Публічна політика інформаційної безпеки INBULK

1. Мета

1.1. Політика описує публічні принципи інформаційної безпеки. Вона не розкриває конфігурації, ключі, детальні контролі або іншу інформацію, що може послабити захист.

1.2. Ця Політика не є сертифікацією, гарантією абсолютної безпеки або угодою про рівень сервісу (SLA) та не обмежує обов’язки Оператора, прямо встановлені Договором або застосовним законодавством.

2. Принципи інформаційної безпеки

2.1. Оператор організовує захист Платформи, даних і операцій на основі таких принципів:

• ризик-орієнтований підхід та багаторівневий захист — заходи безпеки визначаються з урахуванням характеру, імовірності та можливих наслідків відповідних ризиків
• мінімально необхідний доступ — Користувачам, працівникам і підрядникам надаються лише ті права доступу, які необхідні для виконання їх функцій
• розмежування повноважень — критичні функції та Юридично значущі дії, за потреби, розподіляються між різними ролями або потребують додаткового підтвердження
• безпека та захист даних за замовчуванням — вимоги інформаційної безпеки й мінімізації даних враховуються під час проєктування, розробки та налаштування Платформи
• контрольоване внесення змін — розробка, тестування, впровадження та зміна функціоналу здійснюються із застосуванням належних процедур контролю
• журналювання та збереження доказів — значущі події та дії фіксуються в обсязі, необхідному для безпеки, розслідування інцидентів і підтвердження відповідних операцій
• готовність до інцидентів і відновлення — Оператор підтримує процедури виявлення, реагування, відновлення та забезпечення безперервності критичних функцій
• управління ризиками сторонніх постачальників — до залучення критичних постачальників оцінюються пов’язані з ними ризики безпеки, доступу до даних і безперервності
• регулярний перегляд та вдосконалення — заходи безпеки періодично переглядаються та оновлюються з урахуванням змін ризиків, технологій, законодавства і функціоналу Платформи.

3. Управління доступом

3.1. Доступ до Платформи та її функцій надається відповідно до визначених ролей і принципу мінімально необхідних прав. Права на вчинення Юридично значущих дій надаються та контролюються окремо від звичайних прав доступу.

3.2. Для адміністраторів, а також для дій із підвищеним рівнем ризику Оператор може застосовувати посилені заходи автентифікації та підтвердження повноважень, зокрема багатофакторну автентифікацію (MFA), повторну автентифікацію, кваліфікований або інший електронний підпис, що відповідає вимогам застосовного законодавства відповідної юрисдикції, додаткове погодження іншою уповноваженою особою або інші заходи контролю залежно від характеру та рівня ризику відповідної дії.

3.3. Доступ працівників і підрядників до Платформи та її систем надається лише в обсязі й на строк, необхідні для виконання їхніх функцій. Такий доступ підлягає періодичному перегляду та без невиправданої затримки обмежується або припиняється у разі зміни повноважень, припинення співпраці чи відсутності подальшої необхідності в доступі.

4. Захист даних

4.1. Застосовується шифрування передання, контроль зберігання, сегментація, резервне копіювання, обмеження експорту та захист секретів у пропорційному обсязі.

4.2. Паролі не зберігаються у відкритому вигляді. Криптографічні ключі, токени та інші секретні дані доступу зберігаються й обробляються окремо від програмного коду та звичайних журналів подій із застосуванням належних заходів контролю доступу.

4.3. Електронні докази, підписані документи та журнали подій захищаються від несанкціонованої зміни, видалення та доступу. Заходи збереження повинні дозволяти встановити цілісність, час і послідовність юридично значущих подій у межах, передбачених Договором та відповідними політиками.

5. Безпека розробки та управління змінами

5.1. Під час розробки, тестування та впровадження змін Оператор застосовує, зокрема, такі заходи:

• урахування вимог інформаційної безпеки та захисту персональних даних на етапах проєктування і розробки
• перевірку програмного коду, тестування функціоналу та контроль безпеки використовуваних програмних компонентів і залежностей
• розмежування середовищ розробки, тестування та промислової експлуатації
• контрольоване впровадження нових версій і змін із можливістю повернення до попередньої стабільної версії у разі виникнення критичних проблем
• виявлення, оцінювання та своєчасне усунення вразливостей, у тому числі шляхом встановлення необхідних оновлень безпеки
• виявлення випадкового розміщення паролів, ключів, токенів та інших секретних даних у програмному коді або конфігураціях, а також обмеження доступу до промислового середовища
• додаткову перевірку безпеки функціоналу, пов’язаного з Юридично значущими діями, платежами, електронним підписом та використанням штучного інтелекту.

6. Моніторинг та журналювання подій

6.1. Оператор здійснює журналювання подій, необхідних для забезпечення безпеки, контролю доступу, підтвердження Юридично значущих дій та розслідування інцидентів. До таких подій можуть належати, зокрема, входи до системи, зміни прав доступу, підписання документів, Акцепти, створення або зміна Заявок і Замовлень, зміна реквізитів, дії адміністраторів, робота інтеграцій та події інформаційної безпеки.

6.2. Журнали подій захищаються від несанкціонованого доступу, зміни або видалення, містять узгоджені часові позначки та зберігаються протягом строків, визначених відповідними правилами зберігання даних.

6.3. Моніторинг використовується для контролю доступності та стабільності Платформи, виявлення шахрайства, аномальної або підозрілої активності, зловживань, спроб несанкціонованого доступу та інших інцидентів інформаційної безпеки.

7. Управління сторонніми постачальниками

7.1. До залучення стороннього постачальника, який має доступ до критичних функцій, систем або даних Платформи, Оператор оцінює пов’язані з таким постачальником ризики, зокрема рівень інформаційної безпеки, умови обробки та місце зберігання даних, використання субпідрядників, безперервність надання послуг, порядок припинення співпраці та розподіл договірної відповідальності.

7.2. Доступ стороннього постачальника до систем і даних Платформи обмежується мінімально необхідним обсягом. Порядок реагування на інциденти, проведення перевірок, повернення або видалення даних, припинення доступу та завершення співпраці визначається договором із відповідним постачальником.

8. Безперервність роботи та відновлення

8.1. Оператор застосовує заходи для підтримання безперервності критичних функцій Платформи, зокрема резервне копіювання даних, процедури відновлення після збоїв, моніторинг доступності сервісів, порядок комунікації під час інцидентів та плани відновлення критичних систем.

8.2. Цільовий час відновлення сервісу (RTO), допустимий обсяг втрати даних у часі (RPO) та рівні обслуговування (SLA) застосовуються лише у випадках, коли такі показники офіційно затверджені та прямо передбачені умовами відповідного сервісу або договору.

9. Інциденти

9.1. Процес реагування на інциденти включає їх виявлення, первинну оцінку та пріоритизацію, локалізацію, усунення причин і наслідків, відновлення роботи систем, збереження необхідних доказів, інформування заінтересованих сторін, аналіз першопричини інциденту та впровадження коригувальних заходів для запобігання його повторенню.

9.2. Користувачі повідомляються, коли цього вимагає закон, договір або ризик, у межах достовірної доступної інформації.

9.3. Публічні повідомлення координуються, щоб не погіршувати розслідування або безпеку.

10. Обов’язки Користувача

10.1. Користувач зобов’язаний:

• використовувати унікальні та достатньо складні паролі, а також багатофакторну автентифікацію (MFA), якщо вона доступна
• не передавати третім особам свої облікові дані, одноразові коди підтвердження (OTP), ключі електронного підпису та інші засоби автентифікації
• своєчасно припиняти або обмежувати доступ працівників, представників чи інших уповноважених осіб, які більше не потребують такого доступу, та періодично переглядати надані їм права
• перевіряти платіжні, банківські та інші істотні реквізити, а також зміст дій із підвищеним рівнем ризику до їх підтвердження
• не завантажувати, не поширювати та не використовувати шкідливе програмне забезпечення, а також не обходити встановлені Платформою механізми безпеки
• без невиправданої затримки повідомляти Оператора про підозру на фішинг, компрометацію облікового запису або засобів доступу, помилковий чи несанкціонований платіж, підозрілу активність, виявлену вразливість або інший інцидент інформаційної безпеки
• вживати розумних заходів для захисту власних пристроїв, мереж, облікових записів і копій документів, які використовуються для роботи з Платформою.

11. Повідомлення про вразливість

11.1. Повідомлення направляються на [email protected] із темою «Security». Не слід отримувати доступ до чужих даних, порушувати доступність, здійснювати social engineering або вимагати винагороду як умову нерозголошення.

11.2. Оператор може опублікувати окремі правила координованого розкриття вразливостей із визначенням допустимого обсягу дослідження та порядку взаємодії. Відсутність програми винагород (bug bounty) не перешкоджає добросовісному повідомленню про вразливість, але не створює обов’язку Оператора виплачувати винагороду.

12. Відповідність і перегляд

12.1. Заходи та механізми інформаційної безпеки періодично переглядаються й, за необхідності, оновлюються з урахуванням вимог застосовного законодавства, актуальних ризиків, змін функціоналу Платформи, результатів інцидентів, перевірок та розвитку відповідних міжнародних і галузевих стандартів.

12.2. Посилання в цій Політиці на міжнародні, національні або галузеві стандарти використовується виключно як орієнтир щодо належних практик і не означає наявності сертифікації, акредитації чи офіційної відповідності такому стандарту, якщо це прямо не підтверджено Оператором.

Історія редакцій