Скачать документ в формате DOCX
Общество с ограниченной ответственностью
Горбунова, д. 2, корпус.3, офис 501, г. Москва, 121596
www.valocloud.ru
ЗАЩИТЫ ИНФОРМАЦИИ, ИНФОРМАЦИОННЫХ СИСТЕМ, ТЕХНОЛОГИЙ И ПЕРСОНАЛЬНЫХ ДАННЫХ (далее – Политика)
Настоящая Политика общества с ограниченной ответственностью «ИНТЕЛЛЛЕКТУАЛЬНЫЙ РЕЗЕРВ» определяет порядок защиты информации, информационных систем и персональных данных лиц, поименованных в политике, в том числе пользователей сайта https://valocloud.ru/ (далее – «Сайт»), условия и принципы защиты информации и персональных данных,
Настоящая Политика защиты информации, информационных систем и персональных данных (далее – Политика) разработана в соответствии с:
Конституцией Российской Федерации;
Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральным законом от 26.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федеральным законом от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»;
Гражданским кодексом Российской Федерации;
Трудовым кодексом Российской Федерации;
Постановлением Правительства РФ от 01.11.2012№ 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
иными нормативно-правовыми актами, в том числе в области безопасности критической информационной инфраструктуры (приказы ФСТЭК России, ФСБ России, устанавливающие порядок категорирования, требования безопасности и т.д.).
Политика определяет порядок обработки и защиты в ООО «ИНТЕЛЛЕКТАЛЬНЫЙ РЕЗЕРВ», ОГРН 1137746977433 (далее – Общество) любой конфиденциальной информации, персональных данных субъектов (работников, клиентов, контрагентов, дистрибьюторов, партнеров, пользователей Сайта и иных лиц), информационных систем, а также устанавливает требования к безопасности при выполнении работ, связанных с обслуживанием объектов критической информационной инфраструктуры (далее – КИИ).
Политика является обязательной для исполнения всеми пользователями Сайта, работниками Общества, иными лицами, отношения которых с Обществом регламентированы гражданско-правовыми договорами и которые имеют доступ к конфиденциальной информации, персональным данным, информационным системам либо привлечены к обслуживанию объектов КИИ.
Целью Политики является защита конфиденциальной информации, информационных систем и персональных данных, КИИ от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.
Аффилированные лица – юридическое и/ или физическое лицо, входящее в группу лиц в соответствии с действующим законодательством Российской Федерации о защите конкуренции, которое прямо или косвенно осуществляет контроль над или находится под общим контролем с одной из Сторон, либо контролируется Стороной (отношения связанности).
Значимый объект критической информационной инфраструктуры – объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры
Информационная система персональных данных (далее – ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Конфиденциальная информация – любая информация, относящаяся к деятельности Общества (в том числе деятельности её аффилированных лиц, клиентов, заказчиков, деловых партнёров, а также органов власти, некоммерческих и общественных организаций и иных лиц, вступающих с Обществом во взаимоотношения) и включающая помимо всего стратегии управления и маркетинга, развитие бизнеса и планы, отчеты по продажам и результаты исследований, методы и процедуры ведения бизнеса, руководства и процедуры по эксплуатации, техническую информацию и «ноу-хау», относящиеся к деятельности Общества и иных (третьих) лиц, если такая информация не является общедоступной, включая изобретения, чертежи, программы, технологии, системы баз данных, формулы и идеи, деловые контакты, списки клиентов и поставщиков и подробности договоров с ними, а также их существующие или будущие потребности, информация о работниках, включая их конкретные навыки и сферы их компетенции, а также условия их найма, объемы запасов, продаж, расходов и политика ценообразования, бюджеты, отчеты управляющих, отчеты о продажах и иные финансовые отчеты, а также любая иная информация, которой стороны отношений обмениваются в устной форме, письменно, либо любым иным способом, вместе с относящейся к ней документацией и данными, с использованием любых каналов коммуникации. Конфиденциальной является также вся информация, полученная путём выписки, обработки, обобщений или аналитических выкладок из конфиденциальной информации.
Критическая информационная инфраструктура (далее – КИИ) – объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Объекты критической информационной инфраструктуры – информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры, относящиеся к сферам, регламентированнымФедеральным законом от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
Оператор – Общество, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные (далее – ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных, в том числе Пользователю Сайта).
Пользователь Сайта – любое физическое лицо, являющееся посетителем Сайта https://valocloud.ru/, субъектом ПДн.
Разглашение – любое умышленное или непредумышленное действие или бездействие (в частности, несоблюдение Режима конфиденциальности) Общества или его уполномоченных лиц, приведшее к ознакомлению третьих лиц с Конфиденциальной информацией, становлению такой информации известной третьим лицам в устной, письменной и любой иной форме, включая обобщения и результаты обработки Конфиденциальной информации, вопреки заключенным соглашениям или, когда это выходит за пределы заключенных соглашений, без отдельного предварительного письменного согласия какой-либо стороны отношений.
Режим конфиденциальности – комплекс необходимых, достаточных и разумных организационных и технических мероприятий по охране Конфиденциальной информации.
Сайт – интернет-сайт, расположенный по адресу https://valocloud.ru/, принадлежащий Обществу.
Субъекты критической информационной инфраструктуры – государственные органы, государственные учреждения, российские юридические лица, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики, государственной регистрации прав на недвижимое имущество и сделок с ним, банковской сфере и иных сферах финансового рынка, топливно-энергетического комплекса, в области атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности, российские юридические лица, которые обеспечивают взаимодействие указанных систем или сетей.
Третьи (иные) лица – любые физические или юридические лица, не имеющие договорных взаимоотношений с Обществом, а также органы государственной или муниципальной власти, их должностные лица.
Угрозы безопасности информации – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к информации, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение информации.
Уровень защищенности персональных данных – в зависимости от объема и категории обрабатываемых ПДн, а также актуальных угроз, для ИСПДн Общества устанавливается УЗ-4 уровень защищенности.
Настоящий раздел содержит толкования наиболее распространенных в документации Общества определений и не является исчерпывающим. Определения, отсутствующие в Политике и иных локальных актах Общества, толкуются в соответствии с действующим законодательством Российской Федерации.
Обработка ПДн в Обществе осуществляется на основе следующих принципов:
законности и справедливости;
ограничения обработки достижением конкретных, заранее определенных и законных целей;
соответствия содержания и объема обрабатываемых ПДн заявленным целям обработки;
достоверности ПДн, их достаточности для целей обработки;
недопустимости объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.
Обработка Обществом ПДн осуществляется в следующих целях:
идентификация Субъекта персональных данных, предоставление ему возможности полноценного использования инфраструктуры Общества (на сайте Общества https://valocloud.ru/ ), участия во взаимоотношениях с Обществом;
установление и поддержание связи между Субъектом персональных данных и Обществом, консультирование по вопросам продаж и оказанию услуг Обществом;
проведение маркетинговых мероприятий (информирование о дате и времени проведения офлайн- и онлайн-мероприятий (в том числе путем обзвона и направления смс-сообщений, направления сообщений в любых мессенджерах, ставших доступными Обществу по причине предоставления контактного номера телефона Субъектом персональных данных); направление электронных файлов и т.д., направление рекламно-информационных и рекламно-справочных материалов, информационных рассылок о продуктах и услугах Общества и партнеров Общества (его дистрибьюторов), о специальных предложениях, акциях, проведение опросов по адресам электронных почт, номерам телефоном и в социальных сетях Субъекта персональных данных);
заключение договоров и исполнение Обществом обязательств перед Субъектом персональных данных по ним (в частности, по публичным офертам и иным договорам);
улучшение качества обслуживания Субъекта персональных данных путем обработки запросов и заявок от Субъекта персональных данных, а также с целью записи телефонных разговоров с Обществом, для повышения качества обслуживания, для сохранения доказательств в случае возникновения споров между Обществом и Субъектом персональных данных;
проведение Обществом статистических и иных исследований на основе обезличенной информации, предоставленной Субъектом персональных данных для улучшения хозяйственной деятельности Общества, в том числе по продаже продуктов Общества и оказания им услуг.
Обработка ПДн осуществляется только с согласия субъекта ПДн, если иное не предусмотрено законом. Перечень персональных данных, на обработку которых дается согласие, устанавливается в отдельном документе – согласии на обработку персональных данных.
Общество не раскрывает третьим лицам и не распространяет ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законодательством Российской Федерации.
Общество вправе осуществлять следующие действия с ПДн путем автоматизированной обработки и обработки без использования средств автоматизации:
сбор;
запись;
систематизация;
накопление;
хранение;
уточнение (обновление, изменение);
извлечение;
использование;
обезличивание;
блокирование;
удаление;
уничтожение;
распространение (согласие субъекта персональных данных на распространение оформляется отдельным документом).
Субъект персональных данных имеет право:
на доступ к его персональным данным в порядке, определенном статьей 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
на уточнение, блокирование или уничтожение его ПДн в случае, если они являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
на отзыв согласия на обработку ПДн;
на обжалование действий или бездействия Общества в уполномоченный орган по защите прав субъектов ПДн или в судебные органы.
Реализация прав субъектов ПДн осуществляется на основании письменного запроса, направленного заказным письмом с уведомлением по адресу Общества: 121596, Город Москва, вн.тер.г. муниципальный округ Можайский, ул. Горбунова, д. 2, стр. 3, помещ. 501, в общество с ограниченной ответственностью «ИНТЕЛЛЕКТУАЛЬНЫЙ РЕЗЕРВ» или путем направления письма по адресу электронной почты Оператора info@valocloud.ru с обязательным указанием темы письма: (например: «Отзыв согласия на обработку персональных данных… (далее указываются имя, фамилия Субъекта персональных данных»). В случае направления электронного письма в адрес Общества, письменный запрос должен быть направлен с адреса электронной почты Субъекта персональных данных, указанной Субъектом персональных данных при заполнении формы сбора на сайте Оператора https://valocloud.ru/ или в реквизитах документа, подписанного между Обществом и Субъектом персональных данных.
Ответственность и распределение ролей:
Общество назначает лицо, ответственное за организацию обработки ПДн;
Общество определяет категории и перечень работников, допущенных к обработке ПДн.
Разработка документов:
Общество утверждает Перечень обрабатываемых ПДн с указанием категорий субъектов и целей обработки;
Общество разрабатывает и внедряет, а также систематически актуализирует Политику, инструкции пользователям ИСПДн, регламент резервного копирования и другие локальные акты в соответствии с действующим законодательством Российской Федерации.
Обязательства о неразглашении конфиденциальной информации и персональных данных:
Общество обязует всех физических и юридических лиц, вступающих с ним в правовые отношения и получающих доступ к конфиденциальной информации и персональным данным, подписывать Соглашение о неразглашении конфиденциальной информации и персональных данных.
Данное требование распространяется на:
работников Общества (оформляется отдельным документом);
контрагентов, подрядчиков и исполнителей по гражданско-правовым договорам (например, договоры на оказание услуг, аутсорсинг, IT-поддержку) (допустимо использования форм соглашений, утвержденных в хозяйственной деятельности контрагентов при условии согласования юридическим отделом содержания такого соглашения на соответствие его принципам деятельности Общества в части реализации настоящей Политики, а также нормам действующего законодательства Российской Федерации;
клиентов и партнеров, если в рамках сотрудничества им передается конфиденциальная информация Общества;
прочих лиц, которым по требованию законодательства или для достижения целей обработки предоставляется доступ к информации.
В соглашении о неразглашении конфиденциальной информации и персональных данных четко определяются: объем защищаемой информации, обязанности сторон по ее защите, срок действия обязательств и ответственность за их нарушение.
Подписанные соглашения хранятся у ответственного лица или в юридической службе Общества.
Управление доступом:
в Обществе реализована система разграничения прав доступа пользователей к информационным ресурсам, базам данных и файловым системам;
учетные записи пользователей создаются на основании служебных записок, согласованных с руководителем отдела и ответственным за организацию обработки ПДн;
при увольнении работника доступ ко всем информационным ресурсам блокируется в день увольнения;
при расторжении договора / соглашения с лицом, не являющимся работником Общества, а равно с юридическим лицом, если работники / представителя такого юридического лица имели доступы к ПДн и конфиденциальной информации, Общество блокирует доступ ко всем информационным ресурсам в день расторжения договора / соглашения.
Управление инцидентами:
в Обществе устанавливается порядок реагирования на инциденты информационной безопасности, связанные с утечкой или возможной компрометацией ПДн;
все инциденты регистрируются и расследуются.
Обучение и осведомленность: все работники и лица, имеющие договорные отношения с Обществом, допущенные к обработке ПДн, проходят обязательное обучение и регулярный инструктаж по требованиям безопасности информации.
Идентификация и аутентификация:
для доступа в ИСПДн используются уникальные учетные записи (логины) и строгие пароли, соответствующие требованиям: длина пароля должна составлять не менее 8 (восьми) символов, пароль должен содержать прописные и строчные буквы, цифры (не менее двух) и символы. Общество может использовать иные условия доступа в соответствии с локальными актами, принимаемыми дополнительно, и направленными на усиление мер защиты;
запрещено использование паролей по умолчанию.
Управление доступом: настроены права доступа к файловым ресурсам, сетевым папкам и базам данных в соответствии с должностными обязанностями сотрудников (принцип минимальных привилегий).
Ограничение программной среды:
используются средства антивирусной защиты, регулярно обновляются базы сигнатур;
установлен запрет на установку и использование нелицензионного и несанкционированного программного обеспечения;
применяются средства защиты от вредоносного кода.
Протоколирование и аудит:
включено и настроено протоколирование событий безопасности на критически важных серверах и рабочих станциях;
регулярно проводится анализ журналов аудита.
Физическая защита:
серверное оборудование и места хранения архивов размещены в охраняемых помещениях с ограниченным доступом;
обеспечена защита от несанкционированного доступа к рабочим станциям.
Защита информационной инфраструктуры:
организовано резервное копирование критически важных данных по утвержденному графику.
Защита машинных носителей:
уничтожение (стирание) ПДн при выводе носителей из эксплуатации осуществляется строго регламентированными способами.
Общие положения:
Общество, являясь поставщиком товаров и/или услуг для субъектов КИИ, признает свою роль в обеспечении общей безопасности критической инфраструктуры государства;
при выполнении работ по обслуживанию объектов КИИ Общество руководствуется не только настоящей Политикой, но и требованиями Федерального закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», а также внутренними документами заказчика (субъекта КИИ), связанными с безопасностью;
для координации работ и соблюдения требований безопасности назначается ответственный за взаимодействие с субъектами КИИ.
Организационные меры при работе с КИИ:
категорирование. При получении доступа к объектам КИИ Общество обязуется соблюдать установленные для них категории значимости и вытекающие из этого режимы безопасности;
допуски. Все работники Общества и лица, имеющие иные договорные отношения с Обществом, допущенные к работам на объектах КИИ и / или имеющие удаленный доступ к ним, проходят дополнительную проверку и обязательное инструктаж по особенностям и требованиям безопасности КИИ;
соглашения о неразглашении. С работниками и другими лицами, указанными в пункте 6.2.2. Политики, а также с контрагентами, привлекаемыми к работам по КИИ, заключаются дополнительные соглашения о неразглашении, в которых отдельно оговаривается конфиденциальность информации, связанной с объектами КИИ;
планирование мероприятий безопасности. Мероприятия по безопасности, проводимые на объектах КИИ, согласовываются Обществом с уполномоченными представителями заказчика и документируются.
Технические меры при работе с КИИ:
сегментация. Доступ к информационным системам и сетям Общества, используемым для управления работами по КИИ, должен быть строго сегментирован от остальной корпоративной сети;
защита от киберугроз. На всех рабочих станциях и серверах, участвующих в процессах обслуживания КИИ, должны быть установлены и актуализированы средства защиты от компьютерных атак, одобренные или предписанные Заказчиком и/или регуляторами (ФСТЭК России, ФСБ России);
средства криптографической защиты информации (СКЗИ). При необходимости передачи конфиденциальной информации, связанной с объектами КИИ, должны использоваться средства криптографической защиты информации, сертифицированные ФСБ России;
специальный учет и контроль. Должен быть обеспечен усиленный режим протоколирования и аудита всех действий пользователей, имеющих доступ к ресурсам, связанным с КИИ.
Управление инцидентами в рамках КИИ:
Общество незамедлительно информирует ответственного за взаимодействие с субъектами КИИ о любых инцидентах информационной безопасности, которые могут потенциально или фактически затронуть объекты КИИ заказчика;
ответственный за взаимодействие с субъектами КИИ обязан в установленные законом и договором сроки уведомить Государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) и Заказчика о произошедшем инциденте;
Общество оказывает всемерное содействие в расследовании инцидентов.
Повышение осведомленности: лица, работающие с КИИ, проходят регулярное специальное обучение по вопросам кибербезопасности и правовым основам обеспечения безопасности КИИ.
Контроль за выполнением требований настоящей Политики осуществляется лицом, ответственным за организацию обработки ПДн, службой информационной безопасности (или ИТ-отделом), актуализируется юридическим отделом Общества совместно со службой информационной безопасности (или ИТ-отделом) в порядке и на условиях, содержащихся в пункте 7.3. Политики. Контроль за соблюдением раздела 6 Политики, касающегося КИИ, осуществляет ответственный за взаимодействие с субъектами КИИ.
Нарушение требований настоящей Политики влечет за собой дисциплинарную, имущественную / материальную, административную или уголовную ответственность в соответствии с законодательством Российской Федерации. Нарушение условий Соглашения о неразглашении конфиденциальной информации и персональных данных со стороны контрагентов и других лиц рассматривается как серьезное нарушение договорных обязательств и влечет за собой гражданско-правовую ответственность в соответствии с законодательством РФ и условиями заключенных договоров. Нарушение правил безопасности при работе с КИИ, повлекшее тяжкие последствия, влечет повышенную ответственность, предусмотренную главой 29 Уголовного кодекса Российской Федерации («Преступления против основ конституционного строя и безопасности государства»).
Настоящая Политика подлежит пересмотру в случае изменения законодательства Российской Федерации, а также в связи с изменениями в бизнес-процессах или ИТ-инфраструктуре Общества. Актуальная редакция Политики публикуется на сайте Общества https://valocloud.ru/ .
Все лица, с которыми Общество имеет договорные отношения, самостоятельно осуществляют мониторинг изменения Политики при взаимоотношениях с Обществом. Общество не обязано уведомлять лиц, обращающихся к Политике Общества, о внесении изменений в Политику или утверждении новых редакций.
Политика применяется в отношении любых лиц, поименованных в её тексте. В случае если какие-либо положения не отражены в настоящей Политике, надлежит руководствоваться действующим законодательством Российской Федерации и иными локальными актами Общества.