Политика защиты данных в цифровой среде

Процедура

по защите данных в цифровом виде

1. Цель и область применения

Целью Процедуры является обеспечение надежной защиты конфиденциальной, ценной и чувствительной информации компании, находящейся в цифровом формате. Процедура направлена на минимизацию рисков утечки данных, несанкционированного доступа, вредоносных атак и других угроз, которые могут возникнуть при обработке, хранении и передаче данных о клиентах, продуктах и операциях компании.

2. Ответственность

Ответственным за выполнение данной процедуры является: ответственное лицо за направление КЦ.

3. Перечень активов информационных технологий и их инвентаризация

- В рамках данной Процедуры создан Перечень активов информационных технологий, включающий как аппаратное обеспечение (десктопы, ноутбуки, планшеты, мобильные телефоны, маршрутизаторы, камеры...), так и программное обеспечение, обрабатывающее информацию.

- Перечень охватывает все устройства и программы, содержащие конфиденциальные данные компании. Инвентаризация проводится для каждого актива, включая определение наименования, модели, серийного номера и других идентификационных данных.

- Эта информация регулярно обновляется, чтобы отразить текущее состояние активов. Инвентаризация также включает активы, находящиеся вне офисных помещений, такие как мобильные устройства. Оборудование и активы вне помещений также подвергаются инвентаризации и мерам защиты.

4. Программа упреждающего обслуживания активов информационных технологий

- Для обеспечения надежности и долгосрочной работоспособности активов информационных технологий, работающих с данными, разработана и внедрена программа упреждающего обслуживания. Эта программа основывается на рекомендованных интервалах технического обслуживания, предоставленных поставщиками оборудования и программного обеспечения.

- Программа включает в себя как аппаратное, так и программное обслуживание, чтобы гарантировать оптимальную производительность и безопасность. Записи о проведенных обслуживаниях подробно документируются и заносятся в соответствии с установленными требованиями в Перечень активов ИТ. Это обеспечивает не только планирование и следование регулярному обслуживанию, но и доступ к истории технических мероприятий для каждого актива.

4.1. Управление обновлениями программного обеспечения и исправлениями безопасности

- Для используемых компанией информационных систем, программного обеспечения и цифровых сервисов должен быть установлен порядок своевременной установки обновлений, исправлений безопасности и иных патчей, выпускаемых разработчиками и поставщиками.

- Обновления и исправления распространяются на все применимые системы, связанные с транспортной деятельностью и обработкой данных, включая системы обработки заказов, TMS и иные системы управления перевозками, базы данных, корпоративную почту, EDI/API-соединения, интернет-платформы, средства удаленного доступа, системы контроля доступа и иные используемые цифровые решения.

- Критические исправления безопасности устанавливаются в приоритетном порядке с учетом оценки уязвимости и возможного влияния на работоспособность систем. Если немедленная установка обновления невозможна, должны быть определены и документированы временные компенсирующие меры.

- Факт установки существенных обновлений и исправлений должен подтверждаться записями в Перечне активов ИТ, журнале обслуживания, отчете поставщика или ином документированном виде, позволяющем проверить дату и результат выполнения работ.

4.2. Резервное копирование и восстановление критических данных

- Для критических данных и информационных систем должен действовать документированный план резервного копирования и восстановления, позволяющий восстановить необходимые данные и работоспособность после киберинцидента, сбоя оборудования, повреждения данных, вредоносной атаки или иного нарушения доступности.

- План должен определять, как минимум: перечень критических данных и систем; периодичность резервного копирования; место и способ хранения резервных копий; ответственных лиц; порядок восстановления; приоритетность восстановления систем; действия в случае недоступности основных ресурсов.

- Резервные копии должны быть защищены от несанкционированного доступа и, по возможности, логически или физически отделены от основных рабочих данных. Доступ к резервным копиям предоставляется только уполномоченным лицам.

- Работоспособность процедуры восстановления должна периодически проверяться посредством тестового восстановления данных либо иным документированным способом. Результаты проверки фиксируются и, при выявлении недостатков, служат основанием для корректирующих действий.

4.3. Требования к внешним поставщикам ИТ-услуг и цифровых платформ

- В случаях, когда хранение, обработка, передача данных либо эксплуатация информационной системы переданы внешнему поставщику, облачному сервису или иному подрядчику, требования информационной безопасности должны быть учтены при его выборе и в договорных отношениях.

- Договор, приложение к договору, соглашение об уровне сервиса или иной документ должен, в применимой части, содержать требования к защите конфиденциальной информации, разграничению доступа, уведомлению об инцидентах и уязвимостях, резервному копированию и восстановлению, управлению обновлениями, сохранности данных и выполнению обязательных требований законодательства и договоров с заказчиками.

- Для внешних цифровых платформ, EDI-соединений и иных каналов обмена данными должны применяться адекватные меры защиты передачи и обработки данных, а их наличие учитывается при ежегодной оценке киберрисков.

5. Аудит информационной системы и соответствие критериям

- С целью обеспечения надежности и соответствия установленным стандартам безопасности, информационная система компании проверяется независимым аудитором не реже одного раза в год.

- Аудит включает оценку выполнения определенных критериев безопасности, установленных в рамках компании и в соответствии с идеологией стандарта ISO 27001.

5.1. Требования к независимости аудита и документированию результатов

- Проверка информационной системы должна быть проведена в течение последних двенадцати месяцев и подтверждаться документированным отчетом, заключением, актом или иным свидетельством независимой проверки.

- Аудит может выполняться внешней организацией либо внутренним специалистом, независимым от разработки, администрирования и технического сопровождения проверяемой информационной системы. Проверка, выполняемая сотрудником ИТ-подразделения, непосредственно ответственным за разработку, эксплуатацию или обслуживание проверяемой системы, не считается независимой.

- Критерии аудита определяются до начала проверки и могут включать внутренние требования компании, договорные требования заказчиков, положения настоящей Процедуры, применимые требования законодательства, а также применимые положения ISO/IEC 27001 и иных признанных стандартов информационной безопасности.

- Выявленные в ходе аудита несоответствия и замечания должны быть включены в план корректирующих действий с указанием ответственных лиц и сроков. Выполнение существенных корректирующих действий подлежит документированному контролю.

5.2. Ежегодное тестирование на проникновение

- Для компании, численность которой составляет 10 и более работников, не реже одного раза в двенадцать месяцев проводится тестирование на проникновение (penetration test) с целью выявления уязвимостей в цифровых системах, используемых в транспортной деятельности и при обработке связанных с перевозками данных. Для компании с меньшей численностью такое тестирование проводится по решению руководства, по результатам оценки рисков либо по требованию заказчика.

- Объем, глубина, сложность и методология тестирования определяются с учетом структуры информационной среды и уровня риска. В область тестирования включаются применимые внешние и внутренние цифровые компоненты, включая системы обработки заказов, TMS, базы данных, веб-приложения, EDI/API-интерфейсы, средства удаленного доступа и другие критичные для транспортной деятельности системы.

- Тестирование проводится внешним квалифицированным специалистом или организацией, обладающими необходимой компетентностью и независимостью от разработки и эксплуатации проверяемых систем.

- По результатам тестирования оформляется отчет с выявленными уязвимостями, оценкой их критичности и рекомендациями. Для существенных уязвимостей составляется план корректирующих действий с ответственными лицами и сроками устранения; при необходимости выполняется повторная проверка устранения уязвимости.

- Проведение тестирования должно быть предварительно согласовано ответственным лицом, чтобы исключить недопустимое влияние на рабочие системы и обеспечить сохранение конфиденциальности информации.

6. Коммуникационный диалог и реагирование на угрозы и инциденты

- Для обеспечения эффективной коммуникации и обмена информацией по вопросам безопасности среди сотрудников и подрядчиков разработана система, предоставляющая информацию о текущих угрозах безопасности, а также обновлений в уровнях угроз: оранжевый (есть подозрения на существование угрозы) и красный (существование угрозы подтверждено).

- В рамках этой системы предоставляется информация как для сотрудников, так и для руководства, чтобы обеспечить адекватную реакцию на изменение ситуации. Также существует система обмена информацией с местными и национальными правоохранительными органами, которая позволяет оперативно реагировать на возможные угрозы.

- Коммуникации, диалог и обмен информацией с заинтересованными сторонами, такими как сотрудники, подрядчики, заказчики, органы власти и другие, осуществляются с соблюдением мер по защите конфиденциальной информации, обеспечивая сбалансированный подход к безопасности и прозрачности.

- В случае возникновения инцидентов незамедлительно проводится оценка ситуации с целью минимизации возможных последствий. Кроме того, создается "культура извлечения уроков" по вопросам защиты данных в цифровом виде внутри компании и, при необходимости, в компаниях-подрядчиках, что позволяет улучшать практики и предотвращать подобные инциденты в будущем.

6.1. Порядок реагирования на угрозы информационной безопасности и киберинциденты

- В компании должен действовать документированный порядок реагирования на угрозы информационной безопасности и киберинциденты. К таким событиям относятся, в частности: подозрение или факт несанкционированного доступа; заражение вредоносным ПО; фишинг и компрометация учетных данных; утечка или утрата данных; нарушение работоспособности критических систем; кибератака; обнаружение критической уязвимости; потеря или кража устройства, содержащего служебные данные.

- Работник, обнаруживший признаки угрозы или инцидента, обязан незамедлительно сообщить ответственному лицу за направление КЦ и не предпринимать действий, способных уничтожить значимую информацию об инциденте, если такие действия не требуются для немедленного предотвращения ущерба.

- Реагирование включает, в зависимости от характера события: регистрацию и первичную оценку; классификацию серьезности; локализацию и ограничение распространения; защиту учетных записей и данных; сохранение доступных доказательств; устранение причины; восстановление систем и данных; проверку нормальной работоспособности; уведомление руководства, заказчиков, подрядчиков, поставщиков, страховой организации или компетентных органов в случаях, когда такое уведомление требуется.

- По каждому существенному инциденту оформляется отчет и план действий, содержащий описание события, затронутые системы и данные, принятые немедленные меры, причины, корректирующие и предупреждающие действия, ответственных лиц, сроки и отметку о проверке выполнения.

- Если событие является несоответствием в понимании Политики ОН, оно дополнительно регистрируется в Журнале Отчетности о Несоответствиях (ЖОН). По результатам расследования при необходимости пересматриваются оценка рисков, применяемые меры защиты, договорные требования к поставщикам, план резервного восстановления и программы обучения.

7. Управление рисками

- Периодическая оценка рисков проводится не реже одного раза в двенадцать месяцев. Оценка рисков охватывает данные о клиентах, продуктах и операциях компании и включает идентификацию потенциальных угроз и уязвимостей в системе хранения и обработки данных.

- Компания использует меры защиты данных, обработку заказов и использование данных о заказах клиентов на корпоративном интернет-сайте. Система электронного обмена данными настроена для безопасной передачи деловых документов между компьютерами в стандартном электронном формате. Инструменты обработки заказов настроены с учетом защиты данных, чтобы предотвратить несанкционированный доступ и утечку информации.

- Риски, связанные с защитой данных, включают, как минимум:

Хакерские атаки, включая попытки несанкционированного доступа к системам.
Распространение инфекционного вредоносного программного обеспечения (ПО).
Недостаточная безопасность деловой информации на ноутбуках, планшетах, сотовых телефонах и других мобильных устройствах.

- Для снижения рисков хакерских атак, компания использует меры аутентификации, и контролирует доступ к чувствительным данным. Для предотвращения распространения инфекционного ПО, регулярно обновляется антивирусное программное обеспечение, отслеживается сетевая активность и предоставляется обучение сотрудникам по опознанию вредоносных вложений, а также по правилам безопасности при работе с мобильными устройствами.

- Управление рисками при выполнении защиты данных в цифровом виде осуществляется в соответствии с Процедурой идентификации, оценки и приоритизации рисков и Картой Риска, указанной в Приложении №1 к данной Процедуре.

- Каждый “Сценарий реагирования при наступлении рискового события” Таблицы №2 Карты Риска предполагает обязательное выполнение стандартных требований:

Сообщить своему руководителю о несоответствии (см. Политику ОН),
Сообщить грузоотправителю/заказчику о несоответствии,
Зафиксировать несоответствие в Журнале Отчетности о Несоответствиях (ЖОН)
Провести расследование инцидента, используя отраслевые рекомендации, стандарты и правила,
Исходя из результатов расследования инцидента, провести необходимое специальное обучение ответственных лиц с проверкой знаний

7.1. Требования к ежегодной документированной оценке киберрисков

- Оценка киберрисков проводится и документируется не реже одного раза в двенадцать месяцев, а также внепланово после существенного киберинцидента, внедрения критичной информационной системы либо существенного изменения используемых цифровых процессов.

- Оценка должна охватывать, в применимой части: хакерские атаки и несанкционированный доступ; вредоносное и вымогательское ПО; фишинг и компрометацию учетных записей; защиту мобильных устройств; уязвимости EDI/API-соединений и цифровых платформ обработки заказов; риски внешних ИТ-поставщиков; своевременность обновлений и патчей; резервное копирование и восстановление; доступ к критичным системам и базам данных; иные риски, способные повлиять на конфиденциальность, целостность или доступность данных.

- В рамках оценки проверяется наличие и достаточность защитных мер для передачи и обработки данных, включая используемые EDI-соединения, системы обработки заказов, корпоративные интернет-сервисы и иные цифровые каналы обмена информацией.

- Для каждого существенного риска определяются действующие меры контроля, остаточный уровень риска и, при необходимости, дополнительные меры с ответственными лицами и сроками исполнения. Результаты оформляются в Карте Риска либо ином документе, соответствующем Процедуре идентификации, оценки и приоритизации рисков.

7.2. Многофакторная аутентификация и управление доступом к критичным системам

- Доступ к чувствительным и критичным информационным системам, в том числе системам управления перевозками, базам данных, административным учетным записям, облачным сервисам, средствам удаленного доступа и иным системам с конфиденциальной информацией, должен осуществляться с применением многофакторной аутентификации (MFA), если такая возможность технически доступна.

- MFA должна сочетать персональный идентификатор и пароль с дополнительным фактором подтверждения, например одноразовым кодом, приложением-аутентификатором, аппаратным ключом либо иным независимым средством подтверждения.

- Если отдельная система не поддерживает MFA, данный факт документируется, риск оценивается, и применяются компенсирующие меры, например ограничение сетевого доступа, усиленный контроль прав, VPN, ограничение по устройствам или иные технические и организационные меры.

- Права доступа должны предоставляться по принципу необходимости для выполнения должностных обязанностей, периодически пересматриваться и своевременно прекращаться при изменении функций или прекращении трудовых/договорных отношений.

Сообщить своему руководителю о несоответствии (см. Политику ОН),

Сообщить грузоотправителю/заказчику о несоответствии,

Зафиксировать несоответствие в Журнале Отчетности о Несоответствиях (ЖОН)

Провести расследование инцидента, используя отраслевые рекомендации, стандарты и правила,

Исходя из результатов расследования инцидента, провести необходимое специальное обучение ответственных лиц с проверкой знаний

8. Обучение сотрудников

- Обучение персонала: Проводить регулярное обучение персонала по правилам защиты и действиям в случае возникновения угроз утечки данных, несанкционированного доступа, вредоносных атак и других угроз, которые могут возникнуть при обработке, хранении и передаче данных о клиентах, продуктах и операциях компании. За соответствующее обучение сотрудников компании отвечает: ответственное лицо за направление КЦ.

- Ответственные лица транспортных компаний-подрядчиков должны быть обучены данной Процедуре и инструкциям по защите данных в цифровом виде. За соответствующее обучение ответственных лиц транспортных компаний-подрядчиков отвечает:ответственное лицо за направление ОД.

9. Обзор и обновление Процедуры

- Процедура регулярно рассматривается и обновляется по мере необходимости, с учетом возможных изменений и обновлений в требованиях защиты данных в цифровом виде, а также в случае появления новых требований или законодательства, связанного с данной сферой.

10. Используемые отраслевые рекомендации, стандарты и правила

- 2013, CEFIC, Responsible Care, “Responsible Care Security Code Guidance and Best Practice for the Implementation of the Code”