Zásady bezpečnosti informací

Tento překlad slouží pouze pro informaci; v případě rozporu má přednost anglická verze.

1. Bezpečnost informací – obecně

Informace jsou aktivem, které má pro organizaci – stejně jako jiná důležitá obchodní aktiva – svou hodnotu, a proto musí být náležitě chráněny. Bezpečnost informací chrání informace před širokou škálou hrozeb, a tím zajišťuje kontinuitu činnosti, minimalizuje přerušení provozu či vznik škod a maximalizuje návratnost investic i obchodní příležitosti.

Informace mohou mít nejrůznější podobu. Mohou být vytištěny nebo napsány na papíře, uloženy elektronicky, zasílány poštou nebo elektronickými prostředky, prezentovány audiovizuálně nebo sdělovány ústně. Bez ohledu na to, jakou podobu informace mají a jakým způsobem jsou sdíleny či uchovávány, musí být vždy náležitě chráněny.

Bezpečností informací se pro účely těchto Zásad rozumí zachování:

• důvěrnosti: informace jsou přístupné pouze osobám, které k přístupu k nim mají oprávnění;
• integrity: informace a metody jejich zpracování jsou chráněny tak, aby byla zajištěna jejich správnost a úplnost; a
• dostupnosti: oprávnění uživatelé mají k informacím a souvisejícím aktivům přístup vždy, když jej potřebují.

Bezpečnosti informací se dosahuje zavedením vhodného souboru opatření, k nimž mohou patřit zásady, postupy, procesy, organizační struktury a softwarové funkce. Tato opatření je třeba zavést tak, aby byly naplněny konkrétní bezpečnostní cíle organizace.

Tyto Zásady vyjadřují závazek společnosti MinMax v oblasti bezpečnosti informací a popisují náš přístup k řízení bezpečnostních rizik. Program společnosti MinMax pro zajištění a ochranu informací chrání informační aktiva společnosti bez ohledu na jejich podobu. Program identifikuje a řeší obchodní a bezpečnostní rizika, jimž organizace čelí, a tím chrání data zákazníků a umožňuje další růst našeho podnikání.

2. Zásady a jejich účel

Společnost MinMax (dále jen „Společnost“) poskytuje video jako službu (Video as a Service). Fyzický majetek máme jen v omezené míře, naším nejcennějším aktivem jsou data. Protože podnikáme na internetu, musíme chránit svůj proprietární zdrojový kód, obchodní záznamy, informace o zákaznících a firemní komunikaci před širokou škálou hrozeb, abychom mohli dále rozvíjet své podnikání a chránit své zákazníky.

Tento dokument stanoví základní zásady bezpečnosti informací (společně se všemi navazujícími zásadami a standardy, které jsou v něm popsány nebo na které odkazuje, nebo které jsou uvedeny v Příloze A, dále jen „Zásady“) společnosti MinMax, Inc. Zásady se přezkoumávají nejméně jednou ročně a podle potřeby se aktualizují, aby odrážely změny obchodních cílů nebo rizikového prostředí. Účelem Zásad je zajistit, aby veškeré informace společnosti MinMax (bez ohledu na jejich podobu či způsob jejich sdílení nebo uchovávání) byly náležitě chráněny. Zásady popisují procesy a postupy, které jsou všichni zaměstnanci, externí spolupracovníci a konzultanti společnosti MinMax a další třetí strany s oprávněnou potřebou přístupu k informacím Společnosti (společně dále jen „MinMax a související osoby“) povinni znát a vždy dodržovat.

3. Rozsah působnosti

Není-li stanoveno jinak, vztahují se tyto Zásady celosvětově na MinMax a související osoby, z nichž každá je povinna je vždy dodržovat.

4. Odpovědnost

1. 4.1 Za stanovení těchto Zásad a souvisejících standardů, postupů a pokynů i za vymáhání jejich dodržování odpovídají spoluzakladatelé Společnosti.
2. 4.2 Odpovědnost za ochranu informačních aktiv Společnosti nesou společně MinMax a související osoby. Tento oddíl Zásad vymezuje a popisuje skupiny osob, které mají v tomto ohledu zvláštní povinnosti:
3. 4.3

   Spoluzakladatelé, manažeři a vedoucí pracovníci Společnosti

   1. 4.3.1 Zaměstnanci Společnosti s řídicí pravomocí odpovídají za to, že jejich týmy absolvují odpovídající školení a obdrží potřebné pokyny v oblasti bezpečnosti informací; dále dohlížejí na dodržování zásad a postupů společnosti MinMax, mimo jiné těchto Zásad, a jakékoli porušení těchto Zásad nebo jiných zásad Společnosti neprodleně hlásí zakladatelskému týmu.
4. 4.4

   Zaměstnanci a externí spolupracovníci

   1. 4.4.1 Všichni zaměstnanci a externí spolupracovníci společnosti MinMax odpovídají za ochranu veškerých informačních zdrojů Společnosti, k nimž mají přístup, a to i tehdy, nejsou-li pověřeni jejich správou. Tato odpovědnost se vztahuje na informace v elektronické i jiné podobě a na zařízení informačních technologií, která mají ve své péči nebo držení. Všichni zaměstnanci společnosti MinMax musí dodržovat ustanovení těchto Zásad, jakož i veškeré postupy, standardy a protokoly bezpečnosti informací, které platí pro jejich útvar nebo se jinak vztahují k jejich roli ve Společnosti.
   2. 4.4.2 Všichni zaměstnanci a externí spolupracovníci Společnosti jsou povinni absolvovat příslušná školení a instruktáže v oblasti bezpečnosti informací, dodržovat veškeré zásady a postupy společnosti MinMax, mimo jiné tyto Zásady, a jakékoli porušení těchto Zásad nebo jiných zásad Společnosti neprodleně hlásit zakladatelskému týmu.
5. 4.5

   Konzultanti a další třetí strany

   1. 4.5.1 Konzultanti a další třetí strany s oprávněnou potřebou přístupu k informacím společnosti MinMax jsou povinni dodržovat příslušné bezpečnostní požadavky stanovené v těchto Zásadách. Společnost MinMax, její zaměstnanci a externí spolupracovníci podniknou veškeré přiměřené a vhodné kroky k tomu, aby konzultanti a další třetí strany ustanovení těchto Zásad dodržovali.
   2. 4.5.2 Jakékoli porušení či nedodržení ustanovení těchto Zásad ze strany konzultanta nebo jiné třetí strany musí být neprodleně oznámeno příslušnému nadřízenému nebo osobě, která dohlíží na jeho práci, případně zakladatelskému týmu.

5. Obecné zásady a osvědčené postupy

1. 5.1

   Kromě obecných principů uvedených v těchto Zásadách jsou všichni zaměstnanci a externí spolupracovníci společnosti MinMax po dobu trvání svého pracovního nebo smluvního vztahu se Společností povinni dodržovat níže uvedené osvědčené postupy a zásady. Za vytvoření a rozšíření každé z těchto zásad a každého z těchto postupů odpovídá zakladatelský tým. Jejich účelem je posílit a zajistit důvěrnost, integritu a řádnou dostupnost informací společnosti MinMax, na nichž jsou tyto Zásady postaveny.

   1. (a) Zásada čistého stolu – Všichni zaměstnanci a externí spolupracovníci musí ve svých kancelářích a na svých pracovištích zachovávat důvěrnost a bezpečnost citlivých dokumentů Společnosti. Před odchodem z kanceláře či pracoviště na konci každého pracovního dne musí tyto dokumenty bezpečně uložit.
   2. (b) Zásada likvidace citlivých dokumentů – Všichni zaměstnanci a externí spolupracovníci musí citlivé dokumenty Společnosti, které mají v držení a které již k výkonu svých základních pracovních činností nepotřebují, skartovat; jinak je nesmějí uchovávat ani likvidovat. Zakladatelský tým Společnosti může všechny pracovníky čas od času informovat, že určité dokumenty je z právních důvodů nutné po určitou dobu uchovat. Takové oznámení představuje omezenou výjimku ze Zásady likvidace citlivých dokumentů.
   3. (c) Zásada klasifikace, zpracování, uchovávání a likvidace dat – Všichni zaměstnanci, externí spolupracovníci a třetí strany společnosti MinMax jsou povinni chránit data společnosti MinMax před neoprávněným vytvořením, přístupem, změnou, zpřístupněním, přenosem nebo zničením a očekává se od nich, že tuto zásadu znají a dodržují.
2. 5.2 Veškerá elektronická média obsahující mimo jiné informace podléhající standardu PCI nebo zákonu HIPAA či osobní identifikační údaje (PII) musí být zlikvidována bezpečným způsobem.
3. 5.3 Veškerá média se uchovávají nejvýše čtyřicet osm (48) hodin, není-li v příslušné Smlouvě o kreativních službách a užívání stanoveno jinak.
4. 5.4 Veškeré smlouvy s externími poskytovateli služeb a jejich dodatky musí přezkoumat a schválit zakladatelský tým.

6. Zásada antivirové ochrany

1. 6.1 Všichni zaměstnanci, externí spolupracovníci a třetí strany musí dodržovat Zásadu antivirové ochrany společnosti MinMax, která upravuje ochranu zdrojů Společnosti před průnikem virů a jiného malwaru.
2. 6.2 Okruh systémů – Tato zásada se vztahuje na všechny servery, pracovní stanice, notebooky a virtuální stroje připojené k síti společnosti MinMax, které jsou běžně ohroženy viry nebo malwarem.
3. 6.3

   Společnost MinMax používá k detekci a ochraně antivirový software, který sama schválila. Trvale platí tyto minimální požadavky:

   1. 6.3.1 Antivirový software bude nainstalován a nakonfigurován na všech systémech společnosti MinMax vymezených v článku 6.2.
   2. 6.3.2 Virové definice antivirového softwaru budou podle potřeby aktualizovány.
   3. 6.3.3 Systémy uvedené v článku 6.2 budou pravidelně kontrolovány antivirovým skenováním.
   4. 6.3.4 Každý počítač připojený k síti, u něhož bude zjištěna infekce, bude prověřen a virus z něj bude odstraněn, jakmile to bude rozumně možné. Nepodaří-li se jej včas vyčistit, bude infikovaný systém odpojen od sítě společnosti MinMax a znovu k ní bude připojen až poté, co pracovníci společnosti MinMax pomocí schválených antivirových nástrojů ověří, že je bez virů.
   5. 6.3.5 Administrátoři společnosti MinMax budou pravidelně kontrolovat antivirovou konzoli a ověřovat, zda všechna klientská zařízení ve vlastnictví společnosti MinMax připojená k síti této zásadě vyhovují.

7. Zásada přijatelného užívání

1. 7.1 Všichni zaměstnanci a externí spolupracovníci musí dodržovat Zásadu přijatelného užívání společnosti MinMax, která upravuje používání výpočetní techniky Společnosti.
2. 7.2 Účelem této zásady je vymezit přijatelné užívání informačních systémů ve společnosti MinMax. Zásada má chránit společnost MinMax, její zaměstnance a partnery před nezákonným nebo škodlivým jednáním jednotlivců, ať už úmyslným, či neúmyslným. Nevhodné používání výpočetní techniky vystavuje společnost MinMax rizikům, jako jsou virové útoky, kompromitace síťových systémů a služeb nebo právní spory. Od všech uživatelů se očekává, že se s touto zásadou seznámí a budou ji dodržovat.
3. 7.3 Účinná bezpečnost je věcí celé společnosti a vyžaduje zapojení a podporu každého zaměstnance a spolupracovníka společnosti MinMax, který pracuje s informacemi nebo informačními systémy. Každý uživatel ve společnosti MinMax je povinen tuto zásadu znát a řídit se jí.
4. 7.4 Informační systémy společnosti MinMax jsou určeny k používání pro schválené pracovní účely, které slouží zájmům společnosti MinMax a jejích zákazníků. Veškerá data vytvořená a uložená v IT infrastruktuře ve vlastnictví společnosti MinMax zůstávají majetkem společnosti MinMax. Zaměstnanci jsou povinni s náležitou péčí chránit citlivá a důvěrná data společnosti MinMax. Z důvodu zajištění bezpečnosti a údržby sítě může společnost MinMax kdykoli sledovat, jak zaměstnanci informační systémy společnosti MinMax používají.
5. 7.5

   Zaměstnanci by měli přijmout všechna níže uvedená opatření, aby zabránili neoprávněnému přístupu k informacím společnosti:

   1. 7.5.1 Oprávnění uživatelé odpovídají za zabezpečení svých hesel a účtů. Uživatelé musí svá hesla chránit a své účty by neměli s nikým sdílet.
   2. 7.5.2 Ponechává-li uživatel počítač, notebook nebo pracovní stanici bez dozoru, musí být zařízení buď zabezpečeno spořičem obrazovky chráněným heslem, který se automaticky aktivuje nejpozději po 15 minutách, nebo musí být uživatel odhlášen (v systému Windows klávesovou zkratkou Windows + L).
   3. 7.5.3 Zaměstnanci musí být při otevírání příloh přijatých e-mailů, zejména od neznámých odesílatelů, mimořádně opatrní, neboť tyto přílohy mohou obsahovat škodlivý kód nebo aplikace.
   4. 7.5.4 Musí být veden seznam schválených zařízení, mimo jiné síťových zařízení a serverů, na něž se vztahují požadavky PCI, HIPAA a ochrany PII, a tento seznam musí být aktualizován při každém přidání zařízení do prostředí nebo jeho odebrání.
6. 7.6

   Nepřijatelné užívání

   1. 7.6.1 Níže uvedené činnosti jsou obecně zakázány. Zaměstnanec společnosti MinMax není za žádných okolností oprávněn při využívání zdrojů ve vlastnictví společnosti MinMax vykonávat jakoukoli činnost, která je nezákonná podle místních, státních, federálních nebo mezinárodních právních předpisů.
   2. 7.6.2

      Činnosti v systémech, v síti a na internetu

      1. (a) Je zakázáno navštěvovat webové stránky nevhodné pro pracovní prostředí (např. stránky s pornografií, hazardními hrami nebo nelegálními drogami).
      2. (b) Internet se nesmí používat k porušování práv duševního vlastnictví kohokoli. Duševním vlastnictvím se rozumí zejména autorská práva, ochranné známky, patenty, obchodní tajemství, práva na ochranu podoby a jména a práva na ochranu soukromí. Zaměstnanci nesmějí zasahovat do protipirátských mechanismů ani jiných běžných technických opatření, jimiž nositelé autorských práv chrání nebo označují svá díla, ani se je pokoušet vyřadit z provozu.
      3. (c) Přístup ke zdrojům na internetu je vyhrazen oprávněným uživatelům cílových systémů a musí se omezovat na legitimní účely v souladu s místními právními předpisy. Jakékoli útoky na počítačové systémy či sítě na internetu, stejně jako jejich skenování, sondování nebo průnik do nich, jsou přísně zakázány.
      4. (d) Společnost MinMax si vyhrazuje právo blokovat přístup k internetovým stránkám, které považuje za nevhodné. Úmyslné pokusy o přístup k takovým stránkám mohou mít disciplinární důsledky.
      5. (e) Je přísně zakázáno neoprávněně kopírovat materiály chráněné autorským právem, mimo jiné digitalizovat a šířit fotografie z časopisů, knih nebo jiných autorskoprávně chráněných zdrojů či chráněná média, a instalovat jakýkoli autorskoprávně chráněný software, k němuž společnost MinMax ani koncový uživatel nemají platnou licenci.
      6. (f) Vývoz softwaru, technických informací, šifrovacího softwaru nebo šifrovacích technologií v rozporu s mezinárodními nebo regionálními předpisy o kontrole vývozu je protiprávní. Před vývozem jakéhokoli materiálu, u něhož panují pochybnosti, je třeba se poradit s příslušným vedením.
      7. (g) Je zakázáno zavádět do sítě nebo na servery škodlivé programy (např. viry, červy, trojské koně, e-mailové bomby apod.).
      8. (h) Zaměstnanci nesmějí sdělovat hesla ke svým účtům ve společnosti MinMax jiným osobám ani jim umožnit, aby jejich účty používaly. To platí i pro rodinné příslušníky a další členy domácnosti.
      9. (i) Zaměstnanci nesmějí výpočetní prostředky společnosti MinMax používat k aktivnímu opatřování nebo šíření materiálů, které porušují právní předpisy o sexuálním obtěžování nebo o nepřátelském pracovním prostředí platné v místě, kde uživatel působí.
      10. (j) Je zakázáno používat informační systémy společnosti MinMax k podvodnému nabízení produktů, zboží nebo služeb.
      11. (k) Zaměstnanci se nesmějí pokoušet o přístup k datům, k nimž jim nebyl udělen přístup, ani se pokoušet obejít řízení přístupu k jakémukoli systému, ledaže je k tomu za účelem testování opatření bezpečnosti informací předem zmocnilo vedení IT.
      12. (l) Je zakázáno provádět jakoukoli formu monitorování sítě, při níž by byla zachycována data, která nejsou určena pro počítač daného zaměstnance, ledaže to za účelem testování opatření bezpečnosti informací předem povolilo vedení IT.
      13. (m) Je zakázáno v jakémkoli prostředí zaznamenávat informace pomocí zařízení, která umožňují pořizovat zvukové záznamy, videozáznamy nebo snímky. To se týká mimo jiné chytrých telefonů a fotoaparátů, jimiž by bylo možné pořídit neoprávněné kopie informací z monitoru, dokumentace či jakéhokoli jiného zdroje.
   3. 7.6.3

      E-mail a komunikace

      1. (a) Používání pro osobní, nepracovní účely je přípustné, pokud nespotřebovává významné prostředky a nenarušuje plnění pracovních povinností zaměstnance.
      2. (b) Čísla sociálního zabezpečení, čísla platebních karet (PAN) a úvěrové zprávy se nesmějí nikdy zasílat e-mailem, nejsou-li zašifrovány metodou schválenou společností MinMax. Schválené metody šifrování určuje zakladatelský tým.
      3. (c) Zaměstnanci nesmějí rozesílat nevyžádané e-mailové zprávy, včetně „nevyžádané pošty“ či jiných reklamních materiálů, osobám, které o ně výslovně nepožádaly (e-mailový spam).
      4. (d) Je zakázáno podílet se na jakékoli formě obtěžování prostřednictvím e-mailu, telefonu nebo pageru, ať už obsahem, četností, nebo rozsahem zpráv.
      5. (e) Zaměstnanci nesmějí e-mail ani výpočetní prostředky společnosti MinMax používat k vytváření nebo přeposílání „řetězových dopisů“, „Ponziho schémat“ ani jiných „pyramidových“ systémů jakéhokoli druhu.
      6. (f) Je zakázáno zasílat v jednom e-mailu hesla spolu s příslušnými uživatelskými jmény a dalšími autentizačními údaji.

8. Zásada ověřování uživatelů

1. 8.1 Všichni zaměstnanci a externí spolupracovníci musí dodržovat Zásadu ověřování uživatelů společnosti MinMax, která stanoví bezpečný rámec pro přístup k počítačové síti a dalším technickým prostředkům Společnosti.
2. 8.2 Tato zásada se vztahuje na všechny účty ve společnosti MinMax, Inc.
3. 8.3

   Správa účtů

   1. (a) Uživatelům, jejichž pracovní nebo smluvní vztah skončil, bude přístup k účtům zrušen, jakmile to bude rozumně možné.
   2. (b) Při převedení zaměstnance na jinou pozici se postupuje podle procesu ukončení a zřízení uživatelského přístupu. Účtům převedených uživatelů musí být odebrána veškerá přístupová práva, která se následně nastaví znovu podle požadavků nového nadřízeného zaměstnance.
   3. (c) Neaktivní uživatelské účty budou pravidelně přezkoumávány.
   4. (d) Účty zřízené pro externí spolupracovníky budou aktivní a monitorované pouze po dobu nezbytnou k dokončení zakázky.
   5. (e) Po více než šesti neúspěšných pokusech o přihlášení bude doménový účet na 10 minut zablokován.
   6. (f) Nově zřízené účty budou pravidelně přezkoumávány a porovnávány se seznamem nově přijatých zaměstnanců.
   7. (g) Přístupová práva privilegovaných uživatelských účtů jsou omezena na minimální rozsah nezbytný k plnění pracovních povinností.
   8. (h) Řízení přístupu musí být zajištěno automatizovaným systémem řízení přístupu.
4. 8.4

   Zamykání obrazovky

   1. (a) Je-li relace nečinná déle než 15 minut, musí uživatel k opětovné aktivaci terminálu znovu zadat heslo
   2. (b) Odchází-li uživatel od svého stolu nebo pracovní stanice, musí pracovní stanici zamknout
5. 8.5

   Odpovědnost uživatele

   1. 8.5.1 Tato zásada se vztahuje na každý účet používaný na osobní pracovní stanici. Za dodržování správných postupů při správě hesel a účtů odpovídá uživatel, resp. zaměstnanec.
6. 8.6

   Vymáhání

   1. 8.6.1 Dodržování této zásady se zajišťuje prostřednictvím auditů a školení bezpečnostního povědomí. Každý stolní počítač, notebook či virtuální stroj, u něhož bude zjištěn nesoulad s touto zásadou, může být bez předchozího upozornění odpojen od sítě společnosti MinMax.

9. Výjimky

Zakladatelský tým Společnosti může v určitých omezených případech udělit z těchto Zásad výjimku. Každá výjimka z těchto Zásad bude jednoznačně zdokumentována a schválena.

10. Dodržování Zásad

Dodržování podmínek a ustanovení těchto Zásad je povinné a bude pravidelně kontrolováno. Vůči zaměstnancům a externím spolupracovníkům Společnosti, kteří tyto Zásady nedodržují, budou vyvozeny disciplinární důsledky, které mohou vést až k ukončení pracovního poměru nebo smluvního vztahu. Stejně důsledně bude Společnost vyžadovat dodržování Zásad i od konzultantů a dalších třetích stran, na něž se Zásady vztahují. Nebudou-li tyto osoby dodržovat zde stanovené podmínky, přijme Společnost vhodná nápravná opatření, která mohou vést až k ukončení vzájemného vztahu.

11. Kontakty pro oblast bezpečnosti informací

1. 11.1 Všichni zaměstnanci a externí spolupracovníci bez ohledu na svou funkci, úroveň či postavení jsou povinni neprodleně oznámit jakékoli narušení bezpečnosti informací, o kterém se dozvědí, mimo jiné jakékoli porušení podmínek a ustanovení těchto Zásad. Všechna taková oznámení se podávají zakladatelskému týmu.
2. 11.2 Narušením bezpečnosti může být například ztráta nebo krádež počítače či jiného vybavení Společnosti, únik informací o zaměstnancích nebo externích spolupracovnících, únik informací o zákaznících, mimo jiné údajů o platebních kartách, nebo podezření na phishing či jiné obdobné podvody zaměřené na bezpečnost informací.
3. 11.3 Máte-li k těmto Zásadám nebo k některému z jejich ustanovení jakékoli dotazy nebo potřebujete-li cokoli vysvětlit, obraťte se prosím na zakladatelský tým: anthony@minmax.co.