Polityka Systemu Zarządzania Bezpieczeństwem Informacji

FARENIO EKOSYSTEM

ARTYKUŁ 1 – CEL

Niniejsza Polityka dotycząca systemu zarządzania bezpieczeństwem informacji („ISMS”) ustanawia ramy zarządzania mające na celu ochronę poufności, integralności, dostępności, autentyczności i odporności informacji przetwarzanych przez ekosystem FARENIO.

Celem niniejszej Polityki jest:

• Chroń informacje o klientach;
• Chroń informacje biznesowe;
• Wsparcie bezpiecznych operacji Saas;
• Chroń transakcje na rynku;
• Bezpieczne usługi z obsługą AI;
• Zarządzaj zagrożeniami dla cyberbezpieczeństwa;
• Spełniać zobowiązania umowne;
• Przestrzegaj obowiązujących wymogów prawnych i regulacyjnych.

ARTYKUŁ 2 – ZAKRES

Niniejsza Polityka ma zastosowanie do:

• Pracownicy;
• Dyrektorzy;
• Wykonawcy;
• Deweloperzy;
• Konsultanci;
• Sprzedawcy;
• Dostawcy usług w chmurze;
• Dostawcy usług zarządzanych;
• Dostawcy zewnętrzni z dostępem do FARENIO systemów.

Obejmuje:

• Zasoby informacyjne;
• SaaS Platforma;
• Rynek;
• Portal hosta;
• Portal sprzątaczy;
• Portal dostawców;
• Portal administracyjny;
• APIs;
• Aplikacje mobilne;
• Infrastruktura chmurowa;
• AI Systemy;
• Środowiska programistyczne;
• Systemy produkcyjne;
• Systemy kopii zapasowych.

ARTYKUŁ 3 – ZASADY BEZPIECZEŃSTWA

FARENIO chroni informacje, wdrażając kontrole mające na celu zapewnienie:

Poufność

Dostęp do informacji mają wyłącznie osoby upoważnione.

Uczciwość

Informacje pozostają kompletne, dokładne i chronione przed nieupoważnioną modyfikacją.

Dostępność

W razie potrzeby systemy pozostają dostępne dla autoryzowanych użytkowników.

Autentyczność

Użytkownicy i systemy są odpowiednio uwierzytelniani.

Odpowiedzialność

Działania związane z bezpieczeństwem można przypisać i kontrolować.

Odporność

Usługi krytyczne mogą wytrzymać zakłócenia i odzyskać siły po nich.

ARTYKUŁ 4 – ZARZĄDZANIE

Za ogólną efektywność ISMS odpowiada wyższa kadra kierownicza.

Obowiązki operacyjne mogą być przypisane:

• Menedżer ds. Bezpieczeństwa Informacji;
• Specjalista ds. zgodności;
• Inspektor ochrony danych (jeżeli został wyznaczony);
• Operacje IT;
• Inżynieria;
• DevSecOps;
• AI Funkcja zarządzania.

Obowiązki w zakresie bezpieczeństwa są dokumentowane i poddawane okresowym przeglądom.

ARTYKUŁ 5 – ZARZĄDZANIE RYZYKIEM

Zagrożenia bezpieczeństwa informacji to:

• zidentyfikowany;
• Oceniony;
• Priorytetowe;
• Leczony;
• Monitorowany;
• Recenzję.

Traktowanie ryzyka jest proporcjonalne do:

• Wpływ na biznes;
• Prawdopodobieństwo;
• Obowiązki prawne;
• Potrzeby operacyjne.

ARTYKUŁ 6 – KONTROLA DOSTĘPU

Dostęp do informacji odbywa się na zasadzie najmniejszego przywileju.

Dostęp przyznaje się:

• Według potrzeb biznesowych;
• Zatwierdzone przez autoryzowany personel;
• Okresowo przeglądane;
• Natychmiast odwołane, gdy nie są już potrzebne.

Uprzywilejowany dostęp podlega wzmocnionemu monitorowaniu.

ARTYKUŁ 7 – ZARZĄDZANIE INCYDENTAMI

Incydenty związane z bezpieczeństwem to:

• Zgłoszone;
• Oceniony;
• zawarte;
• Zbadane;
• Udokumentowane;
• Naprawione;
• Recenzję.

W razie potrzeby incydenty związane z danymi osobowymi będą zarządzane zgodnie z Procedurą reagowania na naruszenie danych osobowych.

ARTYKUŁ 8 – CIĄGŁOŚĆ DZIAŁALNOŚCI

FARENIO utrzymuje odpowiednie środki w celu wspierania:

• Odporność operacyjna;
• Odzyskiwanie po awarii;
• Przywracanie kopii zapasowych;
• Ciągłość usług;
• Odzyskiwanie incydentów.

Ustalenia dotyczące ciągłości działania podlegają okresowym testom.

ARTYKUŁ 9 – ŚWIADOMOŚĆ BEZPIECZEŃSTWA

Personel powinien uzyskać świadomość bezpieczeństwa informacji odpowiednią do swoich obowiązków.

Szkolenie może obejmować:

• Świadomość phishingu;
• Bezpieczeństwo hasłem;
• Zgłaszanie incydentów;
• Bezpieczne przetwarzanie informacji;
• Świadomość bezpieczeństwa AI;
• Inżynieria społeczna.

ARTYKUŁ 10 – ZGODNOŚĆ

ISMS wspiera zgodność z:

• GDPR;
• francuska ustawa o ochronie danych;
• Zobowiązania umowne;
• Uznane standardy bezpieczeństwa informacji;
• Obowiązujące przepisy dotyczące cyberbezpieczeństwa.

ARTYKUŁ 11 – CIĄGŁE DOSKONALENIE

ISMS będzie poddawana okresowemu przeglądowi.

Recenzje uwzględniają:

• Incydenty związane z bezpieczeństwem;
• Ustalenia audytu;
• Trendy podatności;
• Rozwój technologiczny;
• Zmiany regulacyjne.

Działania naprawcze należy dokumentować i monitorować.

ARTYKUŁ 12 – KONTAKT

Zapytania dotyczące bezpieczeństwa można kierować na adres:

Funkcja bezpieczeństwa informacji

GQ VENTURES SAS

E-mail: security@farenio.com

ARTYKUŁ 13 – AKCEPTACJA

Cały personel i odpowiednie strony trzecie mają obowiązek przestrzegać niniejszej Polityki.

Korzystanie z Ekosystemu FARENIO oznacza uznanie obowiązujących obowiązków w zakresie bezpieczeństwa informacji.

ZAŁĄCZNIK A

POLITYKA ZARZĄDZANIA AKTYWAMI

Zamiar

Zapewnienie, że wszystkie zasoby informacyjne są identyfikowane, posiadane, klasyfikowane, chronione, utrzymywane i bezpiecznie usuwane przez cały cykl ich życia.

Inwentarz aktywów

FARENIO będzie prowadzić centralną inwentaryzację zasobów informacyjnych, obejmującą:

• Sprzęt komputerowy;
• Serwery;
• Urządzenia użytkownika końcowego;
• Urządzenia mobilne;
• Usługi w chmurze;
• Bazy danych;
• Repozytoria kodu źródłowego;
• APIs;
• modele AI;
• Dokumentacja;
• Kopie zapasowe;
• Klucze kryptograficzne;
• Aplikacje innych firm.

Własność aktywów

Każdy zasób informacyjny ma wyznaczonego właściciela odpowiedzialnego za:

• Klasyfikacja;
• Autoryzowane użycie;
• Ochrona;
• Przegląd okresowy;
• Decyzje dotyczące cyklu życia.

Klasyfikacja informacji

Informacje klasyfikuje się co najmniej jako:

• Publiczny;
• Wewnętrzny;
• Poufny;
• Ograniczony.

Klasyfikacja określa wymagania dotyczące obsługi, przechowywania, przesyłania i usuwania.

Cykl życia aktywów

Kontrole obowiązują od:

• Nabytek;
• Rejestracja;
• Zastosowanie operacyjne;
• Konserwacja;
• Archiwalny;
• Bezpieczna utylizacja.

Sprzedaż

Zasoby informacyjne należy usuwać w bezpieczny sposób, stosując metody odpowiednie dla mediów i wrażliwości informacji.

ZAŁĄCZNIK B

STANDARD KONTROLI KRYPTOGRAFICZNEJ

FARENIO będzie stosować kryptografię odpowiednią do zagrożeń i obowiązujących wymogów prawnych.

Szyfrowanie

Informacje wrażliwe podlegają ochronie:

• w transporcie;
• Spokojnie;
• Podczas tworzenia kopii zapasowej, jeśli ma to zastosowanie.

Zarządzanie kluczami

Kontrole regulują:

• Generowanie klucza;
• Składowanie;
• Dystrybucja;
• Obrót;
• Unieważnienie;
• Zniszczenie.

Dostęp do kluczy kryptograficznych powinien mieć wyłącznie upoważniony personel i systemy.

Zarządzanie certyfikatami

Certyfikaty cyfrowe są:

• zinwentaryzowane;
• Monitorowany;
• Odnowione przed wygaśnięciem;
• Unieważnione w przypadku naruszenia.

Cykl życia kryptograficznego

Kontrole kryptograficzne podlegają okresowym przeglądom w celu uwzględnienia zmieniających się zagrożeń i rozwoju technologicznego.

ZAŁĄCZNIK C

STANDARD ZARZĄDZANIA PODATNOŚCIAMI

FARENIO wdroży ustrukturyzowany program zarządzania podatnościami.

Identyfikacja

Podatności można zidentyfikować poprzez:

• Automatyczne skanowanie;
• Recenzje kodu;
• Testy penetracyjne;
• Doradztwo dla dostawców;
• Analiza zagrożeń;
• Odpowiedzialne ujawnienie.

Priorytetyzacja

Priorytet dla luk w zabezpieczeniach ustala się na podstawie:

• Powaga;
• Możliwość wykorzystania;
• Wpływ na biznes;
• Krytyczność aktywów.

Remediacja

Należy przypisać i monitorować odpowiednie działania naprawcze.

Weryfikacja

Skuteczność środków zaradczych sprawdza się przed zamknięciem.

Raportowanie

Kierownictwo otrzymuje okresowe raporty obejmujące:

• Wyjątkowe luki w zabezpieczeniach;
• Stan naprawy;
• Trendy;
• Ekspozycja na ryzyko.

ZAŁĄCZNIK D

POLITYKA ZARZĄDZANIA BEZPIECZEŃSTWEM DOSTAWCY

Dostawcy podlegają należytej staranności w zakresie bezpieczeństwa, odpowiedniej do świadczonych usług.

Należyta staranność

Ocena może obejmować:

• Certyfikaty bezpieczeństwa;
• Zgodność z przepisami dotyczącymi prywatności;
• Stabilność finansowa;
• Możliwości techniczne;
• Historia incydentów.

Kontrole umowne

Umowy dotyczą:

• Poufność;
• Ochrona danych;
• Obowiązki bezpieczeństwa;
• Prawa do audytu;
• Powiadomienie o incydencie;
• Podwykonawstwo.

Monitorowanie

Wydajność Dostawcy będzie podlegać okresowym przeglądom.

Offboarding

Po rozwiązaniu:

• Dostęp zostanie cofnięty;
• Zwrócone aktywa;
• Informacje poufne bezpiecznie usunięte lub zwrócone zgodnie z wymogami umowy.

ZAŁĄCZNIK E

STANDARD REJESTROWANIA I MONITOROWANIA

Zdarzenia istotne dla bezpieczeństwa powinny być rejestrowane w celu wsparcia zarządzania operacyjnego, reagowania na incydenty i zapewniania zgodności.

Rejestrowanie zdarzeń

Dzienniki mogą obejmować:

• Zdarzenia uwierzytelniające;
• Próby dostępu;
• Działania administracyjne;
• Zmiany systemowe;
• API Aktywność;
• Alerty bezpieczeństwa;
• AI Działania administracyjne tam, gdzie jest to właściwe.

Monitorowanie

Dzienniki należy monitorować pod kątem:

• Podejrzane zachowanie;
• Anomalie operacyjne;
• Incydenty związane z bezpieczeństwem;
• Problemy z wydajnością.

Zatrzymanie

Dzienniki należy przechowywać zgodnie z wymogami prawnymi, operacyjnymi i bezpieczeństwa.

Recenzja

Przeglądy okresowe sprawdzają:

• Kompletność dziennika;
• Uczciwość;
• Skuteczność monitorowania.

Alarmowanie

Odpowiednie mechanizmy ostrzegania będą wspierać terminowe badanie znaczących zdarzeń.

ZAŁĄCZNIK F

STANDARD tworzenia kopii zapasowych i odzyskiwania po awarii

FARENIO będzie utrzymywać rozwiązania dotyczące tworzenia kopii zapasowych i odzyskiwania danych odpowiednie do wymogów biznesowych i regulacyjnych.

Strategia tworzenia kopii zapasowych

Kopie zapasowe powinny być:

• Zaplanowany;
• Ochrona przed nieautoryzowanym dostępem;
• Testowane okresowo;
• Przechowywane zgodnie z celami dotyczącymi odporności.

Cele odzyskiwania

Planowanie naprawy określa:

• Docelowy czas odzyskiwania (RTO);
• Cel punktu przywracania (RPO);

dla systemów krytycznych w oparciu o wpływ na biznes.

Przywrócenie

Procedury przywracania należy dokumentować i okresowo testować w celu sprawdzenia możliwości odzyskania.

Odzyskiwanie po awarii

Planowanie odtwarzania po awarii obejmuje:

• Role i obowiązki;
• Procedury komunikacyjne;
• Priorytety odzyskiwania;
• Alternatywne ustalenia operacyjne;
• Weryfikacja przywróconych usług.

Odporność

Zdolności w zakresie ciągłości działania i odzyskiwania po awarii będą poddawane przeglądowi i ulepszane w drodze okresowych ćwiczeń, wyciągniętych wniosków i przeglądu zarządzania.