安全和治理

Palantir通过强大且安全的软件平台帮助组织解决现实世界的问题。十多年来，我们与最安全和高度监管的行业客户合作，为他们最敏感的数据搭建软件。如今，安全和隐私仍然是我们产品开发、公司文化和内部运营的基石。

Palantir平台被全球的医疗服务提供商、金融机构、公用事业提供商、制造商、电信、航空公司和制药公司用于处理他们最敏感的工作流程。Palantir平台是为那些注重安全的客户而搭建的，他们需要功能以安全且合规的方式处理财务数据、个人身份信息 (PII)、受保护健康信息 (PHI)、受控未分类信息 (CUI)，甚至是机密政府数据。Palantir的安全基础设施通过与HIPAA、GDPR和ITAR等框架保持一致，满足各行业和大陆的监管要求。

由于我们的软件为大型企业和政府的关键任务操作提供支持，我们的威胁模型专注于击败资源丰富、技术精湛且持续的对手。为了击败这些对手，我们采取了强烈的立场，并为所有客户实施了高标准的安全。例如，多因素认证多年来一直是我们所有托管软件即服务 (SaaS) 平台客户的强制要求。

平台安全

Palantir平台将安全作为核心开发理念。Palantir安全模型通过透明性和可用性实现细粒度访问控制的严格执行，以搭建一个协作和可信赖的生态系统：

• 严格执行： 确保用户只能访问他们被授权交互的数据。
• 细粒度控制： 功能强大到可以实现灵活的访问控制粒度。
• 透明性： 使用户能够推理谁可以访问什么资源以及为什么。
• 可用性： 赋能用户自信地推理和管理访问控制。

Palantir安全模型包括认证和授权。认证验证用户的身份，而授权基于用户的属性和权限授予访问权。

Palantir平台中的数据安全是通过强制性和自由裁量控制的结合来保证的。强制性控制通过Palantir复杂的溯源和谱系功能随每个数据单元或资源类型传播。自由裁量权限以不同操作（例如，查看或编辑）的角色形式授予用户单个资源。此外，还可以根据用户的属性对资源实施细粒度的行或列级控制。

Palantir平台中的数据和资源组织在项目中。用户属于组织，并在平台内或通过外部身份提供者管理的组中进行组织。组织是应用于项目的一种强制性控制形式，强制在用户组和资源之间严格隔离。因此，除非明确配置了共享协议，否则一个组织的用户无法访问另一个组织的资源。

对于高度敏感的数据，权限标记是另一种强制性控制形式，可以应用于需要特别保护的数据或资源（例如，PII或财务敏感数据）。用户必须拥有特殊权限才能发现或访问此类数据，此外还需成为组织成员。

企业安全

我们拒绝将审核日志、单点登录和多因素认证等核心安全控制进行门控、收费墙或推销。无论您是小型企业还是联邦机构，您都可以在标准的Palantir产品中获得每一个核心企业安全功能：

• 所有数据的加密强制性，无论在传输中还是静止状态，使用强大的现代加密标准。
• 强大的认证和身份保护控制，包括单点登录和多因素认证。
• 强大的授权控制，包括强制性和自由裁量的访问控制。
• 可靠的安全审核日志，用于检测和调查潜在滥用。
• 高度可扩展的信息治理、管理和隐私控制，以满足任何应用案例的需求。

基础设施安全

如果您使用我们的托管SaaS平台，Palantir的托管基础设施有额外的安全控制层，以帮助保护您的数据：

• 围绕零信任、最小特权和深度防御原则构建的强大安全架构。
• 通过严格的更改管理和安全监控流程强制执行的安全基准配置。
• 强大的网络安全加固和分段。
• 基于主机和网络的入侵检测系统，用于检测和击败异常活动。
• 积极的基础设施和应用漏洞管理和修补，具有行业领先的SLA。
• Web应用防火墙 (WAF) 对传入的Web请求进行检查，以检测和阻止攻击。
• 在环境的每一层，包括用户、主机、网络和应用，进行安全监控。

额外安全资源

Palantir有一个SafeBase信任中心页面 ↗，用于存放所有安全文档和信息。您可以使用SafeBase来帮助回答与我们的安全标准和程序相关的问题。SafeBase包括安全白皮书、政策、渗透测试报告、合规信息、认证（如SOC和ISO）等。

签署了保密协议的现有和潜在客户可以请求访问其他非公开材料。

结论

Palantir非常关心客户的安全结果，我们致力于透明我们的安全实践和计划。我们坚定不移地持续改进我们的安全、数据保护和隐私控制，以为您提供保护数据的最有效手段。