Policy for informasjonssikkerhet

Denne policyen fastsetter prinsippene og reglene som Osaühing Ida Portal, registerkode 10970449 («Operatøren», «vi»), beskytter informasjon etter når selskapet yter sine tjenester under navnet Security Test Team.

Policyen gjelder all informasjon som Operatøren mottar fra kunder eller får mens Operatøren utfører en sikkerhetssjekk eller en sikkerhetsvurdering, Operatørens nettsted og systemene der slik informasjon behandles.

Policyen binder Operatørens styremedlemmer, ansatte og oppdragstakere («Personellet»).

Operatøren beskytter informasjonens konfidensialitet, integritet og tilgjengelighet.

Operatøren samler inn og oppbevarer bare den informasjonen oppgaven krever, og bare så lenge oppgaven krever det.

Tilgang til informasjon gis til personene som trenger den for oppgaven, og til ingen andre.

Operatøren handler i en kundes systemer bare med skriftlig tillatelse fra eieren av systemene og innenfor rammene av denne tillatelsen.

Operatørens styre er ansvarlig for denne policyen, for ressursene som gjennomføringen av den krever, og for gjennomgangen av den.

Enhver som tilhører Personellet, forplikter seg skriftlig til taushetsplikt før vedkommende får tilgang til en kundes informasjon. Forpliktelsen gjelder også etter at samarbeidet med vedkommende er avsluttet.

Personellet er bundet av De etiske retningslinjene. Et brudd på denne policyen eller på retningslinjene avslutter samarbeidet med den ansvarlige personen.

Følgende er konfidensielt: at en person er kunde hos Operatøren, innholdet i forespørsler og avtaler, informasjonen om en kundes systemer, sårbarheter, bevis, rapporter og korrespondansen med en kunde.

Konfidensiell informasjon utleveres bare til kunden den gjelder, og til personene kunden har utpekt skriftlig. Sårbarheter, bevis og rapporter sendes bare videre til kunden eller eieren av det aktuelle systemet og, med dennes skriftlige samtykke, til dem som utbedrer sårbarhetene eller koordinerer utbedringen. Forespørsler og korrespondanse behandles også av leverandørene i punkt 10, i det omfanget tjenesten deres krever.

Informasjon om én kunde brukes ikke i arbeidet for en annen kunde.

En kundes kode, data og sårbarheter sendes ikke til offentlige tjenester for kunstig intelligens og brukes ikke til å trene modeller.

Enhver som tilhører Personellet, arbeider med en personlig konto. Delte kontoer brukes ikke.

Tilgang til systemene der kundenes informasjon behandles, er beskyttet med flerfaktorautentisering.

Tilgang til informasjonen i et oppdrag gis til spesialistene som er tildelt oppdraget, og trekkes tilbake når oppdraget er avsluttet eller personen forlater det.

Påloggingsinformasjon som en kunde gir for testing, brukes bare til denne testingen, lagres kryptert og destrueres når oppdraget er avsluttet. Operatøren anbefaler at kunden tilbakekaller den etter testingen.

Kundenes informasjon lagres kryptert, både på Personellets enheter og i Operatørens systemer.

Rapporter, bevis som gjør det mulig å gjenskape en sårbarhet, og påloggingsinformasjon overføres gjennom en sikker kanal som er avtalt med kunden på forhånd. De sendes ikke per e-post, gjennom meldingstjenester eller gjennom skjemaene på nettstedet.

Nøkkelen til et kryptert dokument formidles gjennom en annen kanal enn den dokumentet sendes gjennom.

Operatøren registrerer det minimum som beviser en sårbarhet. Personopplysninger kopieres ikke og maskeres i bevisene overalt der beviset fortsatt holder.

Hvis spesialisten får tilgang til data som ikke trengs for å bevise en sårbarhet, stanser spesialisten, beholder ikke dataene og informerer kunden.

Arbeidsdataene fra et oppdrag destrueres 30 dager etter at oppdraget er avsluttet. Rapporten oppbevares så lenge avtalen bestemmer.

Funn med kritisk eller høy alvorlighetsgrad i et betalt oppdrag rapporteres til kunden innen 24 timer etter bekreftelse, uten å vente på rapporten.

Enhetene der kundenes informasjon behandles, har kryptert lagring, skjermlås og programvare som støttes og er oppdatert.

Testing utføres fra nettverksadressene som er angitt i tillatelsen, slik at kunden kan skille Operatørens handlinger fra tredjeparters handlinger.

Verktøyene som brukes til testing, hentes fra de offisielle kildene og holdes oppdatert.

Nettstedet securitytest.team er beskyttet med følgende tiltak:

1. (a)nettstedet leveres bare over krypterte forbindelser, og nettlesere instrueres om ikke å bruke andre forbindelser;
2. (b)en innholdssikkerhetspolicy tillater bare skriptene og stilene til nettstedet selv og til kontrollen mot misbruk i skjemaene;
3. (c)nettstedet setter ingen informasjonskapsler og inneholder ingen teknologier for analyse eller reklame;
4. (d)skjemaene er beskyttet med en automatisk kontroll mot misbruk, og det som sendes gjennom dem, valideres både i nettleseren og på serveren.

Forespørsler behandles slik:

1. (a)tjenesten som lagrer forespørsler, kan ikke nås fra internett og tar bare imot data fra nettstedet;
2. (b)det tas ikke imot mer enn 5 forespørsler fra én nettverksadresse i løpet av 60 minutter;
3. (c)IP-adressen til avsenderen av en forespørsel lagres som en nøklet hash; selve adressen lagres ikke;
4. (d)en forespørsel slettes automatisk 365 dager etter at den er mottatt.

Sårbarheter i nettstedet rapporteres som beskrevet i Retningslinjene for sårbarhetsrapportering.

Operatøren benytter en leverandør som behandler kundenes informasjon, bare hvis leverandøren sikrer et beskyttelsesnivå som ikke er lavere enn det denne policyen krever.

Leverandørene som behandler personopplysninger, er angitt i Personvernerklæringen.

Enhver som tilhører Personellet og oppdager eller mistenker et sikkerhetsbrudd, rapporterer det til styret uten opphold.

Operatøren begrenser hendelsen, fastslår årsakene til den og konsekvensene av den og treffer tiltak som hindrer at den gjentar seg.

Operatøren informerer uten ugrunnet opphold en kunde hvis informasjon berøres av en hendelse, og gir informasjonen kunden trenger for å kunne reagere.

Når en hendelse er et brudd på personopplysningssikkerheten, handler Operatøren i samsvar med artikkel 33 og 34 i forordning (EU) 2016/679.

Et mistenkt brudd på Operatørens sikkerhet kan rapporteres til info@securitytest.team.

Operatøren gjennomgår denne policyen minst én gang i året og etter hver sikkerhetshendelse og hver vesentlig endring i tjenestene eller systemene sine.

Gjeldende versjon er den som er publisert på denne siden, med datoen den gjelder fra.