

为了保持安全性和兼容性，所有不在标准套件内的软件在安装前必须经过审批。

团队成员访问权限

本章节中的部分链接仅限 Ultralytics 团队成员访问。

审批与安装流程

  1. 经理审批： 在开始之前，请检查该供应商是否已存在于我们的 Approved Vendor Database 中。确认后，请向你的直属经理提交软件申请，并附上明确的业务理由及相关成本（如有）。
  2. 提交供应商入驻申请： 你的经理或代表经理的任何团队成员必须通过 Vendor Onboarding Form 提交申请。这是了解我们所用工具潜在风险的强制性步骤。
  3. 多团队审核： 申请将由法务和安全团队进行审核，以确保在批准前进行全面评估。
  4. 最终批准： 一旦法务和安全团队批准，你的经理将提供最终签字确认。你可以通过此 Tracking Overview 追踪进度和最终签字状态。
  5. 购买与安装： 对于付费软件，请遵循标准的 reimbursement procedures。
禁止使用未经授权的软件

严禁安装任何未通过此流程审批的软件。这包括公司设备上的个人软件、未经授权或“破解版”应用，以及任何可能损害系统安全的工具。

持续的供应商管理

  1. 追踪供应商变动： 监控你所使用的已批准供应商的任何重大变更，这些变更可能会影响安全、财务或合规要求。
  2. 提交变更申请： 当发生更新时，请通过 Vendor Change Form 提交详细信息。这确保我们的法务和安全团队能够评估任何新的风险。需要报告的关键变更包括安全事件、数据类别变更、供应商离职、工具所有权变更或每年超过 500 美元的价格调整。
  3. 审核流程： 安全、法务和财务团队将评估这些变更，以确定是否需要额外的审批或行动。

4. 工具访问请求流程 🛠️

请求访问权限

团队成员可以通过 Slack 或 Vanta 平台向 Vanta 请求工具访问权限。

如何提交请求

通过 Slack

  • 打开 Vanta 应用，导航到 Home 选项卡并选择 Submit access request
  • 详情请参阅 Vanta Help Article

通过 Vanta

申请中应包含的内容

提交访问请求时：

  1. 选择你需要的工具
  2. 选择合适的角色（如果适用）
  3. 提供清晰的业务理由
  4. 如果需要提升权限（例如管理员、所有者），请注明并解释需求
  5. 提交请求以供批准

一旦 System Approver（系统审批人）批准了你的请求，System Admin（系统管理员）将尽快配置访问权限。配置完成后，你将收到来自 Slack 中 Vanta 应用的通知以及确认邮件。

访问请求工作流

flowchart TD
A@{ label: "Log into Vanta and navigate to <a href='https://app.vanta.com/c/ultralytics/access/systems/request'>My access requests</a> dashboard, or look up Vanta app in Slack, and Submit access request" } --> B{"Did you find the tool you need?"}
    B -- Yes --> C["Select the tool you need and request access"]
    B -- No --> D["Follow <a href='https://handbook.ultralytics.com/tools/software/#3-software-approval-vendor-lifecycle'>New Software Approval Process</a>"]
    n3["Need access to a tool?"] --> A
    C --> n4["Did the Approver approve your request?"]
    n4 -- Yes --> n1["Admin will provision you access or inform you how to gain access if the tool relies on shared credentials."]
    n4 -- No --> n5["The Approver will provide you with the rejection reason."]

    A@{ shape: rect}
    n3@{ shape: rect}
    n4@{ shape: diam}
    n5@{ shape: rect}

    A:::Sky
    C:::Sky
    n3:::Sky
    n1:::Pine

    classDef Pine stroke-width:1px, stroke-dasharray:none, stroke:#254336, fill:#27654A, color:#374D7C
    classDef Sky stroke-width:1px, stroke-dasharray:none, stroke:#374D7C, fill:#E2EBFF, color:#374D7C

    style A fill:#e1f5ff,stroke:none
    style C fill:#d4edda,stroke:none,color:#374D7C
    style n3 fill:#e1f5ff,stroke:none
    style n1 fill:#d4edda,stroke:none,color:#374D7C

系统审批人的最佳实践

系统审批人可以通过 电子邮件、Slack 或直接在 Vanta 内 审核访问请求。参考 Vanta guidance for additional information.

审批准则

  • 及时响应： 在一个工作日内审核请求
  • 核实必要性： 确保所请求的访问权限符合团队成员的职责
  • 实施最小权限原则： 仅批准所需的最低访问级别
  • 确认理由： 提升权限的审批必须具备明确且有记录的业务需求

系统管理员的最佳实践

系统管理员负责在审批通过后配置工具访问权限。配置过程 非自动化，必须在每个工具中手动完成。

审批准则

  • 及时响应： 在审批通过后的一个工作日内配置访问权限
  • 核实审批： 在授予权限前确认审批详细信息
  • 授予最低权限： 除非明确批准了更高级别，否则仅分配最低必要权限
  • 在 Vanta 中记录： 授予访问权限后，将请求标记为 ‘Provisioned’（已配置） 如需协助，请在 #it-support 或 #compliance Slack 频道中联系安全与合规团队。

5. 可接受使用政策 🛡️

业务用途与个人用途

公司提供的软件和设备主要用于业务目的。但是，我们允许有限且合理的个人使用，前提是：

  • 不 干扰你的工作表现或职责。
  • 不 损害公司系统的安全或完整性。
  • 不 违反任何其他公司政策。
  • 不 为公司产生任何额外成本。

禁止活动

公司设备严禁进行以下活动：

  • 将软件用于任何非法目的，包括侵犯版权。
  • 安装或分发未经授权、盗版或未经许可的软件。
  • 访问、下载或分发令人反感、歧视或色情材料。
  • 规避或禁用安全措施，包括杀毒软件和 MDM 软件。
  • 通过未经授权的平台共享公司机密信息或数据。
  • 参与任何可能损害公司声誉或系统的活动。

6. 安全与合规 🔒

每一位员工都有责任保护我们的数字资产。

系统与安全软件

  • 杀毒与恶意软件防护： 所有设备必须始终安装并运行公司批准的安全软件。篡改此软件属于违反政策。
  • 系统更新： 请保持你的操作系统和所有应用程序为最新状态。尽可能启用自动更新，以便及时修补漏洞。
  • 防火墙： 所有计算机必须启用操作系统自带的防火墙。

数据安全

  • 敏感数据处理： 仅使用公司批准的应用程序以及安全、加密的通道来存储或传输机密或敏感信息。
  • 备份： 你有责任确保将关键工作文件保存到已批准的云存储解决方案（例如 Google Drive）中，而不是仅保存在设备的本地。

密码管理

  • 密码管理器： 必须使用公司批准的密码管理器。这有助于为每个服务创建并存储强大且唯一的密码。
  • 多重身份验证 (MFA)： 所有支持 MFA 的账户必须启用 MFA，特别是对于 Google Workspace、Slack 和 Rippling 等关键系统。

7. IT 支持 🤝

如何寻求帮助

如果你遇到任何软件相关问题，请在 #it-support Slack 频道联系我们。

服务等级协议 (SLA)

我们的团队会优先处理请求，以确保关键问题得到迅速解决。

  • 紧急 (系统范围停机、安全漏洞)： 1 小时响应
  • 高 (个人无法工作)： 4 小时响应
  • 一般 (小问题、软件请求)： 24 小时响应
Contributors
在 GitHub 上编辑页面 (EN)
GLglenn-jocher3SOsokrisba1