Zgodność

Polityka zarządzania aktywami

Brask Inc

Cel

Celem niniejszej polityki jest zdefiniowanie wymagań dotyczących zarządzania i właściwego śledzenia aktywów będących własnością, zarządzanych i kontrolowanych przez Rask AI przez cały cykl ich życia, od początkowego nabycia do ostatecznej utylizacji. 

Role i obowiązki 

Szef sztabu Rask AI jest odpowiedzialny za utrzymanie i aktualizację niniejszej polityki. Dyrektor generalny i dział prawny są odpowiedzialni za zatwierdzenie niniejszej polityki i zatwierdzą wszelkie wprowadzone zmiany. 

Polityka

Standard inwentaryzacji aktywów

Proces inwentaryzacji zasobów musi być wdrożony, aby wspierać zarządzanie krytycznymi procesami biznesowymi i spełniać wymogi prawne i regulacyjne. Proces ten ułatwi również wykrywanie, zarządzanie, wymianę i usuwanie wszystkich aktywów, a także identyfikację i usuwanie nielegalnego lub nieautoryzowanego oprogramowania, aktywów lub procesów. Wszystkie zasoby fizyczne i wirtualne zarządzane lub kontrolowane przez Rask AI zostaną wymienione w wykazie obejmującym:

• Unikalny identyfikator lub nazwa zasobu
• Opis aktywów
• Cel składnika aktywów we wspieraniu krytycznych procesów biznesowych i spełnianiu wymogów prawnych lub regulacyjnych, jeśli dotyczy
• Podmiot odpowiedzialny za aktywa
• Klasyfikacja aktywów, jeśli dotyczy

Własność aktywów

Każdy zasób zostanie przypisany do właściciela, gdy zostanie utworzony lub przeniesiony do Rask AI. Właścicielem zasobu może być osoba fizyczna lub podmiot z zatwierdzoną odpowiedzialnością za zarządzanie; własność nie oznacza praw własności.

Właściciel aktywów jest odpowiedzialny za:

• Zapewnienie inwentaryzacji aktywów
• Zapewnienie odpowiedniej klasyfikacji i ochrony zasobów
• Definiowanie i okresowy przegląd ograniczeń i klasyfikacji dostępu, z uwzględnieniem obowiązujących zasad kontroli dostępu
• Zapewnienie właściwej obsługi po usunięciu lub zniszczeniu zasobu 

Standardy wzmacniania systemu

Najlepsze praktyki i standardy zabezpieczeń urządzeń

• Korzystaj z dostarczonych przez producenta zabezpieczeń i najlepszych praktyk, aby chronić instalacje urządzeń przed lukami w zabezpieczeniach i nieautoryzowanym dostępem.
  • W miarę możliwości korzystaj z testów porównawczych Center for Internet Security (CIS) w celu uzyskania wskazówek dotyczących wzmocnienia systemu.
• Zmień ustawienia domyślne dostarczone przez dostawcę, w tym nazwy użytkowników, hasła i typowe ustawienia, aby zapobiec nieautoryzowanemu dostępowi.
• Wyłącz niezabezpieczone i niepotrzebne protokoły komunikacyjne.
• Losowe generowanie i bezpieczne przechowywanie haseł lokalnych w zatwierdzonym systemie zarządzania hasłami.
• Zainstaluj aktualne poprawki.
• Wdrożenie ochrony przed złośliwym oprogramowaniem.
• Włącz rejestrowanie.

‍Konfiguracja i konserwacja infrastruktury

Wewnętrzne poprawki dla stacji roboczych i serwerów

• Okresowo oceniać i instalować poprawki/aktualizacje systemu operacyjnego w oparciu o ich krytyczność.
• Instaluj poprawki/aktualizacje poza godzinami szczytu, aby zminimalizować zakłócenia działalności.

Wewnętrzne poprawki infrastruktury

• Ocena i instalacja poprawek/aktualizacji infrastruktury (routerów, przełączników, hostów wirtualnych itp.) w oparciu o ich krytyczność.
• W miarę możliwości przeglądaj i zatwierdzaj poprawki/aktualizacje w środowisku laboratoryjnym.
• Instaluj poprawki/aktualizacje poza godzinami szczytu, aby zminimalizować zakłócenia.
• Patchowanie/aktualizowanie nadmiarowych systemów po jednym urządzeniu na raz, aby zapewnić brak wpływu na usługi współdzielone.
• Przestrzeganie regularnych procedur zarządzania zmianami w zakresie aktualizacji sprzętu/oprogramowania sieciowego.

Dokumentacja wsparcia infrastruktury

• Utrzymywanie aktualnego schematu sieci dostępnego dla odpowiedniego personelu serwisowego.
• Dokumentowanie standardów konfiguracji dla wszystkich urządzeń infrastruktury.

Bezpieczeństwo punktów końcowych/wykrywanie zagrożeń

• Ogranicz korzystanie z nośników wymiennych do autoryzowanego personelu.
• Wdrażanie narzędzi antywirusowych i chroniących przed złośliwym oprogramowaniem na urządzeniach końcowych (np. stacjach roboczych, laptopach, urządzeniach mobilnych).
• Skonfiguruj narzędzia antywirusowe i chroniące przed złośliwym oprogramowaniem, aby automatycznie otrzymywały aktualizacje, uruchamiały skanowanie i ostrzegały odpowiedni personel o zagrożeniach.

Zarządzanie pojemnością

Wymagania dotyczące wydajności systemów zostaną określone na podstawie krytyczności biznesowej systemu.

• Dostrajanie i monitorowanie systemów: Stosowane w celu zapewnienia i poprawy dostępności i wydajności systemów.
• Kontrole wykrywające: Wdrożone w celu identyfikacji problemów w momencie ich wystąpienia.
• Prognozy przyszłych możliwości: Należy wziąć pod uwagę nowe wymagania biznesowe i systemowe, a także obecne i przewidywane trendy w zakresie możliwości przetwarzania informacji w firmie.
• Łagodzenie wąskich gardeł i zależności: Menedżerowie muszą monitorować kluczowe zasoby systemowe, identyfikować trendy użytkowania i uwzględniać zasoby o długim czasie realizacji zamówień lub wysokich kosztach.

Zapewnienie wystarczającej przepustowości zostanie osiągnięte poprzez zwiększenie przepustowości lub zmniejszenie popytu. Obejmuje to:

• Usuwanie przestarzałych danych (miejsce na dysku)
• Likwidacja aplikacji, systemów, baz danych lub środowisk
• Optymalizacja procesów wsadowych i harmonogramów
• Optymalizacja logiki aplikacji lub zapytań do bazy danych
• Odmowa lub ograniczenie przepustowości dla niekrytycznych usług wymagających dużej ilości zasobów (np. strumieniowanie wideo).
• Zarządzanie zapotrzebowaniem na przepustowość
• Udostępnianie nowych instancji serwerów po osiągnięciu progów wydajności

Zarządzanie mediami

Nośniki wymienne

Obecnie nie autoryzujemy nośników wymiennych do celów biznesowych.

Transfer nośników fizycznych

Obecnie nie zezwalamy na przesyłanie nośników fizycznych w celach biznesowych.

Zwrot aktywów po rozwiązaniu umowy

• Proces rozwiązania umowy obejmuje zwrot wszystkich wcześniej wydanych aktywów fizycznych i elektronicznych będących własnością lub powierzonych Rask AI, zgodnie z Warunkami zatrudnienia i Polityką zarządzania aktywami.
• Jeśli sprzęt Rask AI został zakupiony przez pracownika lub użytkownika będącego osobą trzecią lub jeśli używany był sprzęt osobisty, wszystkie istotne informacje muszą zostać przesłane do Rask AI i bezpiecznie usunięte ze sprzętu.
• Nieautoryzowane kopiowanie informacji przez pracowników i wykonawców będzie monitorowane i kontrolowane w okresie wypowiedzenia.

Usuwanie nośników

Kroki bezpiecznego usuwania nośników zawierających informacje poufne będą proporcjonalne do wrażliwości tych informacji. Poniższe wytyczne zostaną odpowiednio zastosowane:

• Identyfikacja przedmiotów wymagających utylizacji.
• Korzystanie z odpowiednich usług zbierania i usuwania odpadów świadczonych przez podmioty zewnętrzne.
• Bezpieczna utylizacja poprzez spalanie lub niszczenie lub usuwanie danych do ponownego wykorzystania w firmie.
• Ocena ryzyka uszkodzonych nośników w celu określenia ich utylizacji lub naprawy.
• Szyfrowanie całego dysku w celu zmniejszenia ryzyka ujawnienia poufnych informacji, zgodnie z polityką szyfrowania Rask AI.
• Rejestrowanie każdej utylizacji w celu zachowania ścieżki audytu.