trust
适用场景
BlackShield 通过具体的产品控制赢得信任：经过身份验证的工作区访问、速率受限的敏感操作、`/findings` 和 `/alerts` 中的分类工作流，以及来自 `/reports`、`/audit` 和 `/compliance` 的可导出证据。
目标受众: 安全采购人员、采购主管、法律团队和风险利益相关者预计耗时: 12-18 分钟
开始之前
- 收集您的内部安全问卷和供应商审查要求。
- 确定安全、采购、法务和隐私方面的决策者。
- 设定审查截止日期，以便优先处理后续跟进请求。
操作指引
1
步骤 1
验证 BlackShield 部署管理控制的位置
在 BlackShield 中，采购者通常关注的控制在产品中清晰可见：`/identity`、`/api-keys`、`/audit`、`/compliance` 和 `/tenant-rights`。
- 打开 `/identity` 并确认租户管理员可以配置 OIDC、验证提供商设置、将组映射到角色、轮换 SCIM 令牌以及查看身份审计事件。
- 打开 `/api-keys` 并确认可以在租户工作区内创建、列出和吊销 API 密钥。
- 打开 `/tenant-rights` 并确认租户管理员在执行破坏性操作之前可以看到租户范围和所需的确认步骤。
达成目标状态
打开 `/tenant-rights` 并确认租户管理员在执行破坏性操作之前可以看到租户范围和所需的确认步骤。
2
步骤 2
验证 BlackShield 如何保护敏感操作和日常运营
审查具体的平台保护措施，并检查安全团队日常主动监控和分类风险的位置。
- BlackShield 对入职、登录、令牌刷新、OIDC 交换、身份写入、API 密钥写入和租户删除流程进行速率限制。
- 管理 API 在返回数据或接受更改之前需要经过身份验证的访问和显式角色权限。
- 打开 `/findings` 和 `/alerts`，确认工作区具有分类未解决安全问题的具体场所，而无需依赖静态报告。
- 审计查询和审计导出本身也会被记录，以便证据访问留下可追溯的痕迹。
达成目标状态
审计查询和审计导出本身也会被记录，以便证据访问留下可追溯的痕迹。
3
步骤 3
验证 BlackShield 如何向采购者提供证据
导出产品支持的审计跟踪、报告摘要和合规检查清单，以获取运营控制的实物证据。
- 打开 `/audit` 并确认 BlackShield 支持过滤的事件查询以及 CSV 和 JSON 导出。
- 打开 `/compliance` 并确认基准热图、控制穿透和覆盖率导出可用于控制证据。
- 打开 `/reports` 并确认您可以为采购和法律审查人员生成面向管理层的导出文件。
- 打开 `/tenant-rights` 并确认租户删除需要准确的确认短语加上不可逆确认。
达成目标状态
打开 `/tenant-rights` 并确认租户删除需要准确的确认短语加上不可逆确认。