安全与数据隐私说明
PingCAP 作为数据库提供商，一直都把安全及数据隐私作为最高优先级工作。PingCAP 建立了完善的安全暨数据隐私合规管理体系，并为数据库设计一系列的安全功能，从而为用户提供安全可靠的数据库产品。
安全与数据隐私合规
PingCAP 设置专职的安全部、法务部，遵守中华人民共和国及海外主要国家数据隐私法规、积极对标国内和国际的安全合规标准。TiDB 已获得 SOC1、SOC 2、SOC3、ISO/IEC 27001、ISO/IEC 27701、PCI DSS 安全认证和 HIPAA 认证，并已加入《欧盟云行为准则》(EU Cloud CoC)大会，提交了遵守准则的声明，以确保符合欧盟 GDPR 要求。
- 系统和组织（SOC）审计报告是美国注册会计师协会（AICPA）出具的第三方独立报告，用于审计服务提供商的内部控制。它是全球公认的数据安全审计标准。PingCAP 有能力为全球客户提供安全、稳定、高效的数据库服务。可以满足大客户特别是上市公司的数据隐私和安全需求，可以为这些企业提供世界一流的安全可信的数据库服务。
- ISO/IEC 27001 是一套获得业界广泛认可的安全管理体系标准，PingCAP 通过此项认证意味着在信息安全领域已经达到国际标准，具有充分的信息安全风险识别和控制能力。ISO/IEC 27701 是对 ISO/IEC 27001 信息安全管理和 ISO/IEC 27002 安全控制的隐私扩展。它是一项国际管理系统标准体系，为保护个人隐私提供指导，包括组织应如何管理个人信息，并协助证明遵守了世界各地的隐私法规。
- 支付卡行业数据安全标准 (PCI DSS) 旨在促进并增强持卡人的数据安全，便于统一的数据安全措施在全球范围内的广泛应用。
- GDPR (General Data Protection Regulation) 通用数据保护条例是欧盟议会和欧盟理事会在 2016 年 4 月通过，在 2018 年 5 月开始强制实施的通用数据保护条例，其意义在于推动强制执行隐私条例，规定企业对于用户数据的收集、存储、保护和使用的新标准，并赋予用户对自有数据更大的处理权。
- HIPAA 是美国的一项立法，为保护医疗保健数据提供数据隐私和安全条款。HIPAA 作为一项得到广泛认可的医疗保健行业法规，已成为涉及医疗保健数据的公司遵守 HIPAA 要求的重要途径。对于医疗保健和相关领域的组织，根据 1996 年健康保险流通与责任法案（HIPAA）的要求，在与 PingCAP 正确执行业务合作协议（BAA）后，PingCAP 可以支持与 HIPAA 相关的客户数据。
TiDB 安全功能
- 账号权限：TiDB 的基于角色的访问控制（RBAC）系统的实现类似于 MySQL 8.0 的 RBAC 系统。用户可以创建角色、删除角色、将权限赋予角色；实现细粒度的账号权限控制。
- 认证：TiDB 支持账号密码认证，并支持设置复杂的密码策略。另外也支持基于证书鉴权的登录方式。采用这种方式，TiDB 对不同用户签发证书，使用加密连接来传输数据，并在用户登录时验证证书。这种与 MySQL 相兼容的证书鉴权方式更安全，因此越来越多的用户使用证书鉴权来代替用户名密码验证。
- IP白名单：TiDB 提供了 IP 白名单功能来实现网络安全访问控制，支持为用户单独设置 IP 白名单。
- 安全审计：TiDB 提供 SQL 审计插件，满足合规审计的要求，也便于安全、运维人员查看 SQL 操作日志，及时发现问题。