Niniejsza Polityka Bezpieczeństwa ("Polityka") określa środki wprowadzone przez [Nazwa firmy] (zwaną dalej "Spółką") w celu ochrony bezpieczeństwa, poufności, integralności,i dostępności danychDotyczy wszystkich pracowników, partnerów, dostawców, klientów i wszelkich osób trzecich uzyskujących dostęp do systemów informatycznych, danych,lub pomieszczenia. Używając usług, produktów lub systemów Spółki, zgadzasz się na przestrzeganie warunków niniejszej Polityki.
Niniejsza Polityka obejmuje wszystkie aspekty działalności Spółki w zakresie części samochodowych, w tym między innymi: dane klientów (dane osobowe, szczegóły zamówień, zapisy płatności);dane dostawcy (specyfikacje części), informacje o cenach, dostawach); wewnętrzne dane biznesowe (zasoby, sprzedaż, rejestry finansowe); systemy informacyjne (strony internetowe, systemy ERP, platformy zarządzania zapasami, bazy danych);aktywa fizyczne (magazyny), magazyny, zapasy części samochodowych) i infrastruktury sieciowej.
Spółka klasyfikuje dane na trzy poziomy w celu wdrożenia ukierunkowanych środków ochrony:
-
Dane poufneInformacje o płatnościach klientów, tajemnice handlowe dostawców, wewnętrzne strategie cenowe i własne specyfikacje techniczne części samochodowychz ograniczonym dostępem tylko do upoważnionego personelu.
-
Dane wewnętrzne: Zapisy zapasów, raporty sprzedaży i niepubliczne dane operacyjne.
-
Dane publiczne: katalogi produktów, ceny publiczne i informacje kontaktowe firmy.
Spółka wdraża rygorystyczne mechanizmy kontroli dostępu, aby zapewnić, że tylko upoważnione osoby mogą uzyskać dostęp do poufnych danych i systemów:
-
Unikalne konta użytkowników i silne wymagania dotyczące haseł (minimalna długość, złożoność, regularne aktualizacje) dla wszystkich dostępów do systemu.
-
Role-Based Access Control (RBAC) do udzielania uprawnień na podstawie funkcji pracy; uprawnienia dostępu są przeglądane kwartalnie i odwołane bezzwłocznie, gdy nie są już potrzebne.
-
Wieloczynnikowe uwierzytelnianie (MFA) w celu uzyskania dostępu do systemów krytycznych (np. przetwarzanie płatności, zarządzanie zapasami, platformy danych o klientach).
Wszystkie dane przesyłane między Spółką, klientami, dostawcami i partnerami są chronione za pomocą bezpiecznych protokołów (SSL/TLS 1.2+).lub urządzenia fizyczne jest szyfrowane przy użyciu standardowych algorytmów przemysłowychWykonywane są regularne kopie zapasowe danych krytycznych, z bezpiecznie przechowywanymi plikami zapasowymi i testowanymi pod kątem możliwości odzyskania.
Spółka regularnie utrzymuje i aktualizuje wszystkie systemy informatyczne (przewodniki sprzętowe, oprogramowanie, oprogramowanie układowe) w celu rozwiązania problemów związanych z bezpieczeństwem.Krytyczne dodatki zabezpieczające są stosowane w ciągu 72 godzin od wydania, a nie-krytyczne poprawki są wdrażane podczas planowanych okien konserwacyjnych w celu zminimalizowania zakłóceń w działalności.
Środki bezpieczeństwa sieci obejmują:
-
Zapory sieciowe i systemy wykrywania i zapobiegania intruzom (IDS/IPS) do monitorowania i blokowania nieautoryzowanego dostępu do sieci.
-
Segmentacja sieci w celu izolowania systemów krytycznych (np. przetwarzania płatności) od ogólnych sieci operacyjnych, zmniejszając wpływ potencjalnych naruszeń.
-
Regularne skanowanie zabezpieczeń sieci i testy penetracji w celu identyfikacji i usunięcia luk.
Wszystkie urządzenia firmy (komputery, serwery, urządzenia mobilne) są wyposażone w najnowocześniejsze oprogramowanie antywirusowe, anty-malware i anty-ransomware.Pracownicy nie mogą pobierać nieautoryzowanego oprogramowania., otwieranie podejrzanych wiadomości e-mail lub załączników lub dostęp do niezaufanych stron internetowych w celu ograniczenia ryzyka infekcji złośliwym oprogramowaniem.
Wdrażane są środki bezpieczeństwa fizycznego w celu ochrony zapasów części samochodowych, urządzeń magazynowych i zasobów danych na miejscu:
-
Kontrolowany dostęp do magazynów, pomieszczeń serwerowych i biur za pomocą kart kluczowych, danych biometrycznych lub personelu ochrony.
-
24/7 nadzór wideo obszarów przechowywania zapasów, punktów wejścia/wyjścia oraz obiektów krytycznych, z zachowaniem materiałów filmowych przez co najmniej 30 dni.
-
Systemy śledzenia zapasów w celu monitorowania ruchu części samochodowych, zapobiegania kradzieży lub nieupoważnionemu usuwaniu.
-
Bezpieczne usuwanie nośników fizycznych (dysków twardych, dokumentów papierowych) zawierających poufne dane, zgodnie z przepisami o ochronie danych.
Spółka przestrzega obowiązujących przepisów dotyczących ochrony danych i bezpieczeństwa, w tym między innymi:
-
Ogólne rozporządzenie o ochronie danych (GDPR) dla klientów i partnerów w Unii Europejskiej.
-
California Consumer Privacy Act (CCPA) / California Privacy Rights Act (CPRA) dla klientów w Kalifornii, USA.
-
Odpowiednie lokalne przepisy dotyczące przemysłu motoryzacyjnego i standardy bezpieczeństwa danych.
Spółka regularnie dokonuje przeglądu i aktualizacji niniejszej Polityki w celu zapewnienia zgodności z zmieniającymi się przepisami i najlepszymi praktykami w branży.
Spółka opracowała formalny plan reakcji na incydenty związane z bezpieczeństwem w celu szybkiego rozwiązania problemów z naruszeniami danych, naruszeniami systemu lub innymi incydentami związanymi z bezpieczeństwem:
-
Procedury wykrywania incydentów i zgłaszania ich pracownikom, z dedykowanym punktem kontaktowym w przypadku problemów bezpieczeństwa.
-
Środki ograniczające wpływ incydentów na bezpieczeństwo, po których następuje dochodzenie, naprawa i odbudowa.
-
Powiadomienie zainteresowanych stron (klientów, dostawców, organów regulacyjnych) zgodnie z wymogami prawa, w określonym terminie.
-
Przeglądy po incydencie w celu zidentyfikowania przyczyn i poprawy środków bezpieczeństwa.
Wszyscy pracownicy otrzymują coroczne szkolenia w zakresie świadomości bezpieczeństwa, obejmujące tematy takie jak ochrona danych, zapobieganie phishingowi, zarządzanie hasłami i raportowanie incydentów.Przed uzyskaniem dostępu do systemów lub danych przedsiębiorstwa nowi pracownicy muszą przejść obowiązkowe szkolenie w zakresie bezpieczeństwa.
Dostawcy, partnerzy i inne strony trzecie uzyskujące dostęp do systemów lub danych Spółki muszą zgodzić się na przestrzeganie niniejszej Polityki i wszelkich dodatkowych wymogów bezpieczeństwa określonych w umowach.Spółka przeprowadza regularne oceny bezpieczeństwa krytycznych stron trzecich w celu zapewnienia zgodności.
Niniejsza Polityka jest przeglądana co najmniej raz w roku przez zespół ds. bezpieczeństwa i zarząd Spółki. Aktualizacje mogą być dokonywane w celu rozwiązania nowych zagrożeń bezpieczeństwa, zmian technologicznych lub wymagań regulacyjnych.Zmienione wersje Polityki zostaną opublikowane na oficjalnej stronie internetowej Spółki, z wyraźnie wskazanymi datami wejścia w życie.
W przypadku pytań, obaw lub zgłoszeń incydentów związanych z bezpieczeństwem prosimy o skontaktowanie się z zespołem ochrony firmy pod adresem:
E-mail: [security@yourcompany.com]
Telefon: [+XXX-XXXX-XXXX]
Data wejścia w życie: [MM/DD/RRRR]
[Nazwa firmy]
