Polityka bezpieczeństwa informacji

Niniejsza Polityka określa zasady i reguły, według których spółka Osaühing Ida Portal, numer rejestrowy 10970449 (dalej „Operator”, „my”), chroni informacje, gdy świadczy usługi pod nazwą Security Test Team.

Polityka ma zastosowanie do wszystkich informacji, które Operator otrzymuje od klientów lub uzyskuje podczas przeprowadzania sprawdzenia bezpieczeństwa albo oceny bezpieczeństwa, do strony internetowej Operatora oraz do systemów, w których takie informacje są przetwarzane.

Polityka wiąże członków zarządu, pracowników i współpracowników Operatora (dalej „Personel”).

Operator chroni poufność, integralność i dostępność informacji.

Operator gromadzi i przechowuje wyłącznie te informacje, których wymaga zadanie, i wyłącznie tak długo, jak wymaga tego zadanie.

Dostęp do informacji otrzymują osoby, które potrzebują go do wykonania zadania, i nikt inny.

Operator podejmuje działania w systemach klienta wyłącznie na podstawie pisemnego upoważnienia ich właściciela i w zakresie tego upoważnienia.

Zarząd Operatora odpowiada za niniejszą Politykę, za środki niezbędne do jej wdrożenia oraz za jej przegląd.

Każda osoba należąca do Personelu przed uzyskaniem dostępu do informacji klienta zobowiązuje się na piśmie do zachowania informacji w poufności. Zobowiązanie pozostaje w mocy po zakończeniu współpracy z tą osobą.

Personel jest związany Kodeksem etyki. Naruszenie niniejszej Polityki lub Kodeksu kończy współpracę z osobą za nie odpowiedzialną.

Poufne są: fakt, że dana osoba jest klientem Operatora, treść zapytań i umów, informacje o systemach klienta, podatności, dowody, raporty oraz korespondencja z klientem.

Informacje poufne ujawnia się wyłącznie klientowi, którego dotyczą, oraz osobom wskazanym przez klienta na piśmie. Podatności, dowody i raporty przekazuje się wyłącznie klientowi lub właścicielowi systemu, którego dotyczą, a za jego pisemną zgodą również tym, którzy usuwają podatności lub koordynują ich usunięcie. Zapytania i korespondencję przetwarzają również dostawcy, o których mowa w punkcie 10, w zakresie, w jakim wymaga tego ich usługa.

Informacji dotyczących jednego klienta nie wykorzystuje się w pracy dla innego klienta.

Kodu, danych i podatności klienta nie przekazuje się do publicznych usług sztucznej inteligencji i nie wykorzystuje się ich do trenowania modeli.

Każda osoba należąca do Personelu pracuje na osobistym koncie. Kont współdzielonych się nie używa.

Dostęp do systemów, w których przetwarzane są informacje klientów, jest chroniony uwierzytelnianiem wieloskładnikowym.

Dostęp do informacji projektu otrzymują specjaliści przypisani do tego projektu; dostęp ten jest odbierany, gdy projekt zostaje zamknięty lub dana osoba przestaje w nim uczestniczyć.

Dane logowania, które klient przekazuje na potrzeby testów, są używane wyłącznie do tych testów, przechowywane w postaci zaszyfrowanej i niszczone po zamknięciu projektu. Operator zaleca klientowi unieważnienie tych danych logowania po zakończeniu testów.

Informacje klientów są przechowywane w postaci zaszyfrowanej, zarówno na urządzeniach Personelu, jak i w systemach Operatora.

Raporty, dowody pozwalające odtworzyć podatność oraz dane logowania są przekazywane bezpiecznym kanałem uzgodnionym wcześniej z klientem. Nie wysyła się ich pocztą elektroniczną, przez komunikatory ani przez formularze strony internetowej.

Klucz do zaszyfrowanego dokumentu przekazuje się innym kanałem niż ten, którym wysyłany jest dokument.

Operator zapisuje minimum, które wystarcza do wykazania podatności. Danych osobowych nie kopiuje się, a w dowodach maskuje się je wszędzie tam, gdzie dowód zachowuje swoją moc.

Jeżeli specjalista uzyska dostęp do danych, które nie są potrzebne do wykazania podatności, przerywa działania, nie przechowuje tych danych i informuje o tym klienta.

Dane robocze projektu są niszczone 30 dni po zamknięciu projektu. Raport jest przechowywany tak długo, jak przewiduje umowa.

O znaleziskach o krytycznej i wysokiej istotności w płatnym projekcie Operator informuje klienta w ciągu 24 godzin od potwierdzenia, nie czekając na raport.

Urządzenia, na których przetwarzane są informacje klientów, mają zaszyfrowane nośniki danych, blokadę ekranu oraz aktualne oprogramowanie objęte wsparciem producenta.

Testy są prowadzone z adresów sieciowych wskazanych w upoważnieniu, tak aby klient mógł odróżnić działania Operatora od działań osób trzecich.

Narzędzia używane do testów są pobierane z ich oficjalnych źródeł i na bieżąco aktualizowane.

Strona internetowa securitytest.team jest chroniona następującymi środkami:

1. (a)strona internetowa jest udostępniana wyłącznie przez połączenia szyfrowane, a przeglądarki otrzymują polecenie, aby nie używały innych połączeń;
2. (b)polityka bezpieczeństwa treści (Content Security Policy) zezwala wyłącznie na skrypty i style samej strony internetowej oraz weryfikacji chroniącej formularze przed nadużyciami;
3. (c)strona internetowa nie zapisuje plików cookie i nie zawiera technologii analitycznych ani reklamowych;
4. (d)formularze zabezpiecza automatyczna weryfikacja chroniąca przed nadużyciami, a poprawność tego, co jest przez nie wysyłane, jest sprawdzana zarówno w przeglądarce, jak i na serwerze.

Zapytania są przetwarzane w następujący sposób:

1. (a)usługa, która przechowuje zapytania, nie jest dostępna z internetu i przyjmuje dane wyłącznie ze strony internetowej;
2. (b)liczba zapytań przyjmowanych z jednego adresu sieciowego w ciągu 60 min nie przekracza 5;
3. (c)adres IP osoby wysyłającej zapytanie jest przechowywany jako skrót utworzony z użyciem klucza; sam adres nie jest przechowywany;
4. (d)zapytanie jest usuwane automatycznie 365 dni po jego otrzymaniu.

Podatności strony internetowej zgłasza się w sposób opisany w Polityce ujawniania podatności.

Operator korzysta z usług dostawcy, który przetwarza informacje klientów, wyłącznie wtedy, gdy dostawca ten zapewnia poziom ochrony nie niższy niż wymagany przez niniejszą Politykę.

Dostawcy, którzy przetwarzają dane osobowe, są wskazani w Polityce prywatności.

Osoba należąca do Personelu, która zauważy naruszenie bezpieczeństwa lub podejrzewa, że do niego doszło, niezwłocznie informuje o tym zarząd.

Operator opanowuje incydent, ustala jego przyczyny i skutki oraz stosuje środki zapobiegające jego powtórzeniu.

Operator bez zbędnej zwłoki informuje klienta, którego informacji dotyczy incydent, i przekazuje mu informacje potrzebne do podjęcia działań w odpowiedzi na incydent.

Jeżeli incydent stanowi naruszenie ochrony danych osobowych, Operator postępuje zgodnie z art. 33 i 34 rozporządzenia (UE) 2016/679.

O podejrzeniu naruszenia bezpieczeństwa Operatora można poinformować, pisząc na adres info@securitytest.team.

Operator dokonuje przeglądu niniejszej Polityki co najmniej raz w roku oraz po każdym incydencie bezpieczeństwa i każdej istotnej zmianie swoich usług lub systemów.

Obowiązuje wersja opublikowana na tej stronie wraz z datą, od której ma zastosowanie.