2026年8月28日
如果你正為加拿大機構評估 DocuSign，而安全團隊要求採購符合加拿大網絡安全中心（CCCS）的雲端指引，那麼答案很簡單：網絡安全中心不認證、不批准、也不推薦任何供應商——DocuSign 也不例外。其雲端安全資料是一套需要你自己執行的風險管理框架：為數據分類、評估供應商的託管、控制與供應鏈狀況、以書面記錄風險決策，並在合約有效期內持續覆核。本指南把這套框架套用到雲端電子簽署採購上。
CCCS 雲供應鏈指引對加拿大採購方的要求
加拿大網絡安全中心——即 Cyber Centre，常縮寫為 CCCS——是加拿大通訊安全局（Communications Security Establishment）面向公眾的資訊科技安全部門。其出版物包括雲端安全工具包、雲端安全風險管理指引，以及涵蓋軟件與供應鏈威脅的 ITSAP 意識系列。這些文件都不會點名或排名商業產品，它們確立的是一套評估紀律：弄清你的數據存放在哪裡、誰可以存取、有哪些控制措施保護它，以及出問題時由誰負責。
對採購團隊來說，這意味著四項義務：先為計劃流入該服務的資訊分類，因為可接受的風險隨分類而定；在簽署合約之前而不是部署之後評估供應商；把評估寫下來，讓決策在人員流動後依然留痕；把雲端服務當作持續關係，在供應商更換子處理者、託管區域或控制措施時重新評估。
網絡安全中心如何組織雲端風險
網絡安全中心的雲端安全風險管理指引把評估組織在少數幾類風險上——通常概括為用戶、數據、安全控制與合規問責四類。每一類都能對應到電子簽署平台的具體問題：誰可以存取服務、在何種身份控制下存取（管理員、發送人席位，以及關鍵的外部簽署人透過電郵連結、短訊或更強的驗證方式認證）；儲存了什麼、存在哪裡、存多久，並注意已簽署的協議與審計元數據往往攜帶敏感資訊；適用哪些安全控制，涵蓋加密、日誌、事件應對與業務持續性；以及出錯時由誰負責——這正是書面風險決策的歸屬之處。
買家有時會以為持有常見商業認證的供應商等於「通過」了 CCCS 審查。這個假設在兩個方向上都錯：SOC 2 或 ISO 27001 報告是有用的證據，但不是加拿大政府的評估；而缺少這類認證也不代表供應商不合格。評估——以及責任——始終在你自己手上。
電子簽署在你的雲供應鏈中的位置
電子簽署平台在雲供應鏈中佔據特殊位置，因為它不只是另一個存放數據的 SaaS 工具。它產生證據。簽署時生成的審核追蹤與完成證明書，日後可能成為執法行動或監管回應的依據，所以這裡的風險不只是保密性——一個被攻破的簽署服務理論上可能影響紀錄本身的完整性。
有兩層值得分別關注。託管層：服務運行在哪個雲端供應商的哪個區域、在怎樣的責任共擔模式下運行。身份與交付層：簽署人認證如何運作，釣魚或帳戶接管又如何把偽造簽署注入真實工作流程。第二層正是許多真實事件發生之處，因此我們在新加坡企業電子簽署使用中的網絡安全風險分析中談到的安全衛生，對加拿大團隊同樣適用。
批准 DocuSign 之前應核實的項目
以評估者的身份而非客戶的身份來看待 DocuSign。以下是要索取證據和以書面確認界限的事項——不是對供應商現況的斷言。
- 託管區域與數據駐留。 詢問哪些雲端區域處理和儲存信封、文件與審計紀錄，是否提供加拿大境內或區域內儲存、是否寫入合約；選項可能因計劃版本而異。我們對電子簽署加拿大數據駐留的概述解釋了這為何重要。
- 認證範圍，而非只看標誌。 供應商通常公佈 ISO 27001 與 SOC 2 證明，但範圍很重要。索取最新報告，確認納入範圍的系統包含為你的帳戶服務的環境。
- 子處理者透明度。 索取最新的子處理者名單、變更通知承諾以及任何異議權。供應商的認證不會自動延伸到它依賴的每一個第三方。
- 簽署人認證強度。 讓認證方式配合文件敏感度：電郵存取對低風險文件或許可以接受，而短訊一次性密碼或更強的驗證應可用於更高價值的協議。參見我們關於為簽署人啟用雙重身份驗證的講解。
- 證據質素。 抽查一份完成證明書和審核追蹤樣本，確認時間戳、身份事件與防篡改特徵。我們關於 DocuSign 完成證明書與審核追蹤的指南說明了這些證據能證明什麼、不能證明什麼。
想從對抗角度更全面地審視，可把本次評估與我們的 DocuSign 安全清單（亞太替代方案視角）對照閱讀，它涵蓋事故歷史、資料外洩通知條款與客戶端加固。
電子簽署供應商的雲供應鏈盡職調查清單
下表把風險類別濃縮成一份可隨採購文件歸檔的實用清單，適用於 DocuSign 或任何你正在比較的競品。
Protected B 工作負載與數據駐留現實
公營部門和部分受規管的買家會關注這個話題，是因為他們需要在嚴格處理規定下處理 Protected B 資訊。網絡安全中心的雲端指引有助讓雲端採用與這些規定相協調，聯邦部門還要透過加拿大共享服務局（Shared Services Canada）和部門保安主管機構進行額外的評估流程。
對電子簽署而言，實際問題是平台上流轉的文件是否承載 Protected B 或同類敏感內容，以及供應商的駐留、控制與合約狀況能否支撐處理規定。這個判斷屬於你自己的保安主管機構；本文不是法律或保安建議。駐留本身不是控制措施：存放在加拿大但可透過薄弱身份控制存取的數據，並不因此更安全。
為區域合規深度而構建的平台：Nota Sign
如果你的評估暴露出缺口——駐留選項被鎖在企業計劃之後、按席位定價隨簽署人群擴大而膨脹、續約時重新評估阻礙重重——可以把 DocuSign 與 Nota Sign 對照比較。Nota Sign 是法大大（FaDaDa）的全球電子簽署平台，由連續多年位列 IDC 中國電子簽名軟件市場第一的機構打造，這套工程根基延伸到覆蓋 100 多個國家和地區的法律適用範圍。其亞太合規深度——包括 Singpass、iAM Smart 等身份方案，以及從 SES 經 AES 到 QES 的簽署等級——體現了區域數據中心、多司法管轄區的架構，有國際交易對手的團隊可以用上文同一張盡職調查表來評估。定價不含按席位收費，中型及企業買家可以申請度身訂造的方案。
如果你正在整理保安評估文件，現在就可以向 Nota Sign 索取你的評估所需的保安文件，直接與現行供應商的證據比較。
