The Cloudflare Blog

Localizing compliance at scale: achieving South Korea’s ISMS certification

6.9内容质量

TL;DR · AI 摘要

Localizing compliance at scale: Achieving South Korea’s ISMS certification Cloudflare Blog post Privacy Security Compl...

核心要点

  • 主题聚焦：Localizing compliance at scale: achieving South
  • 来源：The Cloudflare Blog，建议结合原文判断细节。
  • AI 分析暂不可用，本条为保底评分与摘要。
#AI#编程#后端#云计算#安全
打开原文

扩展合规性：实现韩国ISMS认证 | Cloudflare博客

post

隐私

安全

合规

仪表盘

韩国

2026年10月22日

扩展合规性：实现韩国ISMS认证

Kabin Calan

9分钟阅读

复制链接

十天时间，韩国互联网与安全局（KISA）指派的审计人员与我们并肩工作，逐一审查了80项控制措施。这正是一个总部位于美国、运营全球网络并为韩国用户提供服务的公司，获得韩国ISMS认证所需经历的流程。Cloudflare现已根据ISMS-P框架获得韩国信息安全管理系统（ISMS）认证。

对于韩国客户而言，这不仅仅是合规性的一项勾选。这证明Cloudflare的安全和隐私计划不仅被审查了控制措施是否存在，更被审查了这些措施如何在韩国法律、韩语环境以及韩国监管机构特定要求的背景下运作。

韩国用户注册时的体验

这项工作的最直观成果体现在Cloudflare账户注册页面。在世界大部分地区，注册按钮上方的提示语为："继续即表示您同意Cloudflare的条款、隐私政策和Cookie政策。"

而韩国用户看到的则有所不同。当用户在注册时选择韩国或通过韩国IP地理位置触发韩国体验时，相同的同意条款会被拆分为四个独立项目，每个项目分别标注必填或可选，并链接至完整文本，同时提供一键全部同意选项：

  • 모두 동의 Â（全部同意）
  • [필수] 서비스 약관 Â（[必填] 服务条款）
  • [필수] ê°œì¸ì •ë³´ 수집 및 이용 Â（[必填] 个人信息的收集和使用）
  • [필수] ì œí•œëœ 범위의 ê°œì¸ì •ë³´ 해외 ì´ì „ Â（[必填] 有限个人信息的海外传输）
  • [ì„ íƒ] ì œí•œëœ 범위의 ê°œì¸ì •ë³´ ì œ3자 ì œê³µ Â（[可选] 与营销第三方共享有限个人信息）

三个必填项构成硬性门槛。在所有必填项未勾选前，注册按钮将保持禁用状态，因此表单中不存在无需对每个项目进行明确操作即可创建账户的路径。可选项仅管理营销授权，未勾选该选项不会影响账户创建（仅表示用户不接收营销信息）。

最具挑战的部分：从不显示表单的注册路径

在我们控制的表单上列出同意项是直接的。真正的挑战在于那些完全跳过该表单的注册路径。

全球范围内，用户可通过Google、Apple或GitHub创建Cloudflare账户。这些流程将用户转交给身份提供商，并返回已认证的身份，且永远不会显示我们自己的注册表单，而正是在该表单中包含着那四个同意项。在身份提供商的交接过程中，我们无法插入任何步骤来展示三个必填项、链接至对应的韩文完整文本，并在账户创建前要求对每个项目进行明确操作。身份提供商的界面并非我们所能更改。

我们有两种选择：要么为一个国家单独构建一个认证网关，要么移除我们已有网关中绕过检查的路径。我们选择了后者。韩国不提供社交账号注册选项，因此所有在韩国创建的账号都必须通过Cloudflare的注册表单，该表单强制要求用户完成必要的授权流程。

国家信号与Cloudflare任何客户可获取的信号一致。Cloudflare通过客户端IP地址推导出两位字母的国家代码，并在请求中以CF-IPCountry头字段（在源站）和request.cf.country（在Worker中）的形式暴露该信息。简化到核心逻辑，这个分支本质上是一个字符串比较：

code
// 示例：检查逻辑的结构，而非Cloudflare仪表盘代码。
export
default
{
async
fetch
(
request
) {
// 从客户端IP地址推导出的两位字母国家代码。
// 与CF-IPCountry请求头字段的值相同。
// Cloudflare网络会在入站请求中自动填充该字段，因此
// 不需要使用地理定位数据库、查询服务或额外的网络往返。
const
country
=
request.cf?.country;
if
(country
===
"KR"
) {
return
renderSignUp
({
locale:
"ko-KR"
,
consent:
"itemized"
,
// 四个独立项，其中三个为必选项
socialLogin:
false
,
// 没有跳过授权表单的路径
});
}
return
renderSignUp
({ locale:
"en-US"
, consent:
"combined"
, socialLogin:
true
});
},
};

上述内容未展示国家代码并非唯一触发条件的原因。我们已记录IP地理位置的局限性：它是一种估算而非精确科学，IP地址会轮换且所有权会变更，且在关键业务场景中不应作为唯一信号来满足本地合规要求。一位在境外的韩国居民，或使用VPN、或位于移动运营商NAT后的用户，可能不会携带韩国IP地址。因此基于IP的地理位置决定了默认显示的表单，但用户在注册时选择的国家会覆盖该判断，并据此做出最终决策。IP地址告诉我们请求的来源地；唯有用户能告知其实际居住地。将这两者区分开，才能使授权具有实际意义而非预设假设。

这是一个微小的功能改进。它需要做出国家层面的产品决策，并对账号创建路径进行调整。

ISMS是什么以及为什么重要

ISMS是一项详细且本地化的认证标准。它涵盖安全策略、访问控制、身份验证与权限管理、加密、事件响应、风险管理、灾难恢复等内容，所有内容均需根据个人数据在组织系统中实际流动的方式进行评估，并符合韩国《个人信息保护法》及其相关监管指南。

认证需要由KISA（隶属于科技信息通信部MSIT的政府机构）指定的审计师进行独立审计，随后由特别委员会进行审查。认证有效期为三年，需每年接受审计以维持认证资格。

ISMS认证主要依据韩国《信息通信网络利用及信息保护促进法》第47条设立，其认证标准和程序由该法的执行令以及MSIT发布的ISMS认证公开通知规定。

审计检查内容

Cloudflare 已通过 ISO/IEC 27001、ISO/IEC 27701、ISO/IEC 27017、ISO/IEC 27018 等多个全球公认框架的认证。ISMS 并不会取代这些认证。它是对相同原则的本地化实施，叠加了韩国监管要求，这会改变审计人员关注的重点和方式。

范围内的控制措施始于对数据流的审查。我们提供了详细的数据流图，展示了员工可以访问 Cloudflare 收集、处理和存储的个人信息的每条路径。数据流本身并非韩国特有。不同之处在于证据的形式：审计人员不愿仅依据数据流动的叙述性描述进行工作，他们需要能够阅读和查询的图表。针对每张图表，他们检查了所有访问控制层，并在我们的内部系统、面向公众的网站、活动页面和 Cloudflare 仪表板上测试其有效性，覆盖了用户数据从首次交互到销毁的完整生命周期。出于保密原因，这些图表在此未予发布。

审计还审查了我们同意收集的语言和术语：注册时的精确措辞、每条通知的结构，以及各项内容是否单独且清晰地呈现。这些细节正是 ISMS 框架旨在揭示的。

为何时间线长达一年半

部分原因与审计周期的运作方式有关。ISMS 审计涵盖一个年度周期，所有证据、文档和系统都必须反映该周期。我们的准备工作跨越了两个审计年度，这意味着需要重新翻译新审计年度的更新政策，重新收集和评估证据，重新发布更新后的隐私政策，并吸收营销和网站团队在此期间引入的格式和设计变更。

证书涵盖的范围

KISA 将认证范围定义为服务边界，而非列出具体范围内的产品。提交给 KISA 的范围声明通过三个部分描述该边界：

  • 组织和运营边界：运营服务的 Cloudflare 实体、团队和流程；
  • 基础设施边界：认证服务运行的网络和平台；
  • 信息资产和个人信息流：在 ISMS 控制集下属于该边界的资产和信息流。

如果客户使用的 Cloudflare 产品通过该认证服务边界交付，即在相同认证平台上运行、由相同认证团队运营，并受相同 ISMS 管理，则该产品被证书覆盖。证书由 Cloudflare, Inc. 持有。

这与大多数采购团队使用的报告形式不同。SOC 2 报告或 ISO 27001 证书会描述其涵盖的系统并列出包含的服务，因此通过在列表中找到产品即可确认覆盖范围。ISMS 证书则不包含此类列表。覆盖范围依据交付路径确定，无论产品是否在任何地方被命名。

对于在韩国运营的组织而言，这为法律、安全和采购团队提供了与Cloudflare更广泛的合规组合并行的本地保障基准。ISO/IEC 27001和SOC 2展示了通用的安全态势，而ISMS则反映了韩国特有的法律和监管要求。这种区别在第三方风险评估以及准备团队自身的合规评估时具有重要意义。

Cloudflare的相关信息可在KISA认证组织公开名录中查到，这是风险评估中可引用的独立可验证确认依据。更广泛的隐私和数据保护相关内容请访问Cloudflare信任中心。

通常阻碍Cloudflare供应商审查的问题是，正在使用的产品是否在合规范围内。该证书并未通过产品名称来回答这一问题，因为它未列出任何具体产品。它通过边界定义来回答，这意味着只要产品通过认证服务交付，即视为在范围内。

对于需要跨区域管理安全的跨国团队而言，该认证确认Cloudflare的项目已根据亚洲最重要的数字市场之一的本地要求进行了审查，而不仅仅是为全球规模设计。

为所有人构建更好的互联网

ISMS的认证难度与其他保障审计并无显著差异，但它更具细微差别。它围绕特定地区的监管需求构建，并要求对理解并融入这些需求进行实质性投入，而非简单地将其映射到通用控制框架上。

经历这一过程使Cloudflare更加全球化，而非相反。它促使我们深入思考如何在特定本地语境中服务用户，包括本地语言、本地同意预期和本地数据保护要求，并将这些因素体现在产品行为中，而不仅仅是文档中。

这与我们正在努力实现的目标一致：帮助构建一个更好的互联网，不仅限于监管要求明确的地区，而是惠及全球每个角落。

了解更多关于Cloudflare合规与保障计划的信息，请访问我们的信任中心。

目录栏

讨论栏

相关标签及社交媒体链接

相关标签

关注社交媒体

  • Cloudflare

电子邮件订阅