Privaatsuspoliitika

Introducció

Propòsit del document

L'objectiu d'aquest document és resumir els controls tècnics, organitzacionals i físics i les pràctiques de seguretat aplicades dins de la infraestructura d'ESET, que inclou el portafoli d'ESET, és a dir, productes, aplicacions, solucions i serveis ESET (d'ara endavant anomenats Producte). Les mesures, controls i polítiques de seguretat estan dissenyats per protegir

• Operació de cartera ESET i processament de dades en entorns locals o al núvol
• Confidencialitat, integritat i disponibilitat de les dades dels clients
• Informació dels clients derivada de destrucció il·legal, pèrdua, alteració, divulgació o accés no autoritzat

ESET pot actualitzar aquest document i les mesures, controls i polítiques específiques que els governen per fer front a les amenaces en evolució i adaptar-se a la tecnologia de seguretat i als estàndards de la indústria en desenvolupament.

Públic

Aquest document hauria de ser llegit per qualsevol persona que necessiti garantia en l'àmbit de la seguretat del portafoli ESET, o pel client que tingui la intenció d'utilitzar les solucions o serveis ESET mitjançant la integració amb el seu entorn.

Context, concepte i abast

ESET, l'empresa de r.o. de SPOL, està certificada ISO 27001:2022 amb un sistema de gestió integrat.

Per tant, el concepte de gestió de la seguretat de la informació utilitza el marc ISO 27001 per implementar una estratègia de seguretat de defensa en capes quan s'aplica controls de seguretat a cada capa de l'arquitectura del sistema d'informació, per exemple, xarxa, sistemes operatius, bases de dades, aplicacions, personal i processos operatius. Les pràctiques de seguretat aplicades i els controls de seguretat estan pensats per solapar-se i complementar-se.

L'abast d'aquest document és resumir les mesures tècniques i organitzatives implementades per al portafoli d'ESET; Organització, personal i processos operatius.

Les pràctiques i controls de seguretat inclouen la governança i mesures tècniques, incloent, però no limitant-se a:

• Polítiques de seguretat de la informació
• Organització de la seguretat de la informació
• Seguretat dels recursos humans
• Control d'accés
• Criptografia
• Seguretat física i ambiental
• Protecció de dades, seguretat de xarxa, seguretat d'aplicacions
• Seguretat operativa
• Seguretat de les comunicacions
• Adquisició, desenvolupament i manteniment del sistema
• Relació amb el proveïdor
• Gestió d'incidents de seguretat de la informació
• Aspectes de seguretat de la informació en la gestió de la continuïtat del negoci
• Compliment

Abreviatures

Nota: Escriptura cursiva – utilitzada per als noms de documents interns de l'empresa referenciats, no disponibles per al públic, per exemple, Polítiques de Regulació Interna

Governança de la Seguretat

Programa de gestió de la seguretat de la informació

L'empresa ESET va establir i manté un marc de programa de gestió de la seguretat de la informació com una funció transversal que guia la protecció dels actius d'informació. La documentació de seguretat de la informació es guia per polítiques, processos i documentació de seguretat a través de la Política de Regulacions Internes. ESET va adoptar la Política de Sistema de Gestió Integrat, que serveix com a nivell superior

• Polítiques de l'ISMS,
• Política de QMS i
• Política de Seguretat de la Informació.

ESET segueix la seva Política sobre el Sistema de Gestió Integrat, definint el marc per a la gestió de la qualitat i la seguretat de la informació. Aquesta política és propietat del Director de Seguretat d'Informació (CISO) d'ESET i representa el compromís de la direcció superior amb la seguretat i la qualitat. Defineix les responsabilitats per a la gestió i l'assegurament d'aquests àmbits i exposa el compromís d'ESET per avaluar i millorar contínuament l'eficàcia del seu sistema de gestió en compliment de les normes ISO 9001 i ISO 27001.

Les polítiques corporatives es documenten, mantenen i revisen anualment, i s'actualitzen després de canvis significatius per garantir la seva adequació, adequació i efectivitat continuades. Les actualitzacions es comuniquen al personal intern, on les polítiques estan disponibles per a tots els empleats. Les polítiques s'adopten formalment, es signen pel CEO, es publiquen i es comuniquen a tots els empleats i parts rellevants. Les polítiques són formalment reconegudes pels empleats d'ESET en el moment de la incorporació.

A més de les polítiques, els equips de Seguretat de la Informació i Seguretat Tècnica d'ESET han dissenyat processos, procediments, estàndards i línies base de configuració basats en les millors pràctiques de seguretat de la indústria i dels proveïdors (per exemple, benchmarks CIS, OWASP, NIST). Aquests es proporcionen als equips d'IT i Tecnologia per garantir el desenvolupament, configuració i operació segurs dels sistemes i productes d'informació ESET.

ESET manté una documentació de governança interconnectada, que es dissenya i es posa a disposició de tot el personal d'acord amb les certificacions d'ESET per a ISO 9001 i ISO 27001. Els procediments operatius s'adapten per satisfer les necessitats específiques de cada equip, es gestionen dins d'espais de treball designats i s'actualitzen segons calgui.

El seguiment del compliment de polítiques i els procediments disciplinaris estan en marxa per abordar i remediar qualsevol incompliment de les polítiques de seguretat, reforçant el compromís d'ESET amb la rendició de comptes i la millora contínua.

Per garantir el compliment i l'eficàcia continus, ESET ha implementat un marc de gestió de riscos, mantenint controls tècnics i organitzatius. El procés de gestió de riscos d'ESET implica una avaluació i gestió exhaustives dels riscos dins del seu Sistema de Gestió Integrat (basat en ISO 9001 i ISO 27001). Això inclou avaluar actius, identificar requisits de seguretat, calcular riscos i seleccionar estratègies de mitigació adequades. El Director de Seguretat de la Informació (CISO) supervisa el procés global de gestió de riscos, assegurant la notificació regular dels riscos de seguretat i dels indicadors relacionats a la direcció executiva. A més, la gestió de riscos de tercers s'aplica rigorosament mitjançant avaluacions de proveïdors, seguint l'Estàndard de Seguretat de Contractes d'ESET.

Compliment dels estàndards de la indústria

La validació i acreditació externes són fonamentalment importants per a les organitzacions que depenen de les capacitats i la tecnologia d'ESET per protegir les seves dades i complir amb els requisits normatius. Per a més detalls, consulteu la pàgina de certificacions d'ESET.

Monitoratge de compliment

La Política del Sistema de Gestió Integrada estableix el sistema de gestió integrat, incloent-hi revisions i auditories regulars.

Les auditories internes revisen regularment l'adhesió a les polítiques i processos d'ESET tal com s'estableix a la Política d'Auditoria Interna. La Política de Reglaments Interns estipula la responsabilitat de supervisar regularment l'aplicació dels reglaments interns i els ajustos corresponents, si cal.

Les revisions regulars i les auditories internes i externes es duen a terme d'acord amb un pla d'auditoria anual i de tres anys a llarg termini. Les auditories internes són realitzades per auditors independents que revisen regularment l'adhesió a les polítiques i processos d'ESET o als estàndards aplicables (per exemple, ISO 9001, ISO 27001 i SOC2), segons l'abast de l'auditoria. Les auditories internes es planifiquen i es realitzen almenys anualment. Les conclusions de l'auditoria es recullen i registren en un sistema de tiquets dedicat, amb els respectius propietaris assignats, que són responsables d'abordar i resoldre les no conformitats dins d'un termini predefinit. Les conclusions d'auditoria que requereixen supervisió i decisions de la direcció es revisen en reunions regulars de revisió de la direcció.

Organització de la Seguretat de la Informació

Les responsabilitats de seguretat de la informació s'assignen d'acord amb les polítiques de seguretat de la informació vigents. Els processos interns s'identifiquen i s'avaluen per detectar qualsevol risc de modificació o ús indegut o no autoritzat o no intencionat dels actius d'informació d'ESET. Les activitats arriscades o sensibles dels processos interns adopten el principi de les millors pràctiques de seguretat per mitigar el risc.

La seguretat de la informació es té en compte en la gestió de projectes utilitzant el marc de gestió de projectes aplicat des de la concepció fins a la finalització del projecte.

El teletreball i el teletreball estan coberts mitjançant l'ús d'una política implementada en dispositius mòbils, que inclou l'ús d'una forta protecció criptogràfica de dades quan es circula per xarxes no fiables. Els controls de seguretat en dispositius mòbils estan dissenyats per funcionar de manera independent de les xarxes internes i sistemes interns d'ESET.

Seguretat dels Recursos Humans

ESET utilitza pràctiques estàndard de recursos humans, incloent-hi polítiques dissenyades per mantenir la seguretat de la informació. Aquestes pràctiques cobreixen tot el cicle de vida de l'empleat i s'apliquen a tots els empleats.

L'empresa ESET exigeix que el personal d'ESET passi per verificació i cribratge d'antecedents durant la incorporació; la signatura de l'acord de confidencialitat o confidencialitat com a part del contracte laboral que els obliga a seguir polítiques i estàndards interns de seguretat, protegir la informació confidencial d'ESET i les dades dels clients; completar formació en conscienciació en seguretat de la informació durant la incorporació com a part del programa de compliment i sensibilització d'ESET.

Mesures tècniques

Gestió d'Identitat i Accés

La Política de Gestió d'Accés d'ESET regula tots els accessos a la infraestructura ESET. Els processos de control d'accés en l'àmbit de concessió, revocació, canvi d'accés i també revisió dels drets d'accés concedits s'aplicaven a tots els nivells d'infraestructura, tecnologia, aplicació o eines. La gestió completa de l'accés d'usuari a nivell d'aplicació és autònoma. L'inici de sessió únic d'identitat està governat per un proveïdor central d'identitat, que assegura que un usuari només pugui accedir a l'entorn o aplicació autoritzat.

La gestió d'usuaris i d'accessos, els processos i mesures tècniques per a la desprovisió d'accés d'usuaris, la provisió d'accés d'usuaris, revisió, eliminació i ajust dels drets d'accés s'utilitzen per gestionar l'accés dels empleats d'ESET a la infraestructura i xarxes d'ESET d'acord amb els estàndards de seguretat, que inclouen, però no es limiten a:

• Provisió d'accés basada en la base del mínim privilegi de "necessitat de saber"
• Revisió regular de l'accés dels usuaris
• Finalització de l'accés dels usuaris d'acord amb la política de seguretat
• Assignació del compte únic a tothom
• Registre dels intents d'accés dels usuaris, revisió i monitoratge
• Registre i revisió física de l'accés
• Implementació de l'autenticació multifactor per a accés d'alt privilegi i d'administrador
• Aplicació del temps d'espera per a sessions interactives després d'un període d'inactivitat especificat

Protecció de dades

Xifrat de dades

ESET protegeix les dades de la seva infraestructura; La criptografia forta s'utilitza per xifrar dades en repòs (incloent-hi dispositius portàtils) i en trànsit. La implementació de la criptografia segueix regles definides per l'estàndard intern de criptografia. Les dades dels clients es conserven d'acord amb les regulacions corresponents, com ara el RGPD, la directiva NIS2 o les regulacions sectorials i financeres.

Mesures en vigor:

• Generalment, s'utilitza una autoritat certificadora de confiança per emetre certificats per a serveis web públics
• La PKI interna d'ESET s'utilitza per gestionar claus dins de la infraestructura ESET
• L'encriptació nativa de la plataforma CSP està habilitada per garantir la protecció de dades en repòs per a les parts rellevants del processament o persistència de dades en l'entorn al núvol (emmagatzematges de dades, còpies de seguretat)
• Hi ha criptografia forta (per exemple, TLS) per xifrar dades en trànsit

Còpia de seguretat i recuperació de dades

Les còpies de seguretat estan regulades per la Política de Seguretat de la Informació en l'Operació de Tecnologies de la Informació i la Comunicació.

Totes les dades de configuració i desplegament del portafoli ESET s'emmagatzemen en repositoris protegits i amb còpies de seguretat regulars per permetre la recuperació automatitzada d'una configuració d'entorn. El procés regular de proves de recuperació de desastres s'utilitza per verificar la restaurabilitat de la còpia de seguretat de configuració dins dels temps previstos per al negoci.

Les dades dels clients d'ESET es recolzen regularment segons els estàndards i regulacions del sector, l'operació d'alta disponibilitat i els requisits de recuperabilitat contractual. Les còpies de seguretat estan protegides contra manipulacions, i la validesa de les còpies de seguretat es posa a prova regularment mitjançant processos de recuperació de desastres.

Seguretat de xarxa

La segmentació de xarxa s'aplica a tot l'entorn de xarxa ESET. Les xarxes es segreguen segons criteris definits i s'apliquen mitjançant VLANs sobre tallafocs.

ESET utilitza una varietat de sistemes de protecció de límits, incloent-hi tallafocs L7, sistemes de detecció d'intrusions i sistemes de prevenció d'intrusions. Aquests sistemes es configuren i mantenen per protegir els punts d'accés externs, assegurant que es detectin i evitin qualsevol intent no autoritzat d'accedir a la xarxa.

L'accés remot als actius interns es proporciona mitjançant VPN d'usuari o de lloc a lloc amb rols i responsabilitats, requisits de seguretat i controls estipulats en les polítiques internes d'ESET, i configurat per complir amb els estàndards de la indústria de seguretat. Els comptes d'usuari de VPN es mantenen dins d'Active Directory i formen part del procés de provisió de comptes dels empleats.

ESET implementa i manté controls de seguretat de xarxa per protegir les dades que es processen, es reben o s'emmagatzemen en l'entorn al núvol. Els comptes de CSP i la infraestructura subjacent utilitzen llistes de control d'accés a la xarxa i grups de seguretat dins de la Xarxa Virtual de CSP per limitar l'accés a tots els recursos provisionats. L'accés als recursos al núvol només es fa a través de canals xifrats.

Enduriment

ESET utilitza el procés de seguretat dels sistemes per reduir la possible vulnerabilitat als atacs. Això implica les següents tècniques i bones pràctiques:

• tenir una imatge daurada signada que s'està utilitzant per instal·lar o desplegar l'amfitrió o contenidor
• desactivar serveis innecessaris
• Fixació automàtica planificada i parche ad hoc de components crítics en cas d'alt risc
• actualitzacions del sistema operatiu abans d'arribar al seu final de vida útil
• configuració de la configuració de seguretat
• automatització de la infraestructura i la gestió d'aplicacions de manera repetible i consistent
• eliminació de programari innecessari
• Restringint l'accés als recursos locals
• Controls basats en l'hoste com l'antivirus, la detecció i resposta dels punts finals, i les polítiques de xarxa

ESET utilitza un enfocament centralitzat per aplicar i verificar l'enfortiment als components dels entorns informàtics destinat a minimitzar la superfície d'atac, que és la suma de tots els punts d'entrada potencials que els atacants podrien explotar. Per a més detalls, consulteu la següent part d'aquest document.

Seguretat d'aplicacions

Pràctiques de desenvolupament segures

ESET implementa pràctiques segures de desenvolupament de programari a través de la seva Política de Seguretat en el Cicle de Vida del Desenvolupament de Programari (SSDLC), que integra controls de seguretat i gestió de riscos en totes les etapes del desenvolupament.

La política SSDLC defineix requisits per a:

• El codi s'escriu seguint les directrius de codificació segura i es revisa abans de fusionar-se
• Es realitzen models d'amenaces i revisions de disseny per a noves funcionalitats i canvis importants
• Les comprovacions de seguretat automatitzades (anàlisi estàtica, escaneig de dependències i proves dinàmiques seleccionades) s'executen com a part de les pipelines CI/CD
• Els components de tercers i de codi obert es fan un seguiment i es mantenen actualitzats; es manté un SBOM per a tots els productes llançats
• Els resultats dels incidents, proves de penetració i informes de recompenses d'errors es revisen i s'introdueixen de nou en el procés de desenvolupament

L'objectiu de la política SSDLC és garantir que tots els productes de programari ESET siguin segurs, fiables i compleixin amb les normes i regulacions aplicables.

Gestió de vulnerabilitats de producte

ESET manté un procés definit per identificar, avaluar i abordar vulnerabilitats en les seves aplicacions i productes al llarg del seu cicle de vida.

El procés cobreix tant els problemes descoberts internament com els informes de fonts externes.

Com a part de la gestió de vulnerabilitats de producte, ESET:

• Utilitza eines d'escaneig automatitzat per escanejar codi font, dependències i construir artefactes per vulnerabilitats conegudes
• Revisa manualment les conclusions per confirmar l'impacte i la rellevància abans d'assignar una remediació
• Fa un seguiment i prioritza les correccions segons la gravetat, l'explotabilitat i l'exposició del producte
• Realitza proves de seguretat dirigides i reproves per verificar la remediació
• Integra les dades de vulnerabilitats en la planificació de desenvolupament i llançament, de manera que es resolguin qüestions crítiques abans de l'enviament
• Accepta i gestiona informes externs mitjançant una divulgació coordinada i un programa públic de recompenses per errors
• Assigna identificadors CVE per a vulnerabilitats confirmades del producte com a part del seu paper com a Autoritat de Numeració CVE (CNA)
• Aplica pegats i correccions basats en la gravetat de la vulnerabilitat i l'impacte en el negoci, seguint un procés estructurat de triatge

• • El procés de triatge s'alinea amb ISO/IEC 30111 (gestió de vulnerabilitats) i ISO/IEC 29147 (divulgació de vulnerabilitats)
  • La puntuació CVSS i fonts externes d'intel·ligència com el catàleg de Vulnerabilitats Conegudes Explotades (KEV) de CISA s'utilitzen per guiar la priorització
  • Les decisions finals de remediació es prenen col·laborativament pels equips responsables de Producte i seguretat

Aquests processos garanteixen que les vulnerabilitats es gestionin de manera coherent, transparent i traçable a través de tots els productes ESET.

Proves de penetració

ESET realitza proves de penetració regulars dels seus productes com a part del procés global d'assegurament de la seguretat del producte, dins del nostre propi Programa de Proves de Penetració. Les proves es realitzen abans dels llançaments principals i a intervals planificats per als productes mantinguts.

Les proves de penetració a ESET se centren en:

• Verificar que els controls i mitigacions de seguretat implementats siguin efectius
• Identificar possibles vulnerabilitats que les eines automàtiques potser no detecten
• Validació dels resultats dels esforços de remediació anteriors
• Avaluació de la superfície d'atac global i de l'exposició al risc dels productes alliberats

Les proves es realitzen en entorns aïllats per especialistes interns qualificats o socis externs de confiança utilitzant metodologies reconegudes de la indústria (OWASP WSTG / MTG, NIST SP 800-115, PTES).

Les troballes es documenten, valoren i es segueixen mitjançant el mateix procés de gestió de vulnerabilitats que s'utilitza per a problemes reportats internament i externament.

Els resultats de les proves de penetració alimenten directament els plans de millora de producte i el SSDLC, ajudant a garantir que es capturin les lliçons apreses i que es redueixin les debilitats recurrents amb el temps.

Seguretat operativa

Política de Seguretat de la Informació en les Operacions de les TIC

La política de seguretat de la informació en l'operació de les TIC dins de l'empresa estableix normes fonamentals de seguretat relacionades amb el funcionament de les TIC d'acord amb l'estàndard ISO 27001.

La Política de Seguretat de la Informació en l'Operació de les TIC defineix els requisits de seguretat per als processos operatius de TI i la seva documentació, incloent-hi procediments operatius, gestió del canvi, separació de rols i responsabilitats, separació d'entorns de producció, proves i desenvolupament, serveis informàtics de tercers, planificació del rendiment, projectes de TI, proteccions contra programari maliciós, còpia de seguretat, seguretat de xarxa, seguretat de mitjans, requisits i monitoratge de comerç electrònic.

Registre i auditoria

El registre i l'auditoria d'un sistema es realitzen segons estàndards i directrius interns (Política de Monitoratge de Seguretat i Gestió d'Incidents de Seguretat).

Els registres i esdeveniments de la infraestructura, sistema operatiu, base de dades, servidors d'aplicacions i controls de seguretat es recullen de manera contínua. ESET utilitza una plataforma central de gestió de registres (SIEM) per protegir els registres rellevants de modificacions o destrucció no autoritzades. Els registres són processats a més per equips d'IT i seguretat interna per identificar anomalies operatives i de seguretat i incidents de seguretat de la informació. Les dades en SIEM es conserven pel temps requerit per la normativa i per a la caça retrospectiva d'amenaces.

Monitoratge de Seguretat i Resposta a Incidents

La supervisió i la gestió de la seguretat dels incidents de seguretat es defineixen per la Política de Monitoratge de Seguretat i Gestió d'Incidents de Seguretat.

Els esboços de la política

• Responsabilitats i normes per al desenvolupament, configuració adequada, protecció, emmagatzematge, anàlisi, avaluació i retenció del registre i auditoria de seguretat
• Procés, rols i responsabilitats per a la gestió d'incidents de seguretat
• prevenció d'incidents de seguretat
• Minimitzar l'impacte dels incidents de seguretat
• Aprendre dels incidents de seguretat
• Educar els empleats sobre les activitats de monitoratge, el seu abast i el paper dels empleats en la supervisió i la resposta a incidents

Un Centre d'Operacions de Seguretat (SOC) establert, operant les 24 hores del dia, els 7 dies de la setmana, té la facultat de monitoritzar contínuament l'estat de seguretat de la infraestructura i les aplicacions de TI i respondre a incidents de seguretat.

La gestió d'incidents de seguretat de la informació a ESET es basa en el Procediment de Resposta a Incidents definit. Els rols dins la resposta a incidents es defineixen i s'assignen a diversos equips, incloent-hi informàtica, seguretat, jurídic, recursos humans, relacions públiques i gestió executiva. Els incidents estàndard són gestionats per l'equip SOC. Per incidents de seguretat més importants, s'informa el centre de comandament. El Centre de Comandament, en cooperació amb l'equip SOC, coordina la resposta a incidents i implica altres equips per gestionar l'incident. L'equip SOC, recolzat per membres responsables de l'equip de seguretat interna, també és responsable de la recollida de proves i de les lliçons apreses. L'ocurrència i resolució d'incidents es comuniquen a les parts afectades, incloent-hi clients i socis. L'equip jurídic d'ESET és responsable de notificar als organismes reguladors si cal, segons el Reglament General de Protecció de Dades (RGPD) i la Directiva de Seguretat de Xarxes i de la Informació (NIS2) que transposa la Llei de Ciberseguretat.

Gestió de pegats

La gestió de pegats s'utilitza com una de diverses activitats de mitigació per remediar vulnerabilitats.

Els pegats de seguretat s'avaluen i s'apliquen segons la gravetat i el risc de les vulnerabilitats identificades.

Un procés definit de triatge i priorització determina l'ordre i els terminis de desplegament dels pegats. Aquest procés segueix les directrius internes d'ESET alineades amb ISO/IEC 30111. La puntuació CVSS i les fonts externes d'intel·ligència d'amenaces, com el catàleg de Vulnerabilitats Explotables Conegudes (KEV) de CISA, donen suport a decisions i prioritzacions basades en riscos.

Tots els pegats es verifiquen en entorns controlats abans del desplegament a producció per assegurar que resolguin el problema objectiu sense afectar negativament l'estabilitat o compatibilitat del sistema.

El desplegament segueix procediments establerts de gestió del canvi que garanteixen la traçabilitat, la responsabilitat i la capacitat de retrocés quan sigui necessari.

Les activitats de patch es monitoritzen i revisen contínuament per confirmar l'eficàcia, identificar sistemes obsolets i impulsar millores contínues dels processos.

La Directriu de Registre d'Aplicacions especifica mesures tècniques i requisits que regulen el registre per a totes les aplicacions desenvolupades per ESET.

Programari maliciós i protecció contra amenaces

La protecció contra programari maliciós (per programari antivirus i EDR) està estipulada a la Política de Seguretat de la Informació en el Funcionament de les Tecnologies de la Informació i la Comunicació. Els empleats estan obligats a informar immediatament de qualsevol sospita d'infecció de programari maliciós al SOC, tal com s'estableix a la Política de seguretat de la informació per als empleats d'ESET.

Els requisits per als punts finals dels empleats es detallen a l'Estàndard de Seguretat per a Estacions de Treball.

ESET utilitza les seves pròpies eines antimalware enriquides amb solucions verificades de tercers per protegir els punts finals i les càrregues de treball al núvol.

L'equip SOC realitza activitats de recerca d'amenaces basades en la Política de Monitoratge de Seguretat i Gestió d'Incidents de Seguretat. Les dades d'amenaces (feeds) es recullen al sistema SIEM, que s'ingereix automàticament per produir intel·ligència d'amenaces aplicada a esdeveniments de monitoratge de seguretat.

Compliment tècnic

L'equip de Seguretat Interna proporciona i manté diversos estàndards tècnics de seguretat per a components relacionats amb la infraestructura, el núvol i la web, així com les millors pràctiques perquè desenvolupadors i administradors de TI les segueixin. Basat en estàndards tècnics, l'equip de Seguretat Interna prepara fitxers de línia base de configuració que utilitzen els equips de TI per a l'automatització del desplegament i l'aplicació de configuracions segures.

A més, els escanejos de compliment es realitzen mitjançant una eina d'avaluació de vulnerabilitats quan és factible. ESET disposa d'un Programa establert de Proves de Penetració, i els productes, aplicacions i serveis desenvolupats per ESET estan subjectes a proves regulars de penetració basades en el pla del programa. Totes les conclusions es documenten i es reporten als interessats del producte per garantir que es mitiguin tan aviat com sigui possible.

Seguretat física

La Política de Seguretat Física i els estàndards relacionats de seguretat física defineixen les normes de seguretat física al voltant de les oficines i centres de dades. Aquesta política estipula normes i procediments per a:

• protecció de les instal·lacions de l'ESET
• Control físic d'accés
• Seguretat d'oficines, habitacions i edificis
• Treball en zones segures
• Seguretat de l'equipament, el cablejat i la infraestructura

Seguretat dels centres de dades

Els components de la infraestructura IT es troben físicament dins de diversos centres de dades; per tant, s'aconsegueix redundància dins de cada regió.

El perímetre de seguretat física està definit a la Política de Seguretat Física i als estàndards de seguretat relacionats per a oficines i centres de dades - Estàndard de seguretat física per a centres de dades. ESET va definir regles per establir un perímetre de seguretat i controls que s'aplicaran al perímetre físic de seguretat. Els controls clau — incloent-hi la zonificació i segregació de seguretat física, la gestió d'accés i visitants, la prevenció d'incendis i inundacions, així com la vigilància de CCTV i la vigilància tripulada — estan clarament definits, implementats i monitoritzats contínuament. La seguretat de DC és revisada regularment per personal responsable i auditors externs.

ESET depèn dels CSP de mesures i controls de seguretat física; per tant, revisa regularment els informes de compliment corresponents dels CSP.

Controls d'accés físics

Els controls d'entrada física s'estableixen a la Política de Seguretat Física i als estàndards de seguretat relacionats per a oficines i centres de dades. Les instal·lacions es divideixen en zones protegides amb controls d'accés específics.

L'autenticació es gestiona d'acord amb les millors pràctiques de seguretat mitjançant claus, targetes d'identificació/accés i PINs.

S'implementen monitors físics d'accés i prevenció/detecció d'accés no autoritzat. Totes les entrades són monitoritzades per CCTV amb un registre registrat. El perímetre també es vigila amb sensors de moviment o de trencament de vidre (incloent-hi parets de resistència febles, és a dir, vidre o guix), sortides d'emergència i finestres).

Continuïtat del negoci i recuperació davant desastres

ESET manté, revisa regularment, avalua i implementa millores al seu sistema de gestió de la continuïtat del negoci d'acord amb la Política de Gestió de la Continuïtat del Negoci d'acord amb l'ISO 22301.

ESET ha establert el Programa BCM, que prioritza totes les activitats dins de l'empresa i obté l'aprovació CISO segons la política BCM. El Programa BCM defineix activitats operatives i activitats per mitigar riscos relacionats amb la BCM, per exemple, mitjançant redundàncies o replicació de funcions i infraestructura informàtica.

S'estan preparant i revisant Anàlisis d'Impacte Empresarial (BIA) amb objectius definits de continuïtat del negoci (RTO, RPO, MTD, prioritats de recuperació). Els plans de recuperació davant desastres (DRP) es revisen i proven segons el Programa BCM. L'estratègia de continuïtat del negoci determina l'enfocament per mantenir actius empresarials crítics. Tots els resultats de les activitats regulars de continuïtat del negoci serveixen com a entrada per a millores contínues.

Gestió de riscos de tercers

La supervisió i revisió dels serveis als proveïdors està regulada per la Política de Seguretat de la Informació en les Relacions amb Proveïdors. Les revisions es realitzen trimestralment i els resultats s'emmagatzemen a l'avaluació del proveïdor.

˄˅