資訊安全 · CFO Pilot

1. 資料隔離：一家公司一個資料庫

CFO Pilot 為多租戶服務，但每一家公司的帳務資料存放於各自獨立的資料庫，而非以欄位區分的共用資料表。應用程式依登入者所屬的公司決定連線到哪一個資料庫， 跨公司的查詢在結構上就不成立——這比「每一句 SQL 都記得加上公司條件」更難出錯，因為它不依賴任何一次程式撰寫的正確性。

平台管理者（本公司的維運帳號）不隸屬於任何一家公司，系統會擋下其對帳務端點的所有請求：管理台管的是租戶與方案，不是別人的帳。

動作層級的細緻權限。每一個動作（過帳、報表檢視、審批、設定變更等）都有對應的權限碼，預設「未授權即拒絕」。
兩道門，而且都在後端。所有會改變資料的動作都必須通過命令匯流排，在執行前依序檢查權限（這個人准不准做）與功能授權（這家公司有沒有這個模組）。前端的隱藏與停用只是體貼，不是防線——繞過前端不會繞過這兩道檢查。
自訂角色。管理者可依職務分配最小必要權限。
單據審批流程。重要單據可設定須經簽核才可過帳，用於強化企業內部控制。

密碼以 bcrypt 雜湊儲存，本公司不保存也無法還原明文密碼。客服人員無法查看您的密碼，只能請您重設。
登入失敗節流。同一組帳號連續失敗達門檻後暫時鎖定，降低暴力嘗試的成效。
登入稽核。成功與失敗都會記錄，含來源 IP 與瀏覽器資訊。失敗的詳細原因只出現在管理台的稽核頁——登入畫面對外一律只回同一句話，不會透露「帳號不存在」或「密碼錯誤」的差別。
申請制開通。帳號不會因為填完表單就自動存在；本公司會確認營業登記等資料後才建立帳套。

系統完整記錄操作稽核軌跡——誰、在何時、做了哪一筆過帳／作廢／審批／設定變更。稽核紀錄以 SHA-256 雜湊鏈串接：每一筆的雜湊值都扣住前一筆的雜湊值， 任何事後的修改或刪除都會讓鏈斷掉而被偵測到，包括從資料庫直接動手的情況。

第三方服務金鑰（AI 供應商的 API 金鑰、金流機構的 HashKey／HashIV 等）以應用層加密後才寫入資料庫；解密所需的主密鑰不與資料庫存放在一起。即使資料庫被取得，這些金鑰也無法直接讀出。

畫面上這些欄位永遠只顯示遮罩後的後幾碼，包括對本公司的維運人員。您也可以選擇不把 AI 金鑰交給我們，改用自帶金鑰或地端模型模式（見第 9 點）。

看內容，不只看副檔名。上傳檔案會驗證檔頭（magic bytes）是否與宣稱的類型相符，擋下把執行檔改名成 .pdf 這類偽裝。允許的類型限於 PDF 與常見圖檔。
大小與數量上限。單檔與單張傳票的附件數量都有上限，避免以超大檔案影響服務。
物件層級授權。取用附件時會再檢查一次權限，不能靠猜測網址取得別人的檔案。

部分功能需將相關資料傳送至大型語言模型處理。您可於設定中選擇資料流向： 平台 AI（由本公司代為呼叫）、自帶雲端 AI（送到您自己的 AI 帳戶）、或地端私有模型（只送到您自己的伺服器）。平台模式下，依 AI 供應商當期政策，此類資料不用於訓練其模型並於合理期間後刪除。

每一次 AI 呼叫的時間、模型、用量與金額都會記錄，供您在訂閱頁核對；這份紀錄不包含被傳送的內容本身。完整的資料流向、跨境傳輸與您作為資料控管者之義務，詳見隱私權政策第 7 點。

本服務僅透過 HTTPS 對外提供，資料於網路傳輸過程中加密。系統託管於第三方雲端基礎設施，其資料中心之實體與網路安全由該供應商依其責任範圍負責；本公司負責應用層之安全措施（即本頁第 1 至 9 點）。

資料庫備份、憑證更新與作業系統修補屬維運層作業，由本公司依既定程序執行。若您因採購或稽核需要更詳細的部署說明（區域、備份頻率與保留期、復原測試紀錄等），請來信索取；我們會提供當期的實際設定，而不是一份範本。

資訊安全係持續之過程。為利於採購與稽核之評估，本節一併揭露本服務 目前尚未具備之項目及其規劃，俾免以本頁未列示之事項推定本服務已具備相應能力。

說明：本頁所述為目前實際採行之安全措施；上列項目之進度將隨實際情形更新。如貴公司之採購或稽核程序對前述項目另有要求，歡迎於採購前來信確認時程。

若您發現疑似安全漏洞，請來信 [email protected]，並盡量提供重現步驟。我們會盡快確認並回覆，也請您在我們修復前不要公開揭露或用於存取他人資料。

採購或稽核所需之資安說明，亦請由同一信箱聯絡。