规模化推进合规本地化，实现韩国 ISMS 认证

2026年10月22日，Cloudflare 在官方材料中披露，公司已取得韩国 ISMS-P 框架下的信息安全管理体系认证。由韩国互联网与安全局（KISA）指定审计员组成的审计团队连续工作十天，核查了 80 项控制措施。对韩国用户而言，这项认证除提供安全合规依据外，也直接改变了注册流程。

韩国注册页改为分项同意

当用户选择的注册国家为韩国，或请求来自韩国境内时，Cloudflare 会展示韩语注册页面。原有的一条合并同意被拆分为四项，并提供“全部同意”操作：服务条款、个人信息收集与使用、少量个人信息向境外提供属于必选项；向营销第三方提供少量个人信息属于可选项。三个必选项构成硬性门槛，未全部勾选时注册按钮保持禁用。可选项不影响账号创建，未勾选即表示不接受相关营销许可。

为此，韩国关闭社交登录注册

Cloudflare 在全球提供 Google、Apple 和 GitHub 社交注册，但这些流程会直接交由身份提供商完成认证，不展示 Cloudflare 自己的注册表单项，因此无法在账号创建前逐项取得韩国所需的必选同意。Cloudflare 没有额外建设登录后的韩国同意页面，而是选择在韩国关闭社交注册，使当地账号统一经过其自有注册表单。

IP 定位只是默认信号

Cloudflare 根据客户端 IP 生成两位国家代码，并可通过请求中的 CF-IPCountry 标头以及 Worker 内的 request.cf.country 读取。该值用于决定默认注册页面，但 IP 地理定位本身只是估算：地址可能变更或轮换，VPN、移动运营商 NAT，以及韩国居民短期出境等情况都可能造成偏差。因此，用户在注册时选择的国家可以覆盖 IP 判断。Cloudflare 将前者视为用户主动表达，后者视为请求来源估计。

审计不只检查控制是否存在

ISMS 是面向韩国监管环境的本地化标准，涉及安全策略、访问控制、身份认证与权限、加密、事件响应、风险管理及灾难恢复，并结合韩国《个人信息保护法》及其监管指南进行评估。认证须经过 KISA 指定审计员审计和专门委员会审查，有效期为三年，并要求年度审计以维持资格。Cloudflare 表示，ISMS 不取代其现有的 ISO/IEC 27001、27701、27017、27018 等认证，而是叠加韩国特定要求。

审计人员要求以数据流图呈现员工访问个人信息的各类路径，并检查访问控制层的有效性，范围覆盖内部系统、公开网站、活动页面和 Cloudflare 控制台，从首次交互一直追踪至数据删除。同意事项的准确措辞、通知结构以及分项呈现方式也在审查范围内。准备过程持续一年半，原因之一是审计按年度周期开展；跨入新的审计年度后，团队需要重新翻译更新后的政策、收集并复核证据、发布新版隐私政策，同时吸收期间发生的页面设计和格式调整。

证书按服务边界界定范围

Cloudflare 提交的认证范围并非产品名称清单，而是由组织与运营边界、基础设施边界，以及边界内的信息资产和个人信息流三部分组成。按照 Cloudflare 的说明，只要面向客户的产品运行于同一认证平台，由相同认证团队运营并遵循同一套 ISMS 治理，即属于证书覆盖的交付路径。因此，采购方不能仅在证书中查找产品名称，而应核对具体产品的交付路径，并可前往 KISA 的公开认证机构登记记录及 Cloudflare Trust Hub 查验信息。该证书为韩国运营团队增加了本地化保障依据，但不能替代对具体服务、合同责任及客户自身合规工作的判断。

资料来源：Localizing compliance at scale: achieving South Korea’s ISMS certification（2026-10-22）。