Πολιτική ασφάλειας πληροφοριών

Δήλωση δέσμευσης για την ασφάλεια των πληροφοριών

• Οι πληροφορίες αποτελούν πολύτιμο περιουσιακό στοιχείο και πρέπει να προστατεύονται από μη εξουσιοδοτημένη αποκάλυψη, τροποποίηση ή καταστροφή. Πρέπει να εφαρμόζονται συνετές πολιτικές και διαδικασίες ασφάλειας πληροφοριών, ώστε να διασφαλίζεται ότι η ακεραιότητα, η εμπιστευτικότητα και η διαθεσιμότητα των πληροφοριών του Curis Network δεν τίθενται σε κίνδυνο.

Ευθύνη για την ασφάλεια, ανασκόπηση και αξιολόγηση

• Η Επιτροπή Ασφάλειας Πληροφοριών ("ISC") είναι υπεύθυνη για την καθιέρωση και τη διαχείριση της ασφάλειας όλων των συστημάτων. Η ISC θα επανεξετάζει, ανάλογα με τις ανάγκες, αλλά τουλάχιστον σε ετήσια βάση, τις πλέον σύγχρονες βέλτιστες πρακτικές σχετικά με τη χρήση της τεχνολογίας και θα τροποποιεί ή/και θα εκδίδει νέες πολιτικές, διαδικασίες ή/και ελέγχους ώστε να αντικατοπτρίζει την πλέον κατάλληλη λύση για την ασφάλεια των πληροφοριών του Curis Network.

Ευθύνη του χρήστη

• Οι τεχνολογικοί πόροι του Curis Network παρέχονται σε εξουσιοδοτημένους χρήστες για να διευκολύνουν την αποδοτική και αποτελεσματική εκτέλεση των καθηκόντων τους σε ένα ασφαλές ηλεκτρονικό περιβάλλον. Η χρήση αυτών των πόρων επιβάλλει ορισμένες ευθύνες και υποχρεώσεις στους χρήστες και υπόκειται σε όλες τις ισχύουσες πολιτικές της Curis. Είναι ευθύνη κάθε χρήστη να διασφαλίζει ότι οι πόροι αυτοί δεν χρησιμοποιούνται καταχρηστικά και να τηρεί όλες τις πολιτικές και διαδικασίες ασφαλείας της Curis.

Οι αξιολογήσεις κινδύνου θα διενεργούνται ετησίως για να αντιμετωπίζονται οι αλλαγές στις απαιτήσεις ασφάλειας και στην κατάσταση κινδύνου, π.χ. στα περιουσιακά στοιχεία, τις απειλές, τα τρωτά σημεία, τις επιπτώσεις, την αξιολόγηση κινδύνου, και όταν συμβαίνουν σημαντικές αλλαγές.

Οι εκτιμήσεις κινδύνου θα διενεργούνται με μεθοδικό τρόπο ικανό να παράγει συγκρίσιμα και αναπαραγώγιμα αποτελέσματα με τη χρήση του εργαλείου αξιολόγησης κινδύνων πληροφοριών (05_5.2_006_06).

Οι αξιολογήσεις κινδύνων θα έχουν σαφώς καθορισμένο πεδίο εφαρμογής προκειμένου να είναι αποτελεσματικές.

Το αποτέλεσμα της αξιολόγησης κινδύνων θα είναι μια έκθεση που θα καθορίζει και θα ιεραρχεί τους κινδύνους, με βάση τα τρωτά σημεία και τον αντίκτυπο στις πληροφορίες της Curis.

Υποδομή ασφάλειας πληροφοριών

Δέσμευση της διοίκησης για την ασφάλεια των πληροφοριών

• Η διοίκηση της Curis έχει δεσμευτεί πλήρως να υποστηρίξει ενεργά την ασφάλεια εντός του οργανισμού μέσω της σαφούς κατεύθυνσης, της αποδεδειγμένης δέσμευσης, της ρητής ανάθεσης, της αναγνώρισης των ευθυνών για την ασφάλεια των πληροφοριών και της υποστήριξης μιας επιτροπής τεχνολογικής διακυβέρνησης που αναπτύχθηκε για να παρέχει διακυβέρνηση για όλες τις πολιτικές και διαδικασίες της τεχνολογίας πληροφοριών.

• Η Επιτροπή Τεχνολογικής Διακυβέρνησης θα αποτελείται από διορισμένους ηγέτες του δικτύου Curis και θα συνεδριάζει, τουλάχιστον, σε τριμηνιαία βάση. Η επιτροπή θα:
• να επανεξετάζει και να εγκρίνει την πολιτική ασφάλειας των πληροφοριών,
• να παρέχει σαφή κατεύθυνση και ορατή διοικητική υποστήριξη για τις πρωτοβουλίες ασφάλειας,
• εγκρίνει τους πόρους που απαιτούνται για την ασφάλεια των πληροφοριών,
• εγκρίνει την ανάθεση συγκεκριμένων ρόλων και αρμοδιοτήτων για την ασφάλεια των πληροφοριών σε όλο το δίκτυο Curis,
• εγκρίνει σχέδια και προγράμματα για τη διατήρηση της ευαισθητοποίησης σε θέματα ασφάλειας των πληροφοριών- και
• να διασφαλίζει ότι η εφαρμογή των ελέγχων ασφάλειας πληροφοριών συντονίζεται σε όλο το δίκτυο Curis.

Συντονισμός της ασφάλειας πληροφοριών / Κατανομή αρμοδιοτήτων ασφάλειας πληροφοριών

• Ο Διαχειριστής Τεχνολογικών Πόρων θα είναι το σημείο εστίασης για όλα τα θέματα που σχετίζονται με την τεχνολογική ασφάλεια.
• Όταν απαιτείται, τα τμήματα θα ορίζουν έναν σύνδεσμο ασφαλείας που θα λειτουργεί ως το κύριο σημείο επαφής με τον διαχειριστή τεχνολογικών πόρων.
• Τα τμήματα θα εφαρμόζουν πρόσθετες διαδικασίες, εφόσον είναι απαραίτητο, για να πληρούν τις απαιτήσεις ασφαλείας του δικτύου Curis.

Ανεξάρτητη επανεξέταση της ασφάλειας πληροφοριών

• Η προσέγγιση του Δικτύου Curis για τη διαχείριση της ασφάλειας των πληροφοριών και η εφαρμογή της (δηλ. στόχοι ελέγχου, έλεγχοι, πολιτικές, διαδικασίες και διεργασίες για την ασφάλεια των πληροφοριών) θα επανεξετάζονται σε ετήσια βάση.
• Μια τέτοια επανεξέταση θα διενεργείται τόσο εσωτερικά όσο και από άτομα ανεξάρτητα από τον υπό εξέταση τομέα, όπως ένας τρίτος οργανισμός που ειδικεύεται σε τέτοιου είδους επανεξετάσεις. Τα άτομα που διενεργούν αυτές τις αναθεωρήσεις πρέπει να διαθέτουν τις κατάλληλες δεξιότητες και εμπειρία και να εγκρίνονται από την Επιτροπή Τεχνολογικής Διακυβέρνησης.
• Τα αποτελέσματα της ανεξάρτητης επανεξέτασης θα καταγράφονται και θα αναφέρονται στην Επιτροπή Τεχνολογικής Διακυβέρνησης. Εάν η ανεξάρτητη επανεξέταση διαπιστώσει ότι η προσέγγιση και η εφαρμογή του οργανισμού για τη διαχείριση της ασφάλειας των πληροφοριών είναι ανεπαρκής ή δεν συμμορφώνεται με την κατεύθυνση για την ασφάλεια των πληροφοριών που αναφέρεται στο παρόν έγγραφο, θα καθοριστούν και θα εφαρμοστούν διορθωτικές ενέργειες.

Ασφάλεια περιουσιακών στοιχείων τρίτων

Σε όλους τους υποψήφιους πράκτορες τρίτων θα παρέχεται αντίγραφο των Πολιτικών Ασφάλειας Πληροφοριών του Δικτύου Curis, θα πρέπει να βεβαιώνουν εγγράφως την αποδοχή των εν λόγω πολιτικών και θα πρέπει ανά πάσα στιγμή να συμμορφώνονται με τις εν λόγω πολιτικές.

Όταν οι πράκτορες τρίτων έχουν πρόσβαση σε τεχνολογικούς πόρους που ανήκουν στο Curis Network, πρέπει να τηρούν τα ίδια πρότυπα με τους υπαλλήλους του Curis Network και να συμφωνούν να τηρούν και να υπογράφουν τόσο την Πολιτική διαχείρισης ασφάλειας προμηθευτών όσο και την Πολιτική αποδεκτής χρήσης του Curis Network.

Όταν πράκτορες τρίτων εργάζονται σε ένα περιβάλλον Curis Network χωρίς να εποπτεύονται άμεσα, οι υπάλληλοι της Curis Network πρέπει να επαγρυπνούν σχετικά με την αποσύνδεση από τις συνεδρίες, την αποσύνδεση ή την εξασφάλιση της πρόσβασης στον υπολογιστή και τη σωστή διαφύλαξη των πληροφοριών σε χαρτί.

Πρέπει να εφαρμόζονται αυστηροί έλεγχοι στους λογαριασμούς χρηστών που χρησιμοποιούν απομακρυσμένη πρόσβαση σύνδεσης. Σε περίπτωση που η πρόσβαση από τρίτους περιλαμβάνει σύνδεση από δίκτυο σε δίκτυο, επιβάλλεται η χρήση τείχους προστασίας, η καταγραφή της πρόσβασης και η παρακολούθηση των συστημάτων.

Οι θύρες σύνδεσης δικτύου θα παρακολουθούνται συνεχώς για άγνωστες συσκευές και μη εξουσιοδοτημένες συνδέσεις.

Οι τεχνολογικοί πόροι θα επανεξετάζουν, σε ετήσια βάση, όλες τις απαιτούμενες συμφωνίες με τρίτους και θα ελέγχουν τα εξωτερικά συστήματα.

Στρατηγική ανθρώπινου δυναμικού

Πριν από την απασχόληση

Διαλογή / Όροι απασχόλησης

• Έλεγχοι ιστορικού θα διενεργούνται για όλους τους υπαλλήλους, τους εργολάβους και τους προμηθευτές της Curis Network, όταν η πρόσβαση σε ευαίσθητες πληροφορίες το επιβάλλει.

Κατά τη διάρκεια της απασχόλησης

Ευθύνες διαχείρισης

• Όλοι οι διευθυντές πρέπει να παρακολουθούν την ετήσια εκπαίδευση για την πολιτική ασφάλειας και την επανεξέταση.
• Η διοίκηση θα απαιτεί από τους υπαλλήλους και τους τρίτους χρήστες να εφαρμόζουν την ασφάλεια σύμφωνα με τις πολιτικές και τις διαδικασίες ασφάλειας πληροφοριών του δικτύου Curis.
• Οι αρμοδιότητες της διοίκησης θα περιλαμβάνουν τη διασφάλιση ότι οι εργαζόμενοι και οι τρίτοι χρήστες: - Πριν τους χορηγηθεί πρόσβαση σε ευαίσθητες πληροφορίες ή συστήματα, ενημερώνονται κατάλληλα για τις ευθύνες τους σχετικά με την ασφάλεια των πληροφοριών,
• Απαιτείται να πληρούν τις πολιτικές ασφαλείας του δικτύου Curis,
• Επίτευξη επιπέδου ευαισθητοποίησης σε θέματα ασφάλειας που σχετίζονται με τους ρόλους και τις αρμοδιότητές τους στο δίκτυο Curis,
• Παρέχετε τις απαραίτητες αποδείξεις για τη συμμόρφωση με την ασφάλεια και υπογράφετε τις κατάλληλες επαληθεύσεις,
• Να συμμορφώνεται με τους όρους και τις προϋποθέσεις απασχόλησης, οι οποίες περιλαμβάνουν την πολιτική ασφάλειας πληροφοριών και την πολιτική αποδεκτής χρήσης του Curis Network.

Εκπαίδευση και κατάρτιση σε θέματα ασφάλειας πληροφοριών

• Όλοι οι εργαζόμενοι θα πρέπει να ολοκληρώνουν την ετήσια εκπαίδευση σχετικά με την ευαισθητοποίηση και τις έννοιες της ασφάλειας των πληροφοριών.
• Όλοι οι εργαζόμενοι θα ασκούν ευαισθητοποίηση σε θέματα ασφάλειας και θα επαγρυπνούν έναντι δόλιων δραστηριοτήτων.
• Όλοι οι εργαζόμενοι θα αναφέρουν αμέσως περιστατικά που αφορούν λογαριασμούς του δικτύου Curis στον άμεσο προϊστάμενό τους ή στην Επιτροπή Ασφάλειας Πληροφοριών.
• Όλοι οι εργαζόμενοι οφείλουν να αναφέρουν τυχόν περιστατικά, ανησυχίες ή ύποπτες δραστηριότητες στον άμεσο προϊστάμενό τους, στο τμήμα Ανθρώπινου Δυναμικού ή στην Επιτροπή Ασφάλειας Πληροφοριών. Πολιτικές και διαδικασίες τεχνολογικών πόρων
• Οι χρήστες θα σημειώνουν και θα αναφέρουν τις παρατηρούμενες ή πιθανολογούμενες αδυναμίες ασφάλειας των συστημάτων και υπηρεσιών απευθείας στην Επιτροπή Ασφάλειας Πληροφοριών. Οι χρήστες δεν θα προσπαθούν να μιμηθούν την παραβίαση της ασφάλειας ή να επιχειρήσουν να αποδείξουν την απειλή ως δοκιμή. Οι προμηθευτές και οι εργολάβοι που παρέχουν υπηρεσίες στο δίκτυο Curis πρέπει να συμφωνούν να ακολουθούν τις ισχύουσες διαδικασίες ασφάλειας πληροφοριών του τμήματος για το οποίο εργάζονται.

Πειθαρχική διαδικασία

• Για την αποτροπή και την πειθαρχική τιμωρία των υπαλλήλων ή τρίτων που παραβιάζουν τις πολιτικές και τα πρότυπα ασφάλειας πληροφοριών του δικτύου Curis θα ακολουθείται επίσημη πειθαρχική διαδικασία, όπως ορίζεται στο Εγχειρίδιο Ανθρώπινου Δυναμικού του δικτύου Curis.

Τερματισμός ή αλλαγή απασχόλησης

• Τη συνολική διαδικασία τερματισμού και θα συντονίζεται με τον διευθυντή του ατόμου που τερματίζει και τους Τεχνολογικούς Πόρους για τη διαχείριση των πτυχών ασφαλείας των σχετικών διαδικασιών.
• Επιστροφή περιουσιακών στοιχείων - Όλοι οι εργαζόμενοι, οι εργολάβοι και οι τρίτοι χρήστες πρέπει να επιστρέψουν όλα τα περιουσιακά στοιχεία του Δικτύου Curis που έχουν στην κατοχή τους κατά τη λήξη της απασχόλησης, της σύμβασης ή της συμφωνίας τους. Σε περιπτώσεις όπου ένας εργαζόμενος ή τρίτος χρήστης έχει γνώσεις που είναι σημαντικές για τις τρέχουσες λειτουργίες, οι πληροφορίες αυτές θα τεκμηριώνονται και θα μεταφέρονται στο Curis Network.
• Αφαίρεση δικαιωμάτων πρόσβασης. Τα δικαιώµατα πρόσβασης όλων των υπαλλήλων και των τρίτων χρηστών σε πληροφορίες και εγκαταστάσεις επεξεργασίας πληροφοριών πρέπει να αφαιρούνται κατά τη λήξη της απασχόλησης, της σύµβασης ή της συµφωνίας τους ή να προσαρµόζονται όπως απαιτείται κατά την αλλαγή της απασχόλησης.

Έλεγχος πρόσβασης

Οι κωδικοί πρόσβασης εκδίδονται από την Ανώτατη Διοίκηση. Τα επίπεδα εξουσιοδότησης εκχωρούνται με βάση τα απαιτούμενα καθήκοντα.