Политика по информационна сигурност

Същност

Настоящата Политика за Информационна Сигурност на Крестън БулМар представлява система от документи, които определят правилата и средствата за запазването на конфиденциалността, целостта и наличността  на информацията в Организацията.
Политиката е съобразена с Общите устройствени правила и политики на групата Крестън БулMар, най-добрите практики в съответствие с приложимите закони и разпоредби, както и с насоките на стандарта за информационна сигурност ISO 27001.

Крестън Булмар е сертифицирана по ISO 27001.

Обхват

• Дейности: Системата за управление на информационната сигурност (СУИС) обхваща управлението на сигурността на информацията, при извършване на следните дейности:

• счетоводни услуги
• правни услуги
• данъчни и консултантски услуги
• финансов одит
• обработка на заплати
• Информация, която подлежи на защита: документи на Организацията и нейните клиенти, лични данни на служители на Организацията и нейните клиенти, всякаква друга информация, свързана с предоставянето на изброените по-горе услуги.

Принципи

Настоящата политика по информационна сигурност задава рамката на система от мерки, насочени към:

• Гарантиране на конфиденциалност на информацията, чрез прилагането на одобрени ограничения върху достъпа и разкриването на информация;
• Осигуряване на цялостност на информацията, чрез защита срещу неправомерни изменения или разрушаване на информация;
• Постигане на отчетност на информацията чрез прилагане на ясни процедури за управление на данните, контрол на достъпа, проследяване на промените и използване на инструменти за анализ и отчетност;
• Идентифициране на адекватни цели по информационна сигурност;
• Постоянен мониторинг и подобрение на СУИС.

Цели

• Гарантиране на непрекъсваемост на бизнес процесите и минимизиране на зависимостта от външни фактори.
• Осигуряване на необходимите ресурси за ефективното внедряване и поддръжка СУИС.
• Предотвратяване на загубата и неоторизираното разкриване на информация, чрез внедряване на защитни мерки и процедури.
• Предотвратяване на изтичане на конфиденциална информация, чрез контрол върху достъпа и ефективно управление на риска.
• Защита на трансфера на данни между компанията и клиентите, осигурявайки двупосочна сигурност на комуникационните канали.
• Предпазване от зловредни въздействия, като вируси и хакерски атаки, чрез внедряване на антивирусни решения и системи за откриване на пробиви.
• Повишаване на информираността и компетентността на служителите относно кибер заплахите и техните задължения, чрез редовни обучения и насоки за сигурност.

Роли и отговорности     

• Мениджър Информационна Сигурност:
• Отговаря за разработването, внедряването и поддръжката на политиките, процедурите и стандартите по информационна сигурност.
• Оценява и управлява рисковете, свързани с информационната сигурност, и създава планове за тяхното смекчаване.
• Контролира и провежда редовни одити и проверки за съответствие с изискванията за информационна сигурност.
• Организира и провежда обучения за служителите с цел повишаване на осведомеността по въпросите на информационната сигурност.
• Докладва редовно на Комитета по информационна сигурност за състоянието на сигурността и препоръчва мерки за подобрение.
• Ръководи реакциите при инциденти, свързани с информационната сигурност, и осигурява последващи анализи.

•  Комитет по Информационна Сигурност
• Одобрява политики и стратегии за информационна сигурност, предложени от Мениджъра по информационна сигурност.
• Оценява и взема решения по отношение на значими рискове и инциденти, свързани с информационната сигурност.
• Подпомага координацията между отделните дружества за внедряване на мерките за сигурност.
• Преглежда и актуализира политиките по информационна сигурност в съответствие с нови заплахи и промени в бизнес средата.
• Състои се от: Групов управляващ съдружник, Мениджър информационна сигурност, Системен администратор / Директор ИТ, Директор човешки ресурси, Директор Бизнес процеси и иновации.

 

• Системни Администратори
• Управляват и поддържат IT инфраструктурата на организацията, като гарантират сигурността на системите и мрежите.
• Инсталират и поддържат защитни механизми, включително антивирусни програми, защитни стени и системи за контрол на достъпа.
• Обезпечават актуализацията на софтуера и коригират уязвимостите своевременно.
• Следят за подозрителни активности в мрежата и реагират при опити за неоторизиран достъп или инциденти.
• Водят отчетност за конфигурациите и промените по системите, като осигуряват проследимост и отчетност.

• Служители (Потребители)
• Спазват стриктно политиките и процедурите по информационна сигурност на организацията.
• Използват информационните системи и ресурси само за служебни цели и в съответствие с вътрешните изисквания.
• Съобщават незабавно за подозрителни дейности или инциденти, които биха могли да застрашат сигурността на информацията.
• Участват в регулярни обучения за информационна сигурност и прилагат научените добри практики в ежедневната си работа.
• Гарантират, че поверителна информация не се разкрива на неупълномощени лица.

Ангажираност на ръководството

Ръководството на Крестън БулМар ООД и Дъщерните Дружества на фирмата, в лицето на Управляващите, официално застава зад Политиката по ИНФОРМАЦИОННА СИГУРНОСТ на информационната система на Крестън БулМар.
Политиката е документирана, огласена и разбрана от всички служители, които имат достъп до информацията и информационните системи на Крестън БулМар ООД и нейните Дъщерни Дружества.
Ръководството гарантира, че Политиката за информационна сигурност и целите за сигурност на информацията са създадени и съвместими със стратегическата насоченост на Организацията.
Ръководството осигурява, че всички необходими ресурси за правилното функциониране на СУИС са налични.
Ръководството насочва и оказва подкрепа на всички служители да допринасят за ефикасността на СУИС и съдейства за непрекъснатото й подобрение.

Комуникация и обучение на служителите

Основната цел на комуникацията и обучението по информационна сигурност е да подготви служителите за справяне с потенциални заплахи, като повиши тяхната осведоменост и изгражда култура на проактивна сигурност в цялата компания.
Начално обучение при постъпване на работа
Всеки новопостъпил служител преминава задължително обучение по информационна сигурност, което се провежда като част от първоначалния инструктаж. Това обучение включва всички политики  и основните принципи на Организацията за информационна сигурност. В рамките на началния инструктаж се предоставя информация за различните видове киберзаплахи, като фишинг, злонамерен софтуер и социално инженерство.
Опреснителни обучения
За да се поддържат актуални знанията на служителите, компанията организира опреснителни обучения по информационна сигурност на всеки шест месеца. Тези обучения обхващат промени в политиките на компанията, нововъзникнали заплахи и актуални технологии за защита на информацията. Участието в тези обучения е задължително за всички служители.
Месечни бюлетини и актуализации
Служителите получават по електронна поща бюлетин с информация за актуалните тенденции в областта на информационната сигурност, включително нови видове фишинг атаки, съвременни техники за социално инженерство и добри практики за разпознаване и реагиране на потенциални заплахи, поне веднъж месечно. Целта на тези бюлетини е да повишат информираността и бдителността на служителите чрез регулярни кратки напомняния и съвети.
Достъп до ресурси и подкрепа
На служителите се осигурява постоянен достъп до всички ресурси по информационна сигурност – политики, видеа и други материали, които могат да бъдат полезни за тях и и изпълнението на служебните им задължения. В допълнение, служителите имат достъп до екипа по информационна сигурност за въпроси, свързани с инциденти или потенциални заплахи, както и за препоръки за правилно поведение в конкретни ситуации.

Постоянно подобрение

СУИС непрекъснато се подобрява и развива, чрез ефективен процес на управление, адресиране на инциденти и несъответствия и прилагането на адекватни и навременни коригиращи и превантивни действия.

• Провеждане на вътрешни одити

Вътрешен одит на работата на СУИС се провежда поне веднъж годишно, или при необходимост, от Мениджър ИС. Резултатите от вътрешните одити са входни елементи за Годишния преглед от Ръководството.

• Провеждане на външни сертификационни одити

Външни сертификационни одити се провеждат веднъж годишно, с цел проверка на ефективността на СУИС и на контролите, описани в Декларацията за приложимост. Резултатите от всички външни одити задължително се разглеждат и анализират от Комитета по ИС и Ръководството на Организацията. 

• Преглед от ръководството

Прегледът от ръководството се провежда поне веднъж годишно, с цел обсъждане на резултатите от проведените вътрешни и външни одити и идентифициране на възможности за подобрение.

• Съблюдаване на законовите и регулаторни разпоредби

Промени в СУИС са възможни, поради промени в законовите или нормативни документи, които трябва да се съблюдават, според дейността на Крестън БулМар и Дъщерните дружества. Някои от тези промени биха могли да представляват възможност за подобрение на системата.

• Несъответствия

Всяко документирано несъответствие или отклонение от правилния процес на работа на СУИС трябва да бъде разглеждано като възможност за подобрение.
Несъответствията се документират в Регистъра на инцидентите и подлежат на преглед от Комитета по ИС и Ръководството на Организацията.

Съхранение и архивиране на информацията

Документите на Организацията се съхраняват основно в електронен вид. Печатни копия се използват само за документи, за които това се изисква по закон.  Печатните копия се съхраняват в заключващи се шкафове, само в определени за целта помещения.
Всеки служител съхранява документите, с които работи на файловия сървър, в определената за това директория. Документи (било то лични или служебни) не се съхраняват локално на работните станции.
Системният администратор отговаря за електронното архивиране на документите и системите, независимо за кой период се отнасят.
Организацията е закупила и поддържа сървър, който се използва единствено и само за електронно резервиране и архивиране.
Всички документи и информация за клиенти се съхраняват в срокове, определени от законовите и нормативните изисквания.
Унищожаване на данни:
След изтичане на законово определения срок, личните данни се унищожават по сигурен начин, като:

• Физическите носители (хартиени документи) се унищожават чрез шредиране с висока степен на сигурност, съгласно стандартите за защита на лични данни.
• Дигиталните носители (електронни файлове) се изтриват необратимо с използване на специализиран софтуер, който гарантира невъзможността за възстановяване на информацията.
• При необходимост, процесът по унищожаване се извършва от сертифицирани външни изпълнители, като се подписва протокол за унищожаване.

Обработка на лични данни

Политиката за защита на лични данни е изцяло съобразена с националното и европейското законодателство в областта на защита на личните данни и се отнася за всички служители на КБМ и дъщерните дружества.
Конкретно обработваните и съхранявани данни, както и пълна информация за начина и целите на тяхното използване, са разписани подробно в приложенията за „Обработка на лични данни“ към индивидуалните договори на всички клиенти.
Срокът на обработка на личните данни продължава до прекратяване на договора, а срокът за съхранението им се определя спрямо конкретните законови изисквания.
Отговорните служители, обработващи лични данни, са задължени да третират информацията като „конфиденциална“.
Предприети са мерки за физическа и логическа защита на личните данни и за ограничаване правата за достъп до тях.
Организацията гарантира, че няма да продава, отдава или търгува с всякаква лична информация, получена от служителите си или от клиенти.

Работа с доставчици и подизпълнители

Управлението на отношенията с доставчици гарантира, че всички външни организации, с които се осъществява бизнес, отговарят на стандартите за сигурност и спазват законовите и договорни изисквания за защита на информацията.
Политиката обхваща всички служители на Организацията и се отнася до отношения с външни страни за различни ангажименти, включително:

• доставчици на стоки и услуги, в т.ч. поддържащи инфраструктурата на организацията;
• външни консултанти и одитори;
• почистване, кетъринг, и друг външен персонал;
• технологични партньори;
• временен персонал като стажанти и други.

Подбор и оценка на доставчици

• Предварителна оценка: Всеки потенциален доставчик се подлага на оценка, преди окончателния избор.  Всички доставчици / подизпълнители се избират на база предлаганите услуги и условия, както и техните възможности да задоволят нуждите на Организацията.
• Връзката с външни страни включва разглеждане и идентифициране на рисковете за информацията на Организацията и средствата за обработка на информация и прилагане на съответни механизми за контрол преди разрешаване на достъп.
• Всички доставчици/подизпълнители се вписват в „Регистър на доставчиците“, който съдържа: име на доставчика, контактна информация, дейност, която изпълняват за Организацията, отговорно лице от страна на Организацията.

В случай, че е необходимо да се предостави достъп до информационен ресурс/информационната система, Собственикът на съответния ресурс информира Мениджъра по ИС, Системния администратор и Груповия Управляващ съдружник. След разглеждане на изискванията за сигурност, Груповият Управляващ съдружник разрешава или забранява даването на достъп. Достъпът е временен и ограничен до нуждите на двете страни за извършване на дадена дейност.

12. Непрекъснатост на бизнеса

Политиката за управление непрекъснатостта на бизнеса се отнася до прекъсвания на обичайния работен процес, в следствие на:  

• Срив на системите
• Природна заплаха

В случай на критична ситуация, най-главната задача на Крестън БулМар е да предпази здравето и сигурността на служителите , преди да задейства процедурите по оповестяване, оценка на щетите, активиране и възстановяване.
Компанията е идентифицирала и предвидила стриктни действия за реакция в различните възможни ситуации за временно прекъсване на бизнес процесите, както и стъпки за по-бързото им остраняване.