Este aviso ha sido traducido automáticamente. Nuestra versión en inglés está disponible aquí.
Denne meldingen er maskinoversatt. Vår engelskspråklige versjon er tilgjengelig her.
Oversikt
Dette dokumentet beskriver Parsable, Inc. (Parsable) sine informasjonssikkerhetskrav for alle ansatte. Parsables ledelse har forpliktet seg til disse sikkerhetspolicyene for å beskytte informasjon som brukes av Parsable for å nå sine forretningsmål. Parsable har laget dette settet med sikkerhetspolicyer for å kommunisere kravene til sikker bruk av selskapets ressurser og drift av vårt SaaS-produkttilbud, og representerer Parsables strategi for hvordan de vil implementere informasjonssikkerhetsprinsipper og -teknologier.
Hensikt
Formålet med denne policyen er å etablere et sikkerhetsrammeverk som er utformet for å beskytte konfidensialiteten, integriteten og tilgjengeligheten til både Parsable og kundeinformasjonsressurser mot utilsiktet eller forsettlig uautorisert tilgang, modifisering, skade eller sletting for å hjelpe Parsable med å nå sine forretningsmål. Dette dokumentet definerer informasjonssikkerhetsbeskyttelse på høyt nivå i organisasjonen, inkludert definisjoner, roller, ansvar, prosedyrer og ytelse, inkludert målinger og rapporteringsmekanismer. Standarder og prosedyrer knyttet til denne policyen publiseres separat og oppdateres etter behov.
Omfang
Denne policyen gjelder for alle brukere av informasjonssystemer og data i organisasjonen, inkludert både ansatte og tredjepartsleverandører, samt eksterne parter som kommer i kontakt med systemer og informasjon som kontrolleres av organisasjonen (heretter referert til som «brukere»). Kravene gjelder for Parsables IT-systemer for bedrifter og SaaS-produkter med mindre annet er uttrykkelig angitt.
Definisjoner
Følgende definisjoner gjelder for denne policyen og alle underpolicyer.
Konfidensialitet: et kjennetegn ved informasjon eller informasjonssystemer der slik informasjon eller systemer bare er tilgjengelige for autoriserte enheter.
Integritet: en egenskap ved informasjon eller informasjonssystemer der slik informasjon eller systemer bare kan endres av autoriserte enheter, og på en godkjent måte.
Tilgjengelighet: en egenskap ved informasjon eller informasjonssystemer der slik informasjon eller slike systemer kan tilgås av autoriserte enheter når det er nødvendig.
Informasjonssikkerhet: handlingen med å bevare konfidensialiteten, integriteten og tilgjengeligheten til informasjon og informasjonssystemer.
Standard: Forventet brukeratferd ved samhandling med informasjonsressurser, basert på sikkerhetsbetegnelsen og kravene til informasjonshåndtering.
Prosedyre: Tekniske spesifikasjoner, metoder og spesifikke instruksjoner for data (format, strukturering, tagging, lagring, overføring, manipulering, rapportering) og bruk av data.
Mål
Organisasjonens mål for informasjonssikkerhet er i tråd med organisasjonens forretningsmål, strategi og planer. Målene med denne sikkerhetspolicyen er å oppnå følgende:
- For å opprettholde konfidensialiteten og personvernet til informasjonsressursene som kontrolleres og behandles av Parsable.
- For å beskytte integriteten til informasjonsressursene som kontrolleres og behandles av Parsable.
- For å sikre tilgjengeligheten av interne IT-systemer i bedriften og eksterne SaaS-produkttilbud.
- For å overholde alle gjeldende lovgivende, regulatoriske og kontraktsmessige krav angående informasjonssikkerhet. Sikkerhetspolicyen indikerer ledelsens forpliktelse til å opprettholde en sikker IT-infrastruktur for bedriften og SaaS-produkttilbud. Alle mål må gjennomgås minst én gang per år. Selskapet vil måle oppfyllelsen av alle mål. Målingen vil bli utført minst én gang per år. Resultatene må analyseres, evalueres og rapporteres til ledergruppen.
Roller
Sjef for informasjonssikkerhet
Denne policyen krever utnevnelse av en Chief Information Security Officer (CISO), som administrerer informasjonssikkerhetsprogrammet, som inkluderer prosedyrer og policyer som er utformet for å redusere driftsrisikoen for virksomheten ved å beskytte bedriftskommunikasjon, informasjonssystemer og eiendeler mot både interne og eksterne trusler. CISOs generelle oppgaver inkluderer:
- Holde seg oppdatert på den siste utviklingen innen det utviklende informasjonssikkerhetslandskapet.
- Veilede retningslinjer, prosesser, styring og samsvar med informasjonssikkerhet.
- Godkjenne unntak fra disse retningslinjene fra sak til sak.
- Koordinere formelle risikovurderinger, gjennomganger og rapporter knyttet til viktige ytelsesindikatorer og viktige risikoindikatorer.
- Administrere, overvåke og kontinuerlig forbedre databeskyttelsestiltak.
- Styrke sikkerhetsbevissthet i Parsable-organisasjonen.
- Samarbeide med og bygge tillit med kundene knyttet til informasjonssikkerhet.
CISO-en trenger ikke nødvendigvis å være en uavhengig stilling, men kan være en betegnelse som fylles av et eksisterende medlem av den utøvende eller operative ledelsen så lenge den ansatte har myndighet til å inneha en lederrolle, og ressursene og evnene til å forplikte seg til stillingen.
Personvernombud
Denne policyen krever utnevnelse av en personvernansvarlig (CPO), som leder Parsables personvernstrategi og styrer virksomheten din gjennom det komplekse spekteret av ulike personvernforskrifter som påvirker organisasjonen din. De generelle oppgavene til personvernansvarlig inkluderer:
- Holde seg oppdatert på den siste utviklingen innen det utviklende landskapet for databeskyttelse.
- Veiledning for personvernregler, prosesser, styring og samsvar.
- Øke bevisstheten, arrangere opplæring av ansatte og fremme beste praksis for personvern.
- Styrke bevisstheten om personvern i organisasjonen din.
- Samarbeide med tilsynsmyndigheter og mediene angående personvernsaker.
- Bygge tillit hos personvernbevisste forbrukere. Mer spesifikk veiledning om ansvaret for denne rollen finnes i de enkelte retningslinjene for informasjonssikkerhet.
Stillingen som personvernansvarlig trenger ikke nødvendigvis å være en uavhengig stilling, men kan være en betegnelse som fylles av et eksisterende medlem av den utøvende eller operative ledelsen, så lenge den ansatte har myndighet til å inneha en lederrolle, og ressursene og evnene til å forplikte seg til stillingen.
InfoSec-teamet
Denne policyen krever dannelse av et InfoSec-team bestående av medlemmer av teknologiavdelingen:
- CISO
- Teknisk programleder for risiko og styring innen infosec
- IT-ingeniører
- Kjerneingeniører
Dette teamet er ansvarlig for å håndheve samsvar, reagere på hendelser og godkjenne unntak.
Styringskomité for informasjonssikkerhet og personvern
Denne policyen krever dannelse av et team for informasjonssikkerhet og personvern som representerer ulike funksjoner i virksomheten som er kritiske for beskyttelsen av Parsables informasjonsressurser. Dette teamet vil alltid inkludere CISO og CPO og representanter fra følgende avdelinger:
- Teknologi
- Mennesker
- Finans / Drift
- Kundestøtte
Disse teammedlemmene bør utnevnes av avdelingen for en periode på ett år og kan tjenestegjøre i mer enn én periode. Dersom et teammedlem slutter, bør avdelingen utnevne et annet teammedlem til å utføre oppgaven. Dette teamet bør årlig velge en leder som ikke er CISO eller CPO, for å styre den operative kadensen inntil det er en heltidsansatt dedikert til oppgaven. Dette teamet er ansvarlig for å møtes halvårlig for å vurdere aktuelle risikoer og gjennomgå viktige ytelsesmål.
Bedriftseier
Hvert bedriftsinformasjonssystem vil eies av én enkelt bedriftseier som har budsjett- og systemstyringsansvar. Denne eieren kan delegere administrasjonen av deler av eller deler av systemet til IT, men bedriftseieren er ansvarlig for anvendelsen av denne og relaterte retningslinjer på systemer, data og andre informasjonsressurser som administreres av eieren.
Avdelingsdataforvaltere
En avdeling kan utnevne én eller flere dataforvaltere som er ansvarlige for anvendelsen av denne og relaterte retningslinjer på systemer, data og andre informasjonsressurser under deres omsorg eller kontroll.
Systemadministratorer
Systemadministratorer er ansvarlige for anvendelsen av denne og relaterte retningslinjer på systemene, informasjonen og andre informasjonsressurser de har ansvar for, etter instruksjoner fra dataforvalterne.
Underpolicyer
Parsable opprettholder separate underpolicyer i separate underdokumenter for de spesifikke sikkerhetsemnene:
- Akseptabel krypteringspolicy
- Retningslinjer for akseptabel bruk
- Retningslinjer for dataklassifisering
- Passordpolicy
- Retningslinjer for tilgangskontroll
- Loggføringspolicy
- Overvåkingspolicy
- Retningslinjer for sikkerhetsbevissthet og opplæring
- Retningslinjer for fysisk sikkerhet
- Flyttbare medier
- Retningslinjer for sikkerhetskopiering og gjenoppretting
- Retningslinjer for oppbevaring og avhending av dokumenter
- Tredjepartsleverandørhåndtering
- Forretningskontinuitet / katastrofegjenoppretting
- Sårbarhetshåndtering
- Policy for risikostyring
- Policy for endringsledelse
- Retningslinjer for hendelsesrespons
- Ansettelsesprosedyre
- Oppsigelsesprosedyre
- Prosedyrer for samsvar med personvern
- Retningslinjer for fjernarbeid
Håndhevelse
Disse retningslinjene vil bli håndhevet av informasjonssikkerhetsteamet og/eller ledergruppen. Brudd kan føre til disiplinære tiltak, som kan inkludere suspensjon, begrensning av tilgang eller strengere straffer, opptil og inkludert oppsigelse av ansettelse. Ved mistanke om ulovlige aktiviteter eller tyveri av selskapets eiendom (fysisk eller intellektuell), kan Parsable rapportere slike aktiviteter til relevante myndigheter. Tredjepartsleverandører som viser seg å ha brutt disse retningslinjene, kan pådra seg økonomisk ansvar, i tillegg til oppsigelse av kontrakten. Unntak fra retningslinjene vil kun være tillatt hvis de er godkjent på forhånd og skriftlig av informasjonssikkerhetssjefen.