Цифрлық ортадағы деректерді қорғау саясаты

Цифрлық форматтағы деректерді қорғау рәсімі

1. Мақсаты және қолданылу аясы

Осы Рәсімнің мақсаты цифрлық форматта сақталатын Компанияның құпия, құнды және сезімтал ақпаратын сенімді қорғауды қамтамасыз ету болып табылады. Рәсім деректердің таралуы, рұқсатсыз қол жеткізу, зиянды шабуылдар және Компанияның клиенттері, өнімдері мен операциялары туралы деректерді өңдеу, сақтау және беру кезінде туындауы мүмкін өзге де қатерлер тәуекелін барынша азайтуға бағытталған.

2. Жауапкершілік

Осы Рәсімнің орындалуына КЦ бағытына жауапты тұлға жауап береді.

3. Ақпараттық технологиялар активтерінің тізбесі және оларды түгендеу

Осы Рәсім шеңберінде аппараттық жабдықты, соның ішінде үстел үсті компьютерлерін, ноутбуктерді, планшеттерді, ұялы телефондарды, маршрутизаторларды, камераларды және басқа жабдықтарды, сондай-ақ ақпаратты өңдейтін бағдарламалық қамтамасыз етуді қамтитын Ақпараттық технологиялар активтерінің тізбесі жасалды.
Тізбе Компанияның құпия деректерін қамтитын барлық құрылғылар мен бағдарламаларды қамтиды. Әрбір актив бойынша атауы, моделі, сериялық нөмірі және өзге де сәйкестендіру деректері көрсетіле отырып, түгендеу жүргізіледі.
Бұл ақпарат активтердің нақты жай-күйін көрсету үшін тұрақты түрде жаңартылып отырады. Түгендеу кеңседен тыс орналасқан активтерді, соның ішінде мобильді құрылғыларды да қамтиды. Кеңседен тыс жабдықтар мен активтер де түгендеуден және қорғау шараларынан өтеді.

4. Ақпараттық технологиялар активтеріне профилактикалық қызмет көрсету бағдарламасы

Деректермен жұмыс істейтін ақпараттық технологиялар активтерінің сенімділігі мен ұзақ мерзімді жұмысқа қабілеттілігін қамтамасыз ету үшін профилактикалық қызмет көрсету бағдарламасы әзірленіп, енгізілді. Бағдарлама жабдықтар мен бағдарламалық қамтамасыз етуді жеткізушілер ұсынған техникалық қызмет көрсету мерзімдеріне негізделеді.
Бағдарлама оңтайлы өнімділік пен қауіпсіздікті қамтамасыз ету үшін аппараттық және бағдарламалық қызмет көрсетуді қамтиды.
Жүргізілген қызмет көрсету туралы жазбалар толық құжатталып, белгіленген талаптарға сәйкес АТ активтерінің тізбесіне енгізіледі. Бұл жүйелі қызмет көрсетуді жоспарлауға және әрбір актив бойынша техникалық іс-шаралар тарихына қол жеткізуге мүмкіндік береді.

4.1. Бағдарламалық қамтамасыз етуді жаңарту және қауіпсіздік түзетулерін басқару

Компания пайдаланатын ақпараттық жүйелер, бағдарламалық қамтамасыз ету және цифрлық сервистер үшін әзірлеушілер мен жеткізушілер шығаратын жаңартуларды, қауіпсіздік түзетулерін және өзге де патчтарды уақтылы орнату тәртібі белгіленуі тиіс.
Жаңартулар мен түзетулер деректерді өңдеумен және көлік қызметімен байланысты барлық қолданылатын жүйелерге, соның ішінде тапсырыстарды өңдеу жүйелеріне, TMS және тасымалдауды басқарудың өзге де жүйелеріне, деректер базаларына, корпоративтік поштаға, EDI/API қосылымдарына, интернет-платформаларға, қашықтан қол жеткізу құралдарына, кіруді бақылау жүйелеріне және басқа цифрлық шешімдерге қолданылады.
Қауіпсіздіктің аса маңызды түзетулері осалдықтарды бағалау және жүйелердің жұмысқа қабілеттілігіне ықтимал әсерін ескере отырып, басым тәртіппен орнатылады. Жаңартуды дереу орнату мүмкін болмаған жағдайда уақытша өтемдік шаралар айқындалып, құжатталуы тиіс.
Маңызды жаңартулар мен түзетулердің орнатылғаны АТ активтерінің тізбесіндегі жазбалармен, қызмет көрсету журналымен, жеткізуші есебімен немесе жұмыстың орындалған күні мен нәтижесін тексеруге мүмкіндік беретін өзге құжатпен расталуы тиіс.

4.2. Маңызды деректердің резервтік көшірмесін жасау және қалпына келтіру

Маңызды деректер мен ақпараттық жүйелер үшін киберинциденттен, жабдықтың істен шығуынан, деректердің бүлінуінен, зиянды шабуылдан немесе қолжетімділіктің өзге де бұзылуынан кейін қажетті деректер мен жұмысқа қабілеттілікті қалпына келтіруге мүмкіндік беретін құжатталған резервтік көшіру және қалпына келтіру жоспары қолданылуы тиіс.
Жоспар кемінде маңызды деректер мен жүйелердің тізбесін, резервтік көшіру жиілігін, резервтік көшірмелерді сақтау орны мен тәсілін, жауапты тұлғаларды, қалпына келтіру тәртібін, жүйелерді қалпына келтіру басымдылығын және негізгі ресурстар қолжетімсіз болған кездегі әрекеттерді айқындауы тиіс.
Резервтік көшірмелер рұқсатсыз қол жеткізуден қорғалуы және мүмкіндігінше негізгі жұмыс деректерінен логикалық немесе физикалық тұрғыдан бөлек сақталуы тиіс. Резервтік көшірмелерге қол жеткізу тек уәкілетті тұлғаларға беріледі.
Қалпына келтіру рәсімінің жұмысқа қабілеттілігі деректерді сынақтық қалпына келтіру немесе өзге құжатталған тәсіл арқылы мерзімді түрде тексеріледі. Тексеру нәтижелері тіркеледі және кемшіліктер анықталған жағдайда түзету іс-шараларына негіз болады.

4.3. Сыртқы АТ қызметтерін жеткізушілер мен цифрлық платформаларға қойылатын талаптар

Деректерді сақтау, өңдеу, беру немесе ақпараттық жүйені пайдалану сыртқы жеткізушіге, бұлтты сервиске не өзге мердігерге берілген жағдайда, ақпараттық қауіпсіздік талаптары оны таңдау кезінде және шарттық қатынастарда ескерілуі тиіс.
Шартта, шартқа қосымшада, қызмет көрсету деңгейі туралы келісімде немесе өзге құжатта қолданылатын бөлігінде құпия ақпаратты қорғау, қолжетімділікті шектеу, инциденттер мен осалдықтар туралы хабарлау, резервтік көшіру және қалпына келтіру, жаңартуларды басқару, деректердің сақталуы, заңнаманың және тапсырыс берушілермен жасалған шарттардың міндетті талаптарын орындау жөніндегі талаптар болуы тиіс.
Сыртқы цифрлық платформалар, EDI қосылымдары және деректер алмасудың өзге арналары үшін деректерді беру мен өңдеуді қорғаудың жеткілікті шаралары қолданылуы тиіс. Олардың болуы кибертәуекелдерді жыл сайынғы бағалау кезінде ескеріледі.

5. Ақпараттық жүйенің аудиті және критерийлерге сәйкестігі

Сенімділікті және белгіленген қауіпсіздік стандарттарына сәйкестікті қамтамасыз ету мақсатында Компанияның ақпараттық жүйесі кемінде жылына бір рет тәуелсіз аудитор тарапынан тексеріледі.
Аудит Компанияда белгіленген және ISO 27001 стандартының қағидаттарына сәйкес айқындалған қауіпсіздік критерийлерінің орындалуын бағалауды қамтиды.

5.1. Аудиттің тәуелсіздігіне және нәтижелерін құжаттауға қойылатын талаптар

Ақпараттық жүйені тексеру соңғы он екі ай ішінде жүргізіліп, құжатталған есеппен, қорытындымен, актімен немесе тәуелсіз тексерудің өзге дәлелімен расталуы тиіс.
Аудитті сыртқы ұйым немесе тексерілетін ақпараттық жүйені әзірлеуге, әкімшілендіруге және техникалық сүйемелдеуге тәуелсіз ішкі маман жүргізе алады. Тексерілетін жүйені әзірлеуге, пайдалануға немесе қызмет көрсетуге тікелей жауапты АТ бөлімшесі қызметкері жүргізген тексеру тәуелсіз болып саналмайды.
Аудит критерийлері тексеру басталғанға дейін айқындалады және Компанияның ішкі талаптарын, тапсырыс берушілердің шарттық талаптарын, осы Рәсімнің ережелерін, қолданылатын заңнама талаптарын, сондай-ақ ISO/IEC 27001 және ақпараттық қауіпсіздіктің өзге де танылған стандарттарының қолданылатын ережелерін қамтуы мүмкін.
Аудит барысында анықталған сәйкессіздіктер мен ескертулер жауапты тұлғалар мен мерзімдер көрсетілген түзету іс-шаралары жоспарына енгізілуі тиіс. Маңызды түзету іс-шараларының орындалуы құжатталған бақылауға жатады.

5.2. Енуге тестілеуді жыл сайын өткізу

Қызметкерлер саны 10 және одан көп Компания үшін көлік қызметінде және тасымалдауға байланысты деректерді өңдеуде пайдаланылатын цифрлық жүйелердегі осалдықтарды анықтау мақсатында кемінде он екі айда бір рет енуге тестілеу жүргізіледі. Қызметкерлер саны аз Компания үшін мұндай тестілеу басшылық шешімімен, тәуекелдерді бағалау нәтижелері бойынша немесе тапсырыс берушінің талабы бойынша жүргізіледі.
Тестілеудің көлемі, тереңдігі, күрделілігі және әдістемесі ақпараттық ортаның құрылымы мен тәуекел деңгейін ескере отырып айқындалады. Тестілеу аясына қолданылатын сыртқы және ішкі цифрлық компоненттер, соның ішінде тапсырыстарды өңдеу жүйелері, TMS, деректер базалары, веб-қосымшалар, EDI/API интерфейстері, қашықтан қол жеткізу құралдары және көлік қызметі үшін маңызды өзге жүйелер енгізіледі.
Тестілеуді тексерілетін жүйелерді әзірлеуден және пайдаланудан тәуелсіз, қажетті құзыреті бар сыртқы білікті маман немесе ұйым жүргізеді.
Тестілеу нәтижелері бойынша анықталған осалдықтар, олардың маңыздылығын бағалау және ұсынымдар көрсетілген есеп ресімделеді. Маңызды осалдықтар үшін жауапты тұлғалар мен жою мерзімдері көрсетілген түзету іс-шаралары жоспары жасалады. Қажет болған жағдайда осалдықтың жойылуын қайта тексеру жүргізіледі.
Тестілеуді жұмыс жүйелеріне жол берілмейтін әсерді болдырмау және ақпараттың құпиялылығын сақтау үшін жауапты тұлғамен алдын ала келісу қажет.

6. Коммуникация, диалог және қатерлер мен инциденттерге ден қою

Қызметкерлер мен мердігерлер арасында қауіпсіздік мәселелері бойынша тиімді коммуникация мен ақпарат алмасуды қамтамасыз ету үшін қауіпсіздік қатерлері туралы, сондай-ақ қатер деңгейлерінің жаңартылуы туралы ақпарат беретін жүйе әзірленді: қызғылт сары деңгей, яғни қатердің бар екеніне күдік бар, және қызыл деңгей, яғни қатердің бар екені расталған.
Бұл жүйе жағдайдың өзгеруіне барабар ден қою үшін қызметкерлерге де, басшылыққа да ақпарат беруді көздейді. Сондай-ақ ықтимал қатерлерге жедел әрекет етуге мүмкіндік беретін жергілікті және ұлттық құқық қорғау органдарымен ақпарат алмасу жүйесі бар.
Қызметкерлермен, мердігерлермен, тапсырыс берушілермен, мемлекеттік органдармен және өзге де мүдделі тараптармен коммуникация, диалог және ақпарат алмасу құпия ақпаратты қорғау шараларын сақтай отырып, қауіпсіздік пен ашықтық арасындағы теңгерімді қамтамасыз ету арқылы жүзеге асырылады.
Инциденттер туындаған жағдайда ықтимал салдарды барынша азайту үшін жағдайға дереу бағалау жүргізіледі. Компания ішінде және қажет болған жағдайда мердігер компанияларда цифрлық деректерді қорғау мәселелері бойынша «сабақ алу мәдениеті» қалыптастырылады. Бұл тәжірибелерді жетілдіруге және болашақта осындай инциденттердің алдын алуға мүмкіндік береді.

6.1. Ақпараттық қауіпсіздік қатерлері мен киберинциденттерге ден қою тәртібі

Компанияда ақпараттық қауіпсіздік қатерлері мен киберинциденттерге ден қоюдың құжатталған тәртібі қолданылуы тиіс. Мұндай оқиғаларға, атап айтқанда, рұқсатсыз қол жеткізуге күдік немесе оның анықталуы, зиянды бағдарламалық қамтамасыз етуді жұқтыру, фишинг және есептік жазбалардың бұзылуы, деректердің таралуы немесе жоғалуы, маңызды жүйелердің жұмысқа қабілеттілігінің бұзылуы, кибершабуыл, маңызды осалдықтың анықталуы, қызметтік деректері бар құрылғының жоғалуы немесе ұрлануы жатады.
Қатер немесе инцидент белгілерін анықтаған қызметкер КЦ бағытына жауапты тұлғаға дереу хабарлауға және зиянды дереу болдырмау үшін қажет болмаған жағдайда инцидент туралы маңызды ақпараттың жойылуына әкеп соғуы мүмкін әрекеттерді жасамауға міндетті.
Оқиғаның сипатына қарай ден қою тіркеуді және бастапқы бағалауды, маңыздылық деңгейін жіктеуді, оқиғаны оқшаулауды және таралуын шектеуді, есептік жазбалар мен деректерді қорғауды, қолжетімді дәлелдемелерді сақтауды, себепті жоюды, жүйелер мен деректерді қалпына келтіруді, қалыпты жұмысқа қабілеттілікті тексеруді, сондай-ақ мұндай хабарлау талап етілетін жағдайларда басшылықты, тапсырыс берушілерді, мердігерлерді, жеткізушілерді, сақтандыру ұйымын немесе құзыретті органдарды хабардар етуді қамтиды.
Әрбір маңызды инцидент бойынша оқиғаның сипаттамасын, зардап шеккен жүйелер мен деректерді, қабылданған дереу шараларды, себептерді, түзету және алдын алу іс-шараларын, жауапты тұлғаларды, мерзімдерді және орындалуын тексеру туралы белгіні қамтитын есеп пен іс-қимыл жоспары ресімделеді.
Егер оқиға ОН саясаты түсінігіндегі сәйкессіздік болып табылса, ол қосымша Сәйкессіздіктер туралы есептілік журналына (ЖОН) тіркеледі. Тергеу нәтижелері бойынша қажет болған жағдайда тәуекелдерді бағалау, қолданылатын қорғау шаралары, жеткізушілерге қойылатын шарттық талаптар, резервтік қалпына келтіру жоспары және оқыту бағдарламалары қайта қаралады.

7. Тәуекелдерді басқару

Тәуекелдерді мерзімді бағалау кемінде он екі айда бір рет жүргізіледі. Тәуекелдерді бағалау Компанияның клиенттері, өнімдері мен операциялары туралы деректерді қамтиды және деректерді сақтау мен өңдеу жүйесіндегі ықтимал қатерлер мен осалдықтарды анықтауды қамтиды.
Компания корпоративтік интернет-сайтта деректерді қорғау шараларын, тапсырыстарды өңдеуді және клиенттердің тапсырыс деректерін пайдалануды жүзеге асырады. Электрондық деректер алмасу жүйесі іскерлік құжаттарды компьютерлер арасында стандартты электрондық форматта қауіпсіз беру үшін бапталған. Тапсырыстарды өңдеу құралдары рұқсатсыз қол жеткізу мен ақпараттың таралуын болдырмау үшін деректерді қорғау талаптарын ескере отырып бапталған.
Деректерді қорғауға байланысты тәуекелдерге кемінде мыналар жатады:
Жүйелерге рұқсатсыз қол жеткізу әрекеттерін қоса алғанда, хакерлік шабуылдар.
Зиянды бағдарламалық қамтамасыз етудің таралуы.
Ноутбуктерде, планшеттерде, ұялы телефондарда және өзге мобильді құрылғыларда іскерлік ақпараттың жеткіліксіз қорғалуы.
Хакерлік шабуылдар тәуекелін төмендету үшін Компания аутентификация шараларын қолданады және сезімтал деректерге қол жеткізуді бақылайды. Зиянды бағдарламалардың таралуын болдырмау үшін вирусқа қарсы бағдарламалық қамтамасыз ету тұрақты түрде жаңартылады, желілік белсенділік бақыланады және қызметкерлерге зиянды тіркемелерді тану, сондай-ақ мобильді құрылғылармен жұмыс істеу кезіндегі қауіпсіздік ережелері бойынша оқыту жүргізіледі.
Цифрлық форматтағы деректерді қорғау кезіндегі тәуекелдерді басқару осы Рәсімге №1 қосымшада көрсетілген Тәуекелдерді сәйкестендіру, бағалау және басымдық беру рәсіміне және Тәуекелдер картасына сәйкес жүзеге асырылады.
Тәуекелдер картасының №2 кестесіндегі әрбір «Тәуекел оқиғасы туындаған кездегі әрекет ету сценарийі» келесі стандартты талаптарды міндетті түрде орындауды көздейді:
Сәйкессіздік туралы өзінің басшысына хабарлау.
Сәйкессіздік туралы жүк жөнелтушіге немесе тапсырыс берушіге хабарлау.
Сәйкессіздікті Сәйкессіздіктер туралы есептілік журналына тіркеу.
Салалық ұсынымдарды, стандарттар мен қағидаларды пайдалана отырып, инцидентті тергеу.
Инцидентті тергеу нәтижелері бойынша жауапты тұлғаларға білімін тексерумен қажетті арнайы оқыту жүргізу.

7.1. Кибертәуекелдерді жыл сайын құжатталған бағалауға қойылатын талаптар

Кибертәуекелдерді бағалау кемінде он екі айда бір рет, сондай-ақ маңызды киберинциденттен кейін, маңызды ақпараттық жүйе енгізілгеннен кейін немесе қолданылатын цифрлық процестер елеулі өзгергеннен кейін жоспардан тыс жүргізіліп, құжатталады.
Бағалау қолданылатын бөлігінде хакерлік шабуылдар мен рұқсатсыз қол жеткізуді, зиянды және бопсалаушы бағдарламалық қамтамасыз етуді, фишинг пен есептік жазбалардың бұзылуын, мобильді құрылғылардың қорғалуын, EDI/API қосылымдары мен тапсырыстарды өңдеудің цифрлық платформаларының осалдықтарын, сыртқы АТ жеткізушілерінің тәуекелдерін, жаңартулар мен патчтардың уақтылы орнатылуын, резервтік көшіру мен қалпына келтіруді, маңызды жүйелер мен деректер базаларына қолжетімділікті, сондай-ақ деректердің құпиялылығына, тұтастығына немесе қолжетімділігіне әсер етуі мүмкін өзге де тәуекелдерді қамтуы тиіс.
Бағалау шеңберінде EDI қосылымдарын, тапсырыстарды өңдеу жүйелерін, корпоративтік интернет-сервистерді және ақпарат алмасудың өзге цифрлық арналарын қоса алғанда, деректерді беру мен өңдеуге арналған қорғау шараларының болуы мен жеткіліктілігі тексеріледі.
Әрбір маңызды тәуекел үшін қолданылатын бақылау шаралары, қалдық тәуекел деңгейі және қажет болған жағдайда жауапты тұлғалар мен орындау мерзімдері көрсетілген қосымша шаралар айқындалады. Нәтижелер Тәуекелдер картасында немесе Тәуекелдерді сәйкестендіру, бағалау және басымдық беру рәсіміне сәйкес келетін өзге құжатта ресімделеді.

7.2. Көп факторлы аутентификация және маңызды жүйелерге қолжетімділікті басқару

Сезімтал және маңызды ақпараттық жүйелерге, соның ішінде тасымалдауды басқару жүйелеріне, деректер базаларына, әкімшілік есептік жазбаларға, бұлтты сервистерге, қашықтан қол жеткізу құралдарына және құпия ақпараты бар өзге жүйелерге қол жеткізу техникалық мүмкіндік болған жағдайда көп факторлы аутентификацияны (MFA) қолдану арқылы жүзеге асырылуы тиіс.
MFA жеке сәйкестендіргіш пен құпиясөзді бір реттік код, аутентификатор қолданбасы, аппараттық кілт немесе өзге де тәуелсіз растау құралы сияқты қосымша растау факторымен біріктіруі тиіс.
Егер жекелеген жүйе MFA-ны қолдамаса, бұл факт құжатталып, тәуекел бағаланады және желілік қолжетімділікті шектеу, құқықтарды күшейтілген бақылау, VPN, құрылғылар бойынша шектеу немесе өзге техникалық және ұйымдастырушылық шаралар сияқты өтемдік шаралар қолданылады.
Қол жеткізу құқықтары лауазымдық міндеттерді орындау қажеттілігі қағидаты бойынша берілуі, мерзімді түрде қайта қаралуы және функциялар өзгергенде немесе еңбек не шарттық қатынастар тоқтатылғанда уақтылы тоқтатылуы тиіс.

8. Қызметкерлерді оқыту

Қызметкерлерді оқыту: клиенттер, өнімдер және Компания операциялары туралы деректерді өңдеу, сақтау және беру кезінде туындауы мүмкін деректердің таралуы, рұқсатсыз қол жеткізу, зиянды шабуылдар және өзге қатерлер жағдайында қорғау қағидалары мен әрекеттер бойынша қызметкерлерді тұрақты оқыту жүргізіледі. Компания қызметкерлерін тиісті оқытуға КЦ бағытына жауапты тұлға жауап береді.
Көлік компаниялары мердігерлерінің жауапты тұлғалары осы Рәсім және цифрлық форматтағы деректерді қорғау жөніндегі нұсқаулықтар бойынша оқытылуы тиіс. Көлік компаниялары мердігерлерінің жауапты тұлғаларын тиісті оқытуға ОД бағытына жауапты тұлға жауап береді.

9. Рәсімді қарау және жаңарту

Осы Рәсім цифрлық форматтағы деректерді қорғау талаптарындағы ықтимал өзгерістер мен жаңартуларды, сондай-ақ осы салаға қатысты жаңа талаптар немесе заңнама пайда болған жағдайларды ескере отырып, тұрақты түрде қаралады және қажет болған жағдайда жаңартылады.

10. Қолданылатын салалық ұсынымдар, стандарттар мен қағидалар

2013, CEFIC, Responsible Care, “Responsible Care Security Code Guidance and Best Practice for the Implementation of the Code”.