このセキュリティポリシー (以下"ポリシー") は, [あなたの会社名] (以下"会社") がセキュリティ,機密性,完全性,データの可用性従業員,パートナー,サプライヤー,顧客,および第三者が 会社の情報システム,データ,施設会社 の サービス,製品,または システム に 関し て 契約 する 際 に,お客様は この ポリシー の 条件 に 従う こと に 同意 し て い ます.
このポリシーは,以下を含む,但しこれらに限定しない,自動車部品事業のあらゆる側面をカバーします. お客様のデータ (個人情報,注文詳細,支払い記録);供給者のデータ (部品仕様)価格設定,配送情報) 内部事業データ (在庫,販売,財務記録) 情報システム (ウェブサイト,ERPシステム,在庫管理プラットフォーム,データベース)物理資産 (倉庫)自動車部品の在庫) とネットワークインフラストラクチャ.
企業では,標的型保護措置を実施するために,データを3つのレベルに分類しています.
-
機密データ: 顧客決済情報,サプライヤーの商機秘密,内部価格設定戦略,独占的な自動車部品の技術仕様.許可された職員のみがアクセスできる.
-
内部データ: 在庫記録,販売報告,非公開の運用データ. アクセスは職務の責任に基づいて与えられ,データ共有は業務上の必要に限定されます.
-
公的データ: 製品カタログ,公開価格,および会社の連絡先情報.これらのデータは,会社の公式チャンネルで利用可能ですが,未許可の変更を監視されています.
当社は,権限のある個人のみが機密データとシステムにアクセスできるように,厳格なアクセス管理メカニズムを実施しています.
-
システムへのアクセスすべてにおいて,ユニークなユーザーアカウントと強力なパスワード (最小長さ,複雑性,定期的な更新) の要求.
-
役割に基づくアクセス制御 (RBAC) 職務機能に基づく権限の授与;アクセス権利は四半期ごとにレビューされ,もはや必要でないときは迅速に撤回されます.
-
重要なシステムへのアクセス (例えば,決済処理,在庫管理,顧客データプラットフォーム) のためのマルチファクター認証 (MFA)
企業,顧客,サプライヤー,パートナーとの間のすべてのデータが,安全なプロトコル (SSL/TLS 1.2+) によって保護されています. サーバー,クラウドプラットフォームに保存される機密データ,業界標準のアルゴリズムを使用して暗号化されています重要なデータの定期的なバックアップが行われ,バックアップファイルは安全に保存され,復元可能性がテストされます.
同社は,すべての情報システム (ハードウェア,ソフトウェア,ファームウェア) を定期的に維持し,更新し,セキュリティ脆弱性を解決しています.重要なセキュリティパッチは,リリース後72時間以内に適用されます予定されたメンテナンスの期間中に非重要なパッチが展開され,業務中断を最小限に抑える.
ネットワークセキュリティ対策には,以下のものがある.
-
ファイアウォールと侵入検知/防止システム (IDS/IPS) は,不正アクセスによるネットワークアクセスを監視し,ブロックする.
-
ネットワークのセグメント化により,重要なシステム (例えば,決済処理) を一般的運用ネットワークから隔離し,潜在的な侵害の影響を軽減する.
-
脆弱性を特定し修復するために定期的なネットワークセキュリティスキャンと侵入テストを行う.
会社のすべてのデバイス (コンピュータ,サーバー,モバイルデバイス) には最新のウイルス対策,マルウェア対策,ランサムウェア対策ソフトウェアが搭載されています.従業員は許可されていないソフトウェアをダウンロードすることを禁止されています疑わしいメールや添付ファイルを開くか,信頼されていないウェブサイトにアクセスすることで,マルウェア感染のリスクを軽減します.
自動車部品の在庫,貯蔵施設,および現場のデータ資産を保護するために,物理的セキュリティ対策が実施されています.
-
キーカード,バイオメトリックス,または警備員による 倉庫,サーバールーム,オフィスエリアへの 制御されたアクセス
-
備蓄保管所,入口/出口所,および重要な施設の24時間/24時間のビデオ監視,映像は少なくとも30日間保持する.
-
自動車部品の移動を監視し 盗難や不正移除を防ぐ
-
機密データを含む物理的なメディア (ハードドライブ,紙の記録) の安全な処分は,データ保護規則を遵守します.
弊社は,以下の事項を含む,適用されるデータ保護およびセキュリティ規制を遵守しています.
-
欧州連合の顧客やパートナー向けの一般データ保護規則 (GDPR)
-
カリフォルニア州消費者プライバシー法 (CCPA) / カリフォルニア州プライバシー権利法 (CPRA)
-
関連する地方自動車業界規制とデータセキュリティ基準
会社はこのポリシーを定期的に見直し,更新し,変化する規制と業界ベストプラクティスの遵守を保証します.
セキュリティインシデントへの対応計画が確立され,データ漏洩,システム侵害,その他のセキュリティインシデントを迅速に対処する.
-
従業員のための事件の検出と報告の手順,安全上の懸念に関する専用の連絡先.
-
セキュリティインシデントの影響を制限するための抑止措置,調査,修復,回復.
-
影響を受ける当事者 (顧客,サプライヤー,規制当局) に,法律により要求されるように,指定された期限内に通知する.
-
事故後の調査で 根本原因を特定し セキュリティ対策を改善します
すべての従業員は,データ保護,フィッシング防止,パスワード管理,インシデント報告などのトピックをカバーする,年次セキュリティ意識トレーニングを受けます.新しい従業員は,企業システムやデータにアクセスする前に,必須のセキュリティトレーニングを完了します..
会社のシステムやデータにアクセスするサプライヤー,パートナー,その他の第三者は,このポリシーおよび契約に指定された追加のセキュリティ要件を遵守することに同意する必要があります.当社は,遵守を保証するために,重要な第三者の定期的なセキュリティ評価を行います..
本方針は,少なくとも毎年,本社のセキュリティチームおよび管理者によって見直され,新たなセキュリティ脅威,技術的変化,または規制要件に対応するために更新される場合があります.政策の修正版は,会社の公式ウェブサイトに掲載されます.効力を生じる日が明示されています.
質問,懸念,またはセキュリティインシデントの報告については,以下で会社のセキュリティチームに連絡してください.
メール: [security@yourcompany.com]
電話: [+XXX-XXXX-XXXX]
効力開始日: [MM/DD/YYYY]
[あなたの会社名]
