ТОВ «Алькор-Україна», разом зі своїми афілійованими особами, асоційованими компаніями та партнерами (далі – «Алькор», «ми» або «нас» / «нам»), є компанією, що займається постачанням операційних (бек-офісних) рішень. У процесі своєї господарської діяльності Алькор може обробляти певну інформацію, зокрема зберігати, використовувати та передавати її в усіх її формах, таких як письмова, усна, електронна чи друкована (далі – «Інформація»). Інформація повинна бути в належний спосіб захищена від порушення конфіденційності, збоїв у цілісності або перерв у доступності за допомогою забезпечення відповідного рівня безпеки, а також встановлення обладнання та програмного забезпечення, що використовується для обробки такої Інформації.

Алькор прагне відстежувати та забезпечувати контроль над правами доступу, які надаються фізичним особам щодо Інформації та відповідних систем, послуг та/або інфраструктури, що використовуються для обробки Інформації (далі – «Засоби обробки інформації»). У цій Політиці інформаційної безпеки ми наводимо основні принципи класифікації Інформації, а також визначаємо правила надання та отримання доступу до певних видів цієї Інформації.

Ця Політика інформаційної безпеки поширюється на всіх фізичних осіб, які співпрацюють з нами, як на постійній, так і на тимчасовій основі, включно з працівниками з повною та неповною зайнятістю, спеціалістами, співробітниками агентств, діловими партнерами, консультантами та постачальниками (далі разом – «Персонал», а кожен окремо – «Член персоналу»), які використовують наші активи, зокрема Засоби обробки інформації.

ОБОВ’ЯЗКИ

Обов’язки щодо контролю доступу є наступними:

Керівник Алькор зобов’язаний:

• визначити та забезпечувати стратегію Алькор щодо контролю доступу;
• призначити працівника, відповідального за Політику інформаційної безпеки (далі – «Спеціаліст з інформаційної безпеки»);
• забезпечити успішне вирішення проблем, пов’язаних з наданням доступу до зазначеної Інформації, коли у відповідь на зауваження, висловлені Спеціалістом з інформаційної безпеки, значні зміни вважаються необхідними.

Спеціаліст з інформаційної безпеки зобов’язаний:

• забезпечити, щоб ця Політика інформаційної безпеки та належні процедури/стандарти відповідали всім нашим вимогам;
• забезпечити, щоб процедури входу в систему та доступу до неї відповідали визначеним вимогам;
• забезпечити безпеку даних і додатків у середовищах розробки проєктів;
• допомагати Персоналу в повсякденному користуванні комп’ютерними системами Алькор, виконуючи основні функції адміністрування облікових записів, зокрема розблокування заблокованих облікових записів, відновлення паролів та надання інструкцій;
• розслідувати всі фактичні або потенційні інциденти стосовно інформаційної безпеки та вживати заходів щодо відновлення належного рівня інформаційної безпеки.

КЛАСИФІКАЦІЯ ІНФОРМАЦІЇ

Вся Інформація Алькор повинна бути віднесена до одного з таких видів:

• Для загального користування

Інформація, яка перебуває у вільному доступі та доступна громадськості без будь-яких обмежень, наприклад, офіційні документи або новини, не потребує відстеження чи моніторингу. Саме тому немає потреби впроваджувати будь-які спеціальні механізми захисту Інформації такого типу.

• Для внутрішнього користування

Інформація, створена або передана Алькор партнерами чи клієнтами, несанкціоноване розкриття якої може завдати короткострокової шкоди діловій репутації Алькор (далі – «Інформація внутрішнього користування»). Цю Інформацію необхідно зберігати в таємниці для захисту ділових інтересів, а також забезпечення постійної довіри клієнтів. Інформацію внутрішнього користування можна зберігати в будь-який спосіб, крім зовнішніх загальнодоступних джерел (наприклад, Web), а передавати її необхідно каналами, мінімально захищеними віртуальними приватними мережами (VPN). Такий віртуальний доступ до Інформації внутрішнього користування потребує автентифікації. Фізичний доступ повинен бути наданий будь-якому Члену персоналу. Усім стороннім особам, включно з відвідувачами Алькор, але не обмежуючись ними, не повинен надаватися доступ до Інформації внутрішнього користування.

• Конфіденційна

Конфіденційні бізнес-дані, розголошення яких може негативно вплинути на ділову репутацію Алькор, його партнерів та/або клієнтів, а також на їхню ринкову вартість (далі – «Конфіденційна інформація»), не підлягають розголошенню неуповноваженим особам, оскільки такі дані підпадають під дію нормативних актів, контрактів або ділових угод. Інформацію такого типу можна зберігати виключно на серверах, що перебувають під спеціальним керуванням та контролем, а передавати виключно в зашифрованому вигляді. Віртуальний доступ до Конфіденційної інформації потребує автентифікації. Фізичний доступ надається конкретним Членам персоналу за принципом «необхідного знання» (“need to know”). Іншим Членам персоналу та всім стороннім особам, включно з відвідувачами Алькор, але не обмежуючись ними, не повинен надаватися доступ до Конфіденційної інформації.

Групи різноманітної інформації повинні бути класифіковані за найбезпечнішим рівнем класифікації окремого інформаційного компонента з узагальненої інформації.

КОНТРОЛЬ ДОСТУПУ

Права доступу до певного виду Інформації та відповідних Засобів обробки інформації будуть суворо обмежені, а дозвіл на доступ отримають лише ті особи, які мають добросовісну ділову необхідність у доступі до Інформації. Рішення Алькор щодо надання, затвердження та перегляду доступу ґрунтуються на таких принципах:

• «Необхідне знання», завдяки якому Персоналу буде надано доступ до систем, необхідних для виконання їхніх посадових обов’язків і службових функцій;
• «Найменше привілейований», згідно з яким проводять ретельне оцінювання дозволів для Персоналу та функціональності системи, а доступ обмежують ресурсами, необхідними конкретному користувачеві облікового запису для виконання його обов’язків. Отже, деяким особам (наприклад, Спеціалісту з інформаційної безпеки) буде надано привілейовані права. Використання привілейованих прав повинно бути суворо обмежене встановленням програм та переналаштуванням системи. Щоб уникнути сумнівів, привілейовані права не повинні використовуватися для звичайних активностей та не повинні надаватися «за замовчуванням». Алькор не допускає надання привілейованих прав цілим командам, щоб запобігти потенційним втратам конфіденційності та/або цілісності Інформації;
• «Заборона за замовчуванням», яка забороняє передавання всього трафіку, а потім надає спеціальний дозвіл на передавання необхідного трафіку на основі протоколу, порту, джерела та пункту призначення.

Методами контролю доступу, які використовуються за замовчуванням, є такі:

• процедури явного входу в систему;
• дозволи загальних ресурсів Windows і файлів для файлів та папок;
• обмеження привілеїв облікового запису;
• права доступу до серверів та робочих станцій;
• дозволи брандмауера;
• права доступу до баз даних;
• шифрування під час зберігання та під час переміщення;
• будь-які інші методи згідно з договірними вимогами зацікавлених сторін.

Там, де це можливо, ми встановлюємо автоматичне закінчення строку дії облікових записів у заздалегідь визначену дату. Зокрема, якщо потрібен тимчасовий доступ, такий доступ буде обмежено відразу після того, як відповідна особа виконає завдання, для якого було надано доступ.

Ми постійно ведемо облік таких осіб:

• Особи, відповідальні за надання доступу до конкретної Інформації та відповідних Засобів обробки інформації;
• Особи, які мають право доступу до конкретної Інформації та відповідних Засобів обробки інформації.

Існуючі облікові записи та права доступу будуть перевірятися щонайменше один раз на рік для виявлення неактивних облікових записів та облікових записів із надмірними привілеями. Прикладами облікових записів із надмірними привілеями є такі:

• Активний обліковий запис, наданий особам, які більше не працюють в Алькор;
• Активний обліковий запис із правами доступу, які не відповідають посадовим обов’язкам конкретної особи в межах діяльності Алькор;
• Невідомі активні облікові записи.

Права доступу, в наданні яких відповідній особі немає потреби (у зв’язку зі зміною її посади в Алькор), повинні бути обмежені негайно після такої зміни. Алькор вживає відповідних заходів для скасування/видалення облікових записів та обмеження всіх прав доступу тих осіб, чиї зобов’язання перед Алькор припинено з будь-якої причини.

Відвідувачам, яким потрібен доступ до внутрішньої мережі, необхідно отримати дозвіл Спеціаліста з інформаційної безпеки. Використання відвідувачами облікових даних працівників не допускається за жодних обставин.

КОНТРОЛЬ ДОСТУПУ ДО ІНФОРМАЦІЙНОЇ СИСТЕМИ

Мінімальні вимоги до контролю доступу до інформаційної системи є такими:

• Повинні діяти індивідуальні ідентифікатори та паролі для всіх видів доступу до комп’ютерів;
• Успішні та неуспішні спроби отримання доступу до системи повинні бути зареєстровані;
• Останній вхід користувача конкретного облікового запису в систему повинен бути зареєстрований або відображений;
• Дані облікового запису повинні бути надані під час офіційного тренінгу;
• Нові облікові записи повинні бути початково налаштовані на примусову зміну пароля під час першого входу в систему.

ПРОЦЕДУРА ВХОДУ В СИСТЕМУ

Доступ до комп’ютерних ресурсів Алькор повинен здійснюватися за допомогою безпечного процесу входу в систему.

Відповідна процедура входу в систему:

• не відображатиме підказки системи або додатків до завершення процесу входу в систему;
• не видаватиме довідкові повідомлення під час процедури входу в систему;
• підтвердить інформацію про вхід у систему лише після завершення введення всіх даних;
• допускає лише три невдалі спроби входу в систему, перш ніж обмежити доступ;
• зафіксує невдалу спробу;
• передбачає тимчасову затримку перед тим, як буде дозволено подальші спроби входу в систему;
• тимчасово зупиняє дію облікового запису, щоб запобігти повторним спробам некоректного доступу;
• відключається та не допомагає під час відхиленої спроби входу в систему;
• обмежує час, відведений на процедуру входу в систему: у разі перевищення цього часу система повинна припинити вхід у систему;
• відобразить таку інформацію після успішного входу в систему:
• відобразить дату й час попереднього успішного входу в систему,
• відобразить докладну інформацію про всі невдалі спроби входу в систему з моменту останнього успішного входу;
• забезпечить багатофакторну ідентифікацію для адміністративного доступу.

Це дає можливість користувачеві облікового запису перевірити, чи був він останнім, хто увійшов у систему. Якщо ні, про інцидент необхідно повідомити та вжити відповідних заходів.

Ми підтримуємо процес:

• надання на запит звітів про некоректні спроби входу в систему;
• виявлення та реагування на систематичні атаки на системи серверів, які вони підтримують.

СТАНДАРТИ ПАРОЛІВ

Алькор застосовує суворі стандарти для паролів, щоб зменшити ймовірність отримання зловмисниками доступу до систем Алькор через використання облікових записів Персоналу.

Для забезпечення дотримання основних принципів логічної безпеки необхідно дотримуватись таких стандартів для паролів:

• Використання індивідуальних паролів повинно бути обов’язковим для забезпечення підзвітності;
• Передача паролів заборонена;
• Використання будь-яких паролів, пов’язаних із роботою, для особистих облікових записів заборонено;
• Члени персоналу повинні мати можливість вибирати та змінювати свій пароль і повинні бути зобов’язані підтверджувати його, щоб унеможливити помилки під час введення;
• Персонал, який має привілеї системного рівня, повинен мати унікальний пароль, який використовується виключно для доступу до привілеїв системного рівня;
• Довжина пароля повинна становити щонайменше вісім символів;
• Паролі не повинні містити жодного з таких елементів:
• місяці року, дні тижня чи будь-який інший аспект дати;
• прізвища, ініціали чи реєстраційні номери автомобілів;
• назви компаній, ідентифікатори чи довідкові дані;
• телефонні номери чи аналогічні групи цифр;
• ідентифікатор користувача, ім’я користувача, ідентифікатор групи чи інший ідентифікатор системи;
• понад два однакові символи підряд;
• повністю цифрові або повністю літерні групи;
• будь-яке слово, що міститься у словнику англійської чи іншої мови;
• шаблоні «aaabbb», «qwerty», «zyxwvuts», «123321» тощо;
• є будь-якою версією «Welcome123», «Password123», «Changeme123» тощо.
• Максимальний строк дії пароля повинен становити 90 днів для всіх облікових записів;
• Персонал зобов’язаний змінювати тимчасові (початкові) паролі під час першого входу в систему;
• Паролі не повинні відображатися під час введення;
• Файли паролів повинні зберігатися окремо від системних даних основної програми, а доступ до них повинен бути обмежений системним адміністратором;
• Файли з паролями повинні зберігатися в зашифрованому вигляді;
• Початкові ідентифікатори та паролі повинні бути видалені або змінені після встановлення програмного забезпечення.

Заходи щодо захисту:

• Не передавайте паролі нікому, включно адміністративним помічникам або секретарям. Всі паролі повинні вважатися конфіденційною інформацією;
• Не записуйте та/або не зберігайте пароль в Інтернеті без шифрування;
• Не розголошуйте пароль в електронній пошті, чаті чи в інших електронних засобах зв’язку;
• Не називайте пароль у присутності інших осіб;
• Не підказуйте формат пароля (наприклад, «моє прізвище»);
• Не зазначайте пароль в анкетах чи бланках безпеки;
• Якщо будь-хто просить надати йому пароль, порадьте йому ознайомитися з цим документом і направте його до Спеціаліста з інформаційної безпеки;
• Завжди відмовляйтеся від використання функції «Запам’ятати пароль» у програмах.

СТАНДАРТИ КОМУНІКАЦІЇ

Усне спілкування

Передавання будь-якої частини Інформації за допомогою усного спілкування завжди повинно відбуватися лише всередині приміщень, які захищені у відповідний спосіб від будь-якого несанкціонованого доступу. Зокрема, Інформацію не можна розповідати у громадських місцях чи в присутності сторонніх осіб.

Електронна пошта

Інформацію необхідно передавати виключно через облікові записи, що створені та підтримуються Алькор.

Конфіденційну та/або Службову інформацію необхідно надсилати електронною поштою, дотримуючись відповідних запобіжних заходів:

• Лист повинен мати відповідний заголовок, тобто не містити конфіденційних відомостей у темі листа;
• Браузери повинні бути безпечно налаштовані (наприклад, паролі не зберігаються, тимчасові інтернет-файли видаляються під час виходу тощо);
• Використання електронної пошти для особистих потреб повинно бути зведено до мінімуму;
• Листи, які не пов’язані з роботою, необхідно зберігати в окремій папці від листів, пов’язаних із роботою;
• Конфіденційна інформація не підлягає надсиланню в складі або в додатку до електронного повідомлення, якщо вона не зашифрована;
• Вкладення електронної пошти є поширеним джерелом шкідливих програм, тому необхідно проявляти особливу обережність перед відкриттям будь-яких вкладень, особливо якщо повідомлення отримано не з надійного джерела;
• Особисті повідомлення, які Персонал надсилає іншим особам (одержувач), не повинні містити будь-якої частини Інформації Алькор, щодо якої відповідному одержувачу не надано права доступу.

Телефонний зв’язок

Трапляються випадки, коли надходять телефонні запити з проханням про розголошення Інформації. Якщо таке розголошення є юридично обґрунтованим, а абонент має законне право на доступ до такої Інформації, необхідно дотримуватися таких правил:

• Перевірити персональні дані;
• З’ясувати та записати номер телефону особи, яка звернулася із запитом;
• Якщо абонент є частиною (представником) будь-якої організації, необхідно дізнатися основний телефонний номер цієї організації (через телефонну книгу або довідник) та використовувати його для зворотного виклику;
• Вести розмову у відокремленому місці (де співробітники/інші особи не зможуть підслуховувати);
• Будь-які записи, зроблені під час розмов, повинні зберігатися в надійному місці (під замком) і не залишатися на столі;
• Будь-які підозрілі запити необхідно негайно надсилати Спеціалісту з інформаційної безпеки;
• Завжди надавайте мінімально необхідний обсяг Інформації;
• У разі виникнення сумнівів необхідно попередити абонента, що йому передзвонять після уточнення необхідної Інформації.

Комунікація за допомогою пошти

Вхідна кореспонденція:

• Переконайтеся, що вхідна кореспонденція надходить в умовах, які унеможливлюють втручання сторонніх осіб (наприклад, її не залишають на столі адміністратора в зоні очікування);
• Відкривайте вхідну кореспонденцію за межами громадських місць;
• Переконайтеся, що кореспонденцію надійно зберігають та часто забирають.

Вихідна кореспонденція:

• Виконуйте подвійну перевірку адрес;
• Чітко маркуйте кореспонденцію, зазначаючи назви/прізвища та адреси;
• Для важливих листів/посилок просіть надавати підтвердження про безпечне прибуття;
• Якщо це можливо, надсилайте кореспонденцію через особу, яку Алькор спеціально уповноважило на виконання таких функцій.

Текстові повідомлення та телефонні розмови:

• Перевірте правильність номера мобільного телефону та переконайтеся, що особа, яка використовує мобільний телефон одержувача, є тією особою, якій призначено повідомлення;
• Використовуйте лише ті месенджери, які підтримують сучасні та в належний спосіб захищені методи шифрування;
• Не зберігайте жодних файлів на жорсткому диску мобільного пристрою;
• Під час доступу до файлів завжди використовуйте захищений маркер;
• Обов’язково збережіть файли на диск їхньої мережі;
• Ніколи не отримуйте доступ до Інформації внутрішнього користування чи Конфіденційної інформації через свій мобільний пристрій;
• Не залишайте мобільний пристрій розблокованим, якщо вам доводиться залишати його без нагляду.

У разі користування мобільним телефонним зв’язком необхідно надсилати мінімальний обсяг Інформації, оскільки мережі мобільного зв’язку можуть бути відкритими для додаткових ризиків прослуховування або перехоплення.

ПЕРЕДАВАННЯ ДОКУМЕНТІВ:

Під час передавання документів, що містять Інформацію, необхідно вживати належних заходів обережності:

• Паперові документи, що містять Інформацію, необхідно зберігати в шафі або тумбі, що замикається;
• Записуйте, яку Інформацію забрали з робочого місця/з відділу та, якщо застосовно, куди й до кого вона потрапила;
• Ніколи не залишайте особисті/службові/конфіденційні записи/документи без нагляду;
• Подбайте про те, щоб Інформацію було повернуто в найкоротший строк;
• Зафіксуйте факт повернення Інформації.

ВІДДАЛЕНИЙ ДОСТУП

Персонал повинен суворо дотримуватися вимог Алькор щодо підтримки заходів безпеки під час отримання та використання віддаленого доступу до систем облікових записів Алькор:

• Безпечний віддалений доступ повинен перебувати під суворим контролем. Контроль буде здійснюватися за допомогою одноразової автентифікації паролем або відкритих/закритих ключів з надійними парольними фразами. Неконтрольований зовнішній доступ до мережі Алькор заборонений;
• За жодних обставин ніхто з Членів персоналу не повинен повідомляти свій логін або пароль електронної пошти будь-кому, навіть членам сім’ї;
• Персонал з привілеями віддаленого доступу повинен стежити за тим, щоб його власний або персональний комп’ютер чи робоча станція, що віддалено підключена до корпоративної мережі Алькор, не була одночасно підключена до будь-якої іншої мережі, за винятком персональних мереж, що перебувають під повним контролем користувача;
• Персонал із привілеями віддаленого доступу до корпоративної мережі не повинен використовувати некорпоративні облікові записи електронної пошти чи інші зовнішні ресурси для ведення справ в Алькор, водночас забезпечуючи, щоб службові справи не плуталися з особистими;
• Персонал Алькор повинен встановити та використовувати затверджене програмне забезпечення для шифрування всього диска на своїх ноутбуках, якщо інше не було дозволено як виняток для відповідних ділових потреб;
• Маршрутизатори, налаштовані для доступу до мережі Алькор, повинні відповідати мінімальним вимогам автентифікації;
• Нестандартні конфігурації обладнання повинні бути схвалені Спеціалістом з інформаційної безпеки, а Алькор повинен затвердити конфігурації безпеки для доступу до обладнання;
• Всі ПК, ноутбуки та робочі станції, включно з персональними комп’ютерами, підключені до внутрішніх мереж Алькор за допомогою технології віддаленого доступу, повинні використовувати найсучасніше антивірусне програмне забезпечення;
• Персональне обладнання, що використовується для підключення до мереж Алькор, повинно відповідати вимогам, що пред’являються до обладнання, що належить Алькор, для віддаленого доступу;
• Особи, які бажають реалізувати нестандартні рішення для віддаленого доступу до мережі Алькор, повинні отримати попередній дозвіл від Спеціаліста з інформаційної безпеки.

ЗАХИСТ ВІД ШКІДЛИВИХ ПРОГРАМ

На всіх серверах повинна бути встановлена антивірусна програма, яка забезпечує перевірку та захист в реальному часі файлів та програм, запущених у цільовій системі.

Якщо цільова система є поштовим сервером, вона повинна мати зовнішню або внутрішню антивірусну програму, яка сканує та перевіряє всю пошту, що надходить на поштовий сервер і надсилається з нього.

На всіх пристроях, підключених до внутрішньої мережі Алькор, повинні бути встановлені сучасні антивірусні програми та брандмауер. На всіх Засобах обробки інформації, які працюють під керуванням операційної системи Windows, повинні бути включені оновлення безпеки Microsoft.

Алькор підтримує антивірусні програми в актуальному стані, оновлюючи визначення вірусів та оновлення безпеки. Спеціаліст з інформаційної безпеки є відповідальним за інформування Персоналу про будь-які достовірні вірусні загрози, а Персонал зобов’язаний виконувати інструкції, отримані від Спеціаліста з інформаційної безпеки.

Заборонено завантажувати програмне забезпечення з Інтернету без попереднього дозволу Спеціаліста з інформаційної безпеки.

ПРОЦЕДУРА РЕЗЕРВНОГО КОПІЮВАННЯ

Необхідно регулярно створювати резервні копії Інформації.  Це гарантує, що втрачену, вкрадену або пошкоджену Інформацію можна відновити, а її цілісність зберегти.

• Резервні копії зберігатимуться на хмарних платформах (зокрема Microsoft Azure, зона доступності Azure в Західній Європі), захищених у належний спосіб;
• Частота та обсяг резервного копіювання повинні відповідати важливості Інформації та прийнятному ризику, визначеному власником даних;
• Процес резервного копіювання та відновлення Інформації для кожної системи повинен бути задокументований та періодично підлягати аналізу.

Процедури резервного копіювання повинні бути задокументовані. Ці процедури повинні містити для кожного типу даних принаймні:

• Визначення конкретних даних, що підлягають резервному копіюванню;
• Тип(и) застосовного резервного копіювання (наприклад, повне резервне копіювання, поетапне резервне копіювання тощо);
• Частота і час резервного копіювання даних (кожні 12/24 години);
• Носій інформації, що використовується;
• Будь-які вимоги до архівів резервних копій;
• Відновлення резервних даних.

Резервні копії повинні зберігатися з коротким описом, що містить таку інформацію:

Дата резервного копіювання / Назва ресурсу / Тип методу резервного копіювання (повний/поетапний).

Вимоги до резервного копіювання:

• Програмне забезпечення для резервного копіювання повинно бути заплановане на нічний запуск для збирання всіх даних за попередній день;
• Журнали резервного копіювання мають перевірятися, щоб переконатися, що резервне копіювання виконано;
• У разі аварії записи резервного копіювання повинні бути доступні для вилучення та не підлягають знищенню;
• Резервне копіювання даних на жорстких дисках буде здійснюватися щодня, а резервне копіювання даних на мобільних пристроях необхідно виконувати щотижня (або за першої ж нагоди), якщо працівник перебуває у тривалому відрядженні;
• ІТ системи резервного копіювання були розроблені таким чином, щоб звичайні операції резервного копіювання не вимагали ручного втручання.

ВНЕСЕННЯ ЗМІН ДО ЦІЄЇ ПОЛІТИКИ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ

Ми можемо час від часу змінювати або оновлювати цю Політику інформаційної безпеки, після чого ми також оновлюватимемо дату останньої редакції в цьому документі. Радимо вам час від часу відвідувати цю сторінку, щоб володіти актуальною інформацією щодо процедур, які ми застосовуємо для підтримання інформаційної безпеки.

КОНТАКТИ

Якщо у вас є запитання щодо цієї Політики інформаційної безпеки, будь ласка, зверніться до нас одним з наступних способів:

Електронна пошта: dpo@alcor-bpo.com

Телефон: +380-44-359-13-60

Поштова адреса: 01033, Україна, місто Київ, вулиця Сім’ї Прахових, 58/10.

Дата останньої редакції – 04 серпня 2022 р.