Политика информационной безопасности

Настоящая Политика устанавливает принципы и правила, по которым Osaühing Ida Portal, регистрационный код 10970449 (далее — «Оператор», «мы»), защищает информацию при оказании услуг под наименованием Security Test Team.

Политика распространяется на всю информацию, которую Оператор получает от заказчиков или в ходе проверки безопасности или оценки защищённости, на сайт Оператора и на системы, в которых такая информация обрабатывается.

Политика обязательна для членов правления, работников и подрядчиков Оператора (далее — «Персонал»).

Оператор защищает конфиденциальность, целостность и доступность информации.

Оператор собирает и хранит только ту информацию, которой требует задача, и только до тех пор, пока её требует задача.

Доступ к информации получают лица, которым она нужна для задачи, и никто другой.

Оператор действует в системах заказчика только с письменного разрешения их владельца и в пределах этого разрешения.

Правление Оператора отвечает за настоящую Политику, за ресурсы, необходимые для её исполнения, и за её пересмотр.

Каждое лицо из Персонала до получения доступа к информации заказчика даёт письменное обязательство сохранять конфиденциальность. Обязательство сохраняет силу после прекращения сотрудничества с этим лицом.

Персонал обязан соблюдать Этический кодекс. Нарушение настоящей Политики или Кодекса прекращает сотрудничество с виновным лицом.

Конфиденциальными являются: сам факт того, что лицо является заказчиком Оператора, содержание заявок и договоров, сведения о системах заказчика, уязвимости, доказательства, отчёты и переписка с заказчиком.

Конфиденциальная информация раскрывается только заказчику, которого она касается, и лицам, которых заказчик назвал в письменной форме. Уязвимости, доказательства и отчёты передаются только заказчику или владельцу соответствующей системы, а с его письменного согласия — также тем, кто устраняет уязвимости или координирует их устранение. Заявки и переписку обрабатывают также поставщики, указанные в разделе 10, в той мере, в какой этого требует их услуга.

Сведения об одном заказчике не используются в работе для другого заказчика.

Код, данные и уязвимости заказчика не передаются в общедоступные сервисы искусственного интеллекта и не используются для обучения моделей.

Каждое лицо из Персонала работает под личной учётной записью. Общие учётные записи не используются.

Доступ к системам, в которых обрабатывается информация заказчиков, защищён многофакторной аутентификацией.

Доступ к информации проекта получают специалисты, назначенные на этот проект; доступ отзывается, когда проект закрыт или специалист выбыл из него.

Учётные данные, которые заказчик предоставляет для тестирования, используются только для этого тестирования, хранятся в зашифрованном виде и уничтожаются при закрытии проекта. Оператор рекомендует заказчику отозвать их после тестирования.

Информация заказчиков хранится в зашифрованном виде — и на устройствах Персонала, и в системах Оператора.

Отчёты, доказательства, позволяющие воспроизвести уязвимость, и учётные данные передаются по защищённому каналу, заранее согласованному с заказчиком. Они не отправляются по электронной почте, через мессенджеры и через формы сайта.

Ключ к зашифрованному документу сообщается по каналу, отличному от того, по которому отправлен документ.

Оператор фиксирует минимум, доказывающий уязвимость. Персональные данные не копируются и маскируются в доказательствах везде, где доказательство сохраняет силу.

Если специалист получил доступ к данным, которые не нужны для доказательства уязвимости, он останавливается, не сохраняет эти данные и сообщает заказчику.

Рабочие данные проекта уничтожаются через 30 дней после закрытия проекта. Отчёт хранится столько, сколько предусмотрено договором.

О находках критического и высокого уровня в платном проекте заказчику сообщается в течение 24 часов после подтверждения, не дожидаясь отчёта.

Устройства, на которых обрабатывается информация заказчиков, имеют зашифрованный накопитель, блокировку экрана и поддерживаемое, обновлённое программное обеспечение.

Тестирование проводится с сетевых адресов, указанных в разрешении, чтобы заказчик мог отличить действия Оператора от действий третьих лиц.

Инструменты тестирования получаются из их официальных источников и поддерживаются в актуальном состоянии.

Сайт securitytest.team защищён следующими мерами:

1. (а)сайт работает только по зашифрованным соединениям, и браузерам предписано не использовать иных соединений;
2. (б)политика безопасности содержимого разрешает только скрипты и стили самого сайта и проверки форм от злоупотреблений;
3. (в)сайт не устанавливает cookie и не содержит аналитических и рекламных технологий;
4. (г)формы защищены автоматической проверкой от злоупотреблений, а всё, что через них отправляется, проверяется и в браузере, и на сервере.

Заявки обрабатываются следующим образом:

1. (а)сервис, который хранит заявки, недоступен из интернета и принимает данные только от сайта;
2. (б)с одного сетевого адреса принимается не более 5 заявок за 60 минут;
3. (в)IP-адрес заявителя хранится в виде хеша с ключом; сам адрес не хранится;
4. (г)заявка удаляется автоматически через 365 дней после получения.

Об уязвимостях сайта сообщается в порядке, описанном в Политике раскрытия уязвимостей.

Оператор привлекает поставщика, обрабатывающего информацию заказчиков, только если поставщик обеспечивает уровень защиты не ниже того, которого требует настоящая Политика.

Поставщики, обрабатывающие персональные данные, названы в Политике конфиденциальности.

Лицо из Персонала, заметившее нарушение безопасности или подозревающее его, незамедлительно сообщает об этом правлению.

Оператор локализует инцидент, устанавливает его причины и последствия и принимает меры, предотвращающие его повторение.

Заказчику, информация которого затронута инцидентом, Оператор сообщает об этом без неоправданной задержки и передаёт сведения, необходимые заказчику для реагирования.

Если инцидент является нарушением безопасности персональных данных, Оператор действует в соответствии со статьями 33 и 34 Регламента (ЕС) 2016/679.

О предполагаемом нарушении безопасности Оператора можно сообщить по адресу info@securitytest.team.

Оператор пересматривает настоящую Политику не реже одного раза в год, а также после каждого инцидента безопасности и каждого существенного изменения своих услуг или систем.

Действует версия, опубликованная на этой странице, с указанной датой начала применения.