OG东方厅集团OpenClaw类智能利用安全指引V0.1

颁布功夫 2026-03-11

“为智能时期立信，为创新价值护航。。�！！！� OG东方厅”


为积极拥抱 AI 新技术，充分阐扬 OpenClaw类开源智能利用的技术价值，保险公司网络安全、、、数据资产安全及业务不变运行，结合公司信息安全治理要求，特制订本安全指引，明确OpenClaw类智能利用全流程使用的合规要求与安全尺度，所有有关使用人员须严格遵循执行。。。


本安全指引凭据OpenClaw类智能利用技术发展及防护伎俩的美满，逐步迭代更新。。。


一、、、主题治理准则


公司对OpenClaw类智能利用的使用尝试“先审批、、、后登记、、、再使用”全流程管控，遵循“专网部署、、、数据隔离、、、最小权限、、、全程监控”准则，严禁任何无审批、、、无登记的部署和使用行为，在保险AI技术利用的同时，实现安全风险的可防、、、可控、、、可追忆。。。


二、、、审批与登记治理


OpenClaw类智能利用的部署、、、使用均需推广正式审批登记流程，无审批不得部署，已审批必登记，未完玉成流程手续的，一律不容在公司有关环境中操作。。。


1.使用申请：：因项目钻研、、、业务需要需使用OpenClaw类智能利用的部门或小我，需向公司信息安全治理部门及业务主管部门提交审批，明确使用场景、、、部署地位、、、使用人员、、、所需权限、、、数据处置领域、、、安全防护措施等主题信息，注明与公司主题业务、、、敏感数据的关联情况。。。


2.安全评估：：信息安全治理部门收到申请后，在第一功夫实现安全风险评估，重点核查部署环境的隔离性、、、数据处置的合规性、、、防护措施的可行性，出具风险评估汇报，明确审批定见。。。


3.审批通过：：经业务主管部门及信息安全治理部门双重审批通过后，方可发展OpenClaw类智能利用的部署、、、配置工作；；；未通过审批的，需凭据评估定见优化规划后重新申请。。。


4.登记登记：：OpenClaw类智能利用部署实现并经安全测试合格后，使用部门需在第一功夫实现登记，向信息安全治理部门提交登记，蕴含部署环境信息、、、配置参数、、、权限清单、、、监控方式、、、责任人、、、应急措置规划等，登记信息需实时更新，如有配置、、、人员调换，需在调换后24小时内实现登记更新。。。


5.小我使用登记：：员工因非工作需要在小我设备使用OpenClaw类智能利用的，需向地点部门及信息安全治理部门进行简易登记，明确使用设备、、、使用用处，承诺不处置公司有关内容、、、不通过公司网络接见，登记信息纳入公司小我信息安全治理台账。。。


6.在本指引颁布前已装置使用的，必要在1周内实现审批和登记的补办手续。。。


三、、、部署环境要求：：专网部署与网络隔离


OpenClaw类智能利用的部署需严格遵循专网专用、、、物理/逻辑隔离要求，杜绝与公司主题业务网络、、、敏感数据网络交叉，从网络层面阻断安全风险传导。。。


1.企业级部署：：经审批的工作场景使用OpenClaw类智能利用，需部署在公司专用隔离网络（专网）中，单独规划独立VLAN，与公司主题业务网络、、、财政网络、、、客户数据网络实现物理隔离，不容跨网接见、、、跨网传输数据。。。


2.网络接见节制：：在专网天堑配置专用防火墙，严格限度OpenClaw类智能利用的入站、、、出站衔接，仅盛开实现业务所需的最小网络端口和接见权限，不容专网与公司内部其他网络、、、公网的无规定互通；；；远程守护和接见专网内的OpenClaw类智能利用，需通过公司统一的VPN/SSH隧道，且需进行二次身份认证。。。


3.设备隔离：：严禁在公司主题业务服务器、、、办公终端、、、出产设备上部署OpenClaw类智能利用，需使用专用设备/容器/虚构机部署，专用设备不得装置其他无关软件、、、不得处置公司主题业务数据，实现设备层面的齐全隔离。。。


4.小我使用隔离：：小我非工作使用OpenClaw类智能利用，仅限在小我独立设备上操作，严禁接入公司内部网络、、、办公Wi-Fi，不得将小我设备与公司办公设备进行数据同步、、、共享，杜绝小我使用场景的风险向公司环境传导。。。


四、、、数据治理要求：：全维度数据隔离


使用OpenClaw类智能利用过程中，需严格落实数据分类、、、分级隔离要求，杜绝公司数据与OpenClaw类智能利用使用过程中的数据交叉，严防数据泄露、、、篡改、、、窃取。。。


1.数据不容性要求：：严禁将公司任何数据（蕴含但不限于客户数据、、、财政数据、、、主题技术文档、、、员工信息、、、贸易奥秘、、、业务运营数据等）接入非授权OpenClaw类智能利用，严禁利用OpenClaw类智能利用接见、、、采集、、、存储、、、传输、、、处置公司各类数据，无论工作或小我使用场景，均不得在OpenClaw类智能利用中录入、、、处置任何与公司有关的内容。。。


2.数据分区治理：：经审批可处置非敏感工作数据的OpenClaw类智能利用实例，需设置独立数据存储区域，与公司主题数据存储系统齐全隔离，该区域仅用于存储OpenClaw智能利用运行所需的非敏感数据，且需配置独立的接见权限和加密措施。。。


3.数据流转管控：：严禁在OpenClaw类智能利用专用环境与公司其他环境之间进行无审批的数据流转，确因工作必要进行数据交互的，需推广数据传输审批手续，通过公司统一的加密数据传输通道进行，且需对传输数据进行脱敏、、、加密处置，同时留存齐全的传输纪录。。。


4.数据销毁：：OpenClaw类智能利用使用实现或项目终止后，需在信息安全治理部门监督下，对专用环境中的所罕见据进行彻底销毁，做好销毁纪录，确保数据无残留；；；专用设备/容器停用后，需进行体式化、、、安全擦除处置，杜绝数据泄露风险。。。


五、、、安全防护分级执行要求


结合OpenClaw类智能利用的使用场景，按第一优先级（基础防护）、、、第二优先级（日常运营安全）、、、第三优先级（企业级防护架构）落实防护措施，所有经审批的部署实例需完玉成层级防护配置，小我使用实例需实现前两级防护配置，基础防护为底线要求，缺一不成。。。


（一）第一优先级：：基础防护措施（必做）


需在部署初期完玉成数配置，从接见、、、隔离、、、认证、、、缝隙四个维度阻断主题安全风险，所有使用场景均需严格落实。。。


1.关闭公网接见，仅限专网/本地接见


? 企业级专网部署实例：：不容将任何端口露出大公网，仅允许在公司专用隔离网络内接见；；；

? 小我使用实例：：绑定本地地址，不容0.0.0.0监听，远程接见仅通过小我专属VPN/SSH隧道实现。。。


2.开启沙箱隔离，遵循最小权限准则


强制开启全量沙箱隔离模式，默认回绝所有高危操作，仅盛开实现工作所需的最低权限，后续凭据现实需要逐级申请、、、逐步扩大，严禁默认全开权限。。。


3.强制多成分身份认证，强化接见管控


? 设置16位以上复杂密码（含巨细写字母、、、数字、、、特殊符号），定期每90天更换一次；；；

? 启用公司统一的多成分认证（MFA），结合密码、、、动态验证码/硬件Key实现双重身份验证；；；

? 配置接见速度限度和登录失败锁定机制，防备暴力破解，陆续5次登录失败即锁定账户30分钟。。。


4.立即修复高危缝隙，更新至最新安全版本


所有OpenClaw实例需立即升级至2026.3.7及以上官方安全版本，修复CVE-2026-30891、、、CVE-2026-25253等高危缝隙；；；定期核查官方缝隙布告，在24小时内实现新增缝隙的修复和配置优化，关闭已披露的权限与配置缺点。。。


（二）第二优先级：：日常运营安全（必做）


在基础防护的基础上，落实日常使用的全流程安全管控，重点防备API密钥泄露、、、供给链攻击、、、AI失控操作等风险，保险使用过程的持续安全。。。


1.API Key全性命周期安全治理


? 不容明文存储API Key，统一通过公司专用环境变量/密钥治理系统配置使用，严禁写入配置文件、、、代码、、、笔记等；；；

? 按每月一次频率定期轮换API Key，作废过期密钥，若发现密钥泄露或异常使用，需立即作废并重新天生；；；

? 配置API消费告警机制，设置阈值告警，当出现突发高额消费、、、异常接见频率时，系统自动告警并暂停API使用。。。


2.Skills供给链严格管控


? 仅装置OpenClaw类智能利用官方守护的经公司信息安全治理部门审核通过的技术，非官方技术一律不容装置；；；确因工作必要开发自界说技术的，需经信息安全治理部门代码审计、、、安全测试通过后，方可部署使用；；；

? 装置任何技术前，需全面审查SKILL.md文档和代码逻辑，重点排查蕴含curl、、、wget、、、网络要求、、、号令执行、、、文件读写的高危代码；；；

? 敏感工作一律使用本地自主编写的Skills，确保代码主权和安全可控，自界说技术需纳入公司代码治理台账，定期进行安全审计。。。


3.落实Human in the Loop（人在环中）机制


对所有高风险操作设置强制人为确认环节，未经指定责任人审核通过，OpenClaw、、、类智能利用不得执行任何以下操作，审核纪录需齐全留存：：

? 删除文件、、、邮件、、、数据等销毁类操作；；；

? 批改系统配置、、、框架主题参数、、、权限清单等设置类操作；；；

? 执行未经过安全审计的剧本、、、法式、、、号令等执行类操作；；；

? 接见系统敏感目录（如~/.ssh、、、/etc）、、、专用数据存储区域等接见类操作。。。


4.权限动态管控


成立OpenClaw类智能利用权限动态治理台账，遵循最小权限、、、按需分配、、、动态回收准则，严禁盛开治理员权限、、、全盘文件接见权限、、、敏感系统操作权限；；；定期每30天发展一次权限梳理，算帐冗余授权、、、过期授权，实时关闭高危执行端口，权限调换需推广审批手续并更新登记信息。。。


（三）第三优先级：：企业级防护架构（企业级部署必做）


合用于公司经审批的工作场景部署实例，通过架构级防护实现安全风险的深度防控，强化隔离、、、监控、、、备份能力，保险企业级使用的安全性和不变性。。。


1.深入网络与资源微隔离


? 在专用VLAN基础上，对OpenClaw类智能利用实例进行细粒度资源隔离，使用K8s/容器化技术实现实例之间的齐全隔离，预防单实例风险扩散；；；

? 配置容器/虚构机的资源限度，不容OpenClaw类智能利用占用过量服务器资源，杜绝因资源耗尽导致的业务中断；；；

? 对OpenClaw类智能利用的出站网络衔接进行白名单治理，仅允许接见经审批的外部服务，不容无规定的网络接见。。。


2.全量审计与实时监控


? 开启深度日志纪录职能，将审计级别设置为debug，实现OpenClaw类智能利用的所有操作、、、指令、、、数据交互、、、权限调换的全流程日志留存，日志保留期限不少于6个月；；；

? 将OpenClaw类智能利用的日志系统、、、运行状态集成大公司SIEM安全监控平台，实现7×24小时实时监控，对高频WebSocket衔接、、、异常文件接见模式、、、突发Token亏损、、、权限异常调换、、、异地接见等行为设置自动告警，告警响应功夫不超过15分钟；；；

? 指定专人作为OpenClaw类智能利用安全监控责任人，逐日核查监控日志和告警信息，实时措置异常情况，做好措置纪录。。。


3.定期数据备份与应急复原


? 成立OpenClaw类智能利用专用环境的定期备份机制，对配置文件、、、主题运行数据、、、日志文件进行加密备份，备份频率不少于逐日一次，异地存储蓄份文件，备份保留期限不少于3个月；；；

? 制订OpenClaw类智能利用安全应急措置规划，明确缝隙攻击、、、恶意收受、、、数据泄露、、、系统失控等突发情况的措置流程、、、责任人、、、应急措施；；；每季度发展一次应急演练，确保规划的可行性和有效性。。。


4.定期安全测评


信息安全治理部门每季度对公司内部部署的OpenClaw类智能利用实例进行一次全面安全测评，蕴含缝隙扫描、、、权限核查、、、配置审计、、、日志分析等，发现问题立即下达整改通知，使用部门需在规按功夫内实现整改并反馈，测评了局和整改情况纳入公司信息安全治理台账。。。


六、、、全程监控与审计要求


公司对OpenClaw类智能利用的使用尝试全流程、、、无死角监控与审计，确保所有操作可追忆、、、问题可核查、、、责任可界定，监控审计了局作为公司信息安全查核的重要凭据。。。


1.监控领域：：覆盖OpenClaw类智能利用的部署、、、配置、、、权限调换、、、指令执行、、、数据交互、、、网络接见、、、API使用等全流程操作，蕴含专网部署实例和小我登记使用实例。。。


2.审计频次：：信息安全治理部门每月发展一次通例安全审计，每季度发展一次全面安全审计；；；使用部门逐日发展一次本地操作日志核查，实时发现并措置异常。。。


3.纪录留存：：所有监控数据、、、操作日志、、、审计汇报、、、审批登记文件、、、权限调换纪录、、、应急措置纪录等，均需进行加密存储，留存期限不少于6个月，涉及重要项主张，留存期限不少于3年。。。


4.行为追忆：：一旦发现安全异常�；；蛭ス嫘形�，立即启动追忆机制，通过监控日志和操作纪录，精准定位操作人、、、操作功夫、、、操作内容、、、影响领域，为责任认定微风险措置提供凭据。。。


七、、、通用合规操作要求


1.插件使用：：优先使用OpenClaw类智能利用官方认证插件，严禁装置第三方未认证、、、索要过高权限、、、职能不明的插件；；；装置插件前需经信息安全治理部门核查，插件使用情况纳入登记信息。。。


2.人员治理：：OpenClaw类智能利用的使用人员需经公司信息安全培训合格后方可操作，明确安全责任，严禁将账号、、、密码、、、API Key等信息转借、、、共享给他人，严禁使用他人账号进行操作。。。


3.异常上报：：发现OpenClaw类智能利用存在被恶意收受、、、权限异�！！�、、、发送可疑指令、、、日志异�！！�、、、网络接见异常等情况，或发现他人无审批、、、无登记使用OpenClaw类智能利用的，需立即终场有关操作，在1小时内向上级主管及公司信息安全治理部门上报，不得隐瞒、、、迟延，同时采取一时隔离、、、断网等应急措施，预防风险扩大。。。


4.培训与查核：：公司定期组织OpenClaw类智能利用安全使用培训和查核，所有使用人员必须参与，查核不合格的，暂停其使用权限，直至查核合格。。。


八、、、违规处置


本指引为公司OpenClaw类智能利用装置使用的法定合规要求，所有部门和小我均需严格遵循执行。。。对违反本指引的行为，公司将凭据《员工手册》《公司信息安全治理法子》等有关制度进行处罚。。。


九、、、附则


1.本指引由公司信息安全治理部门掌管诠释、、、订正。。。


2.公司信息安全治理部门配套制订并颁布《OpenClaw类智能利用安全执行细则》。。。


3.本指引自颁布之日起正式执行，原有有关划定与本指引不一致的，以本指引为准。。。