信息安全管理体系政策

0生态系统

第 1 条 – 目的

本信息安全管理系统（“1”）政策建立了治理框架，用于保护0生态系统处理的信息的机密性、完整性、可用性、真实性和弹性。

本政策的目标是：

• 保护客户信息；
• 保护商业信息；
• 支持安全SaaS运营；
• 保护市场交易；
• 安全的 0 启用服务；
• 管理网络安全风险；
• 履行合同义务；
• 遵守适用的法律和监管要求。

第 2 条 – 范围

本政策适用于：

• 雇员;
• 董事；
• 承包商；
• 开发商；
• 顾问；
• 供应商；
• 云服务提供商；
• 托管服务提供商；
• 有权访问0系统的第三方供应商。

它涵盖：

• 信息资产；
• 0平台；
• 市场；
• 主机门户；
• 清洁门户；
• 供应商门户；
• 管理门户；
• 0s；
• 移动应用程序；
• 云基础设施；
• 0系统；
• 开发环境；
• 生产系统；
• 备份系统。

第 3 条 – 安全原则

0 应通过实施控制措施来保护信息，以确保：

保密性

只有经过授权的人员才能访问信息。

正直

信息保持完整、准确，并防止未经授权的修改。

可用性

授权用户在需要时仍然可以使用系统。

真实性

用户和系统都经过适当的身份验证。

问责制

与安全相关的活动是可追溯和可审计的。

弹力

关键服务可以承受中断并从中断中恢复。

第 4 条 – 治理

高级管理层对0的整体有效性负责。

运营职责可分配给：

• 信息安全经理；
• 合规官；
• 数据保护官（如有任命）；
• IT 运营；
• 工程;
• 开发安全运营；
• 0 治理功能。

应记录并定期审查安全责任。

第 5 条 – 风险管理

信息安全风险应为：

• 已识别；
• 已评估；
• 优先；
• 已治疗；
• 被监控；
• 已审核。

风险处理应与以下因素成比例：

• 业务影响；
• 可能性；
• 法律义务；
• 运营需求。

第 6 条 – 访问控制

信息的获取应遵循最小特权原则。

应授予访问权限：

• 根据业务需要；
• 经授权人员批准；
• 定期审查；
• 不再需要时立即撤销。

特权访问应受到加强监控。

第 7 条 – 事件管理

安全事件应为：

• 已报告；
• 已评估；
• 包含；
• 已调查；
• 记录在案；
• 已修复；
• 已审核。

如有需要，涉及个人数据的事件应根据个人数据泄露响应程序进行管理。

第 8 条 – 业务连续性

0 应保持适当的措施来支持：

• 运营弹性；
• 灾难恢复；
• 备份恢复；
• 服务连续性；
• 事件恢复。

应定期测试业务连续性安排。

第 9 条 – 安全意识

人员应获得与其职责相适应的信息安全意识。

培训可能包括：

• 网络钓鱼意识；
• 密码安全；
• 事故报告；
• 信息的安全处理；
• 人工智能安全意识；
• 社会工程。

第 10 条 – 遵守

0 支持遵守：

• 0;
• 法国数据保护法；
• 合同义务；
• 公认的信息安全标准；
• 适用的网络安全立法。

第 11 条 – 持续改进

应定期审查0。

审查应考虑：

• 安全事故；
• 审计结果；
• 漏洞趋势；
• 技术发展；
• 监管变化。

应记录并监控纠正措施。

第 12 条 – 联系方式

安全查询可发送至：

信息安全功能

0

电子邮件：security@farenio.com

第 13 条 – 接受

所有人员及相关第三方均应遵守本政策。

使用0生态系统即表示承认适用的信息安全义务。

附件A

资产管理政策

目的

确保所有信息资产在其整个生命周期内得到识别、拥有、分类、保护、维护和安全处置。

资产盘点

0 应维护信息资产的中央清单，包括：

• 硬件;
• 服务器；
• 最终用户设备；
• 移动设备；
• 云服务；
• 数据库；
• 源代码存储库；
• 0s；
• 0型号；
• 文档；
• 备份；
• 加密密钥；
• 第三方应用程序。

资产所有权

每个信息资产应有一个指定的所有者，负责：

• 分类;
• 授权使用；
• 保护;
• 定期审查；
• 生命周期决策。

信息分类

信息至少应分类为：

• 民众;
• 内部的;
• 机密的;
• 受限制的。

分类决定了处理、储存、传输和处置要求。

资产生命周期

控制措施应适用于：

• 获得;
• 登记;
• 操作使用；
• 维护;
• 档案；
• 安全处置。

处理

应使用适合媒体和信息敏感性的方法安全地处置信息资产。

附件B

加密控制标准

0 应使用适合风险和适用法律要求的加密技术。

加密

敏感信息应受到保护：

• 在途中;
• 休息时；
• 在适当的情况下进行备份。

密钥管理

控制措施应管辖：

• 密钥生成；
• 贮存;
• 分配;
• 旋转；
• 撤销；
• 毁灭。

对加密密钥的访问应仅限于授权人员和系统。

证书管理

数字证书应是：

• 库存；
• 被监控；
• 到期前续订；
• 在受损的地方被撤销。

密码生命周期

应定期审查密码控制，以应对不断变化的威胁和技术发展。

附件C

漏洞管理标准

0 应实施结构化的漏洞管理计划。

鉴别

可以通过以下方式识别漏洞：

• 自动扫描；
• 代码审查；
• 渗透测试；
• 供应商咨询；
• 威胁情报；
• 负责任的披露。

优先顺序

漏洞的优先级应基于：

• 严重程度；
• 可利用性；
• 业务影响；
• 资产重要性。

补救措施

应分配并跟踪适当的纠正措施。

确认

关闭前应验证修复效果。

报告

管理层应收到定期报告，内容包括：

• 突出的漏洞；
• 补救状态；
• 趋势；
• 风险暴露。

附件D

供应商安全管理政策

供应商应接受与所提供服务相适应的安全尽职调查。

尽职调查

评估可能包括：

• 安全认证；
• 隐私合规；
• 金融稳定；
• 技术能力；
• 事件历史。

合同控制

合同应注明：

• 保密；
• 数据保护；
• 安全义务；
• 审计权；
• 事故通知；
• 分包。

监控

应定期审查供应商的表现。

离职

终止时：

• 访问权限应被撤销；
• 资产返还；
• 按照合同要求安全删除或返还机密信息。

附件E

记录和监控标准

应记录与安全相关的事件以支持运营管理、事件响应和合规性。

事件记录

日志可能包括：

• 身份验证事件；
• 访问尝试；
• 行政行为；
• 系统变更；
• 0 活动；
• 安全警报；
• 0 适当的行政措施。

监控

应监控日志：

• 可疑行为；
• 操作异常；
• 安全事故；
• 性能问题。

保留

应根据法律、操作和安全要求保留日志。

审查

定期审查应验证：

• 日志完整性；
• 正直;
• 监测的有效性。

警报

适当的警报机制应支持及时调查重大事件。

附件F

备份和灾难恢复标准

0 应维持适合业务和监管要求的备份和恢复安排。

备份策略

备份应为：

• 已安排；
• 防止未经授权的访问；
• 定期测试；
• 根据弹性目标存储。

恢复目标

恢复计划应定义：

• 恢复时间目标（RTO）；
• 恢复点目标 (RPO)；

基于业务影响的关键系统。

恢复

恢复程序应记录并定期测试以验证可恢复性。

灾难恢复

灾难恢复计划应包括：

• 角色和责任；
• 沟通程序；
• 恢复优先事项；
• 替代运营安排；
• 验证恢复的服务。

弹力

通过定期演练、总结经验教训和管理评审来审查和提高业务连续性和灾难恢复能力。