Politique de confidentialité

შესავალი

დოკუმენტის მიზანი

ამ დოკუმენტის მიზანია შეაჯამოს ESET ინფრასტრუქტურაში გამოყენებული ტექნიკური, ორგანიზაციული და ფიზიკური კონტროლები და უსაფრთხოების პრაქტიკები, რომელიც მოიცავს ESET-ის პორტფოლიოს, ანუ პროდუქტებს, აპლიკაციებს, გადაწყვეტილებებს და ESET-ის სერვისებს (შემდგომში მოხსენიებული, როგორც პროდუქტი). უსაფრთხოების ზომები, კონტროლი და პოლიტიკა შექმნილია დასაცავად

• ESET პორტფელის მუშაობა და მონაცემთა დამუშავება ლოკალურ ან ღრუბლოვან გარემოში
• მომხმარებლის მონაცემების კონფიდენციალურობა, მთლიანობა და ხელმისაწვდომობა
• მომხმარებლის ინფორმაციას უკანონო განადგურებისგან, დაკარგვისგან, შეცვლისგან, არასანქცირებული გამჟღავნებისგან ან წვდომისგან

ESET-მა შეიძლება განაახლოს ეს დოკუმენტი და კონკრეტული ზომები, კონტროლი და პოლიტიკა, რომლებიც მათ არეგულირებს, განვითარებადი საფრთხეების გათვალისწინებით და უსაფრთხოების ტექნოლოგიებისა და ინდუსტრიის სტანდარტების განვითარებასთან ადაპტაციისთვის.

აუდიტორია

ეს დოკუმენტი უნდა წაიკითხოს ყველამ, ვისაც სჭირდება გარანტია ESET-ის პორტფელის უსაფრთხოების სფეროში, ასევე მომხმარებელს, რომელიც აპირებს გამოიყენოს ESET-ის გადაწყვეტილებები ან სერვისები საკუთარ გარემოში ინტეგრაციის გზით.

კონტექსტი, კონცეფცია და ფარგლები

ESET, spol s r.o. კომპანია არის ISO 27001:2022 სერტიფიცირებული ინტეგრირებული მართვის სისტემით.

აქედან გამომდინარე, ინფორმაციული უსაფრთხოების მენეჯმენტის კონცეფცია იყენებს ISO 27001 ჩარჩოს ფენიანი თავდაცვის უსაფრთხოების სტრატეგიის განსახორციელებლად, რომელიც გულისხმობს უსაფრთხოების კონტროლის გამოყენებას საინფორმაციო სისტემის არქიტექტურის სტეკის ყველა ფენაზე, მაგალითად, ქსელზე, ოპერაციულ სისტემებზე, მონაცემთა ბაზებზე, აპლიკაციებზე, პერსონალზე და ოპერაციულ პროცესებზე. უსაფრთხოების გამოყენებითი პრაქტიკა და უსაფრთხოების კონტროლი განკუთვნილია ერთმანეთის გადახურვისა და შევსებისთვის.

ამ დოკუმენტის მიზანია ESET პორტფოლიოსთვის განხორციელებული ტექნიკური და ორგანიზაციული ღონისძიებების შეჯამება; ორგანიზაცია, პერსონალი და საოპერაციო პროცესები.

უსაფრთხოების პრაქტიკა და კონტროლი მოიცავს მმართველობით და ტექნიკურ ზომებს, მათ შორის, მაგრამ არ შემოიფარგლება შემდეგით:

• ინფორმაციული უსაფრთხოების პოლიტიკა
• ინფორმაციული უსაფრთხოების ორგანიზაცია
• ადამიანური რესურსების უსაფრთხოება
• წვდომის კონტროლი
• კრიპტოგრაფია
• ფიზიკური და გარემოს უსაფრთხოება
• მონაცემთა დაცვა, ქსელის უსაფრთხოება, აპლიკაციის უსაფრთხოება
• ოპერატიული უსაფრთხოება
• კომუნიკაციების უსაფრთხოება
• სისტემის შეძენა, განვითარება და შენარჩუნება
• მიმწოდებელთან ურთიერთობა
• ინფორმაციული უსაფრთხოების ინციდენტების მართვა
• ბიზნესის უწყვეტობის მართვის ინფორმაციული უსაფრთხოების ასპექტები
• შესაბამისობა

აბრევიატურები

შენიშვნა: კურსივი – გამოიყენება კომპანიის შიდა დოკუმენტების სახელწოდებებისთვის, რომლებიც მიუწვდომელია საჯარო აუდიტორიისთვის, მაგალითად, შიდა რეგულირების პოლიტიკა

უსაფრთხოების მმართველობა

ინფორმაციული უსაფრთხოების მართვის პროგრამა

კომპანია ESET-მა ჩამოაყალიბა და ინარჩუნებს ინფორმაციული უსაფრთხოების მართვის პროგრამის ჩარჩოს, როგორც კროს-ორგანიზაციულ ფუნქციას, რომელიც წარმართავს საინფორმაციო აქტივების დაცვას. ინფორმაციული უსაფრთხოების დოკუმენტაცია წარმართულია უსაფრთხოების პოლიტიკებით, პროცესებითა და დოკუმენტაციით შიდა რეგულაციების პოლიტიკის მეშვეობით. ESET-მა მიიღო ინტეგრირებული მართვის სისტემის პოლიტიკა, რომელიც წარმოადგენს უმაღლეს დონის

• ISMS პოლიტიკა,
• QMS პოლიტიკა და
• ინფორმაციული უსაფრთხოების პოლიტიკა.

ESET იცავს ინტეგრირებული მართვის სისტემის პოლიტიკას, რომელიც განსაზღვრავს ხარისხისა და ინფორმაციული უსაფრთხოების მართვის ჩარჩოს. ეს პოლიტიკა ეკუთვნის ESET-ის ინფორმაციული უსაფრთხოების მთავარ ოფიცერს (CISO) და წარმოადგენს უმაღლესი დონის მენეჯმენტის ვალდებულებას უსაფრთხოებისა და ხარისხის მიმართ. იგი განსაზღვრავს პასუხისმგებლობებს ამ დომენების მართვისა და უზრუნველყოფისთვის და ასახავს ESET-ის ვალდებულებას, მუდმივად შეაფასოს და გააუმჯობესოს მისი მართვის სისტემის ეფექტურობა ISO 9001 და ISO 27001 სტანდარტების შესაბამისად.

კორპორატიული პოლიტიკა დოკუმენტირებულია, შენარჩუნებულია და ყოველწლიურად განიხილება, ასევე განახლდება მნიშვნელოვანი ცვლილებების შემდეგ, რათა უზრუნველყოფილ იქნეს მისი მუდმივი ვარგისიანობა, ადეკვატურობა და ეფექტურობა. განახლებები ეცნობება შიდა პერსონალს, ხოლო პოლიტიკა ხელმისაწვდომია ყველა თანამშრომლისთვის. პოლიტიკა ოფიციალურად მიიღება, ხელს აწერს აღმასრულებელი დირექტორი, ქვეყნდება და ეცნობება ყველა თანამშრომელსა და შესაბამის მხარეებს. პოლიტიკა ოფიციალურად დასტურდება ESET-ის თანამშრომლების მიერ სამსახურში მიღებისას.

პოლიტიკების გარდა, ESET-ის ინფორმაციული უსაფრთხოებისა და ტექნიკური უსაფრთხოების გუნდებმა შეიმუშავეს პროცესები, პროცედურები, სტანდარტები და კონფიგურაციის საბაზისო მაჩვენებლები ინდუსტრიისა და მომწოდებლის უსაფრთხოების საუკეთესო პრაქტიკების საფუძველზე (მაგ., CIS benchmarks, OWASP, NIST). ისინი მიეწოდება IT და ტექნოლოგიების გუნდებს, რათა უზრუნველყონ ESET-ის საინფორმაციო სისტემებისა და პროდუქტების უსაფრთხო შემუშავება, კონფიგურაცია და ექსპლუატაცია.

ESET ინახავს ურთიერთდაკავშირებულ მმართველობის დოკუმენტაციას, რომელიც შექმნილია და ხელმისაწვდომია ყველა თანამშრომლისთვის ESET-ის ISO 9001 და ISO 27001 სერტიფიკატების შესაბამისად. საოპერაციო პროცედურები მორგებულია თითოეული გუნდის სპეციფიკურ საჭიროებებზე, იმართება განსაზღვრულ სამუშაო სივრცეებში და განახლდება საჭიროებისამებრ.

პოლიტიკის შესაბამისობის მონიტორინგი და დისციპლინური პროცედურები არსებობს უსაფრთხოების პოლიტიკასთან შეუსაბამობის აღმოსაფხვრელად და გამოსასწორებლად, რაც აძლიერებს ESET-ის ერთგულებას ანგარიშვალდებულებისა და უწყვეტი გაუმჯობესების მიმართ.

მუდმივი შესაბამისობისა და ეფექტურობის უზრუნველსაყოფად, ESET-მა დანერგა რისკების მართვის ჩარჩო, რომელიც ტექნიკური და ორგანიზაციული კონტროლის მექანიზმების შენარჩუნებას უზრუნველყოფს. ESET-ის რისკების მართვის პროცესი მოიცავს რისკების ყოვლისმომცველ შეფასებას და მართვას მისი ინტეგრირებული მართვის სისტემის ფარგლებში (ISO 9001 და ISO 27001-ზე დაყრდნობით). ეს მოიცავს აქტივების შეფასებას, უსაფრთხოების მოთხოვნების იდენტიფიცირებას, რისკების გამოთვლას და შესაბამისი შერბილების სტრატეგიების შერჩევას. ინფორმაციული უსაფრთხოების მთავარი ოფიცერი (CISO) ზედამხედველობს რისკების მართვის მთლიან პროცესს და უზრუნველყოფს უსაფრთხოების რისკებისა და მასთან დაკავშირებული მაჩვენებლების რეგულარულ ანგარიშგებას აღმასრულებელი მენეჯმენტისთვის. გარდა ამისა, მესამე მხარის რისკების მართვა მკაცრად ხორციელდება მომწოდებლების შეფასებების მეშვეობით, ESET-ის სახელშეკრულებო უსაფრთხოების სტანდარტის შესაბამისად.

ინდუსტრიის სტანდარტებთან შესაბამისობა

გარე ვალიდაცია და აკრედიტაცია კრიტიკულად მნიშვნელოვანია ორგანიზაციებისთვის, რომლებიც ეყრდნობიან ESET-ის შესაძლებლობებსა და ტექნოლოგიას თავიანთი მონაცემების დასაცავად და მარეგულირებელი მოთხოვნების შესასრულებლად. დეტალებისთვის იხილეთ ESET-ის სერთიფიკაციების გვერდი.

შესაბამისობის მონიტორინგი

მართვის ინტეგრირებული სისტემის პოლიტიკა ადგენს მართვის ინტეგრირებულ სისტემას, მათ შორის რეგულარულ მიმოხილვებსა და აუდიტს.

შიდა აუდიტები რეგულარულად ამოწმებენ ESET-ის პოლიტიკისა და პროცესების დაცვას, როგორც ეს მოცემულია შიდა აუდიტის პოლიტიკაში. შინაგანაწესის პოლიტიკა ითვალისწინებს პასუხისმგებლობას შინაგანაწესის აპლიკაციის რეგულარულ მონიტორინგსა და საჭიროების შემთხვევაში შესაბამის კორექტირებაზე.

რეგულარული მიმოხილვები და შიდა და გარე აუდიტები ტარდება წლიური და სამწლიანი გრძელვადიანი აუდიტის გეგმის შესაბამისად. შიდა აუდიტს ახორციელებენ დამოუკიდებელი აუდიტორები, რომლებიც რეგულარულად ამოწმებენ ESET-ის პოლიტიკისა და პროცესების ან მოქმედი სტანდარტების დაცვას (მაგალითად, ISO 9001, ISO 27001 და SOC2), აუდიტის მოცულობის მიხედვით. შიდა აუდიტი იგეგმება და ხორციელდება მინიმუმ წელიწადში ერთხელ. აუდიტის დასკვნები გროვდება და აღირიცხება სპეციალურ ტიკეტინგ სისტემაში, სადაც ინიშნებიან შესაბამისი პასუხისმგებელი პირები, რომლებიც ვალდებულნი არიან აღმოჩენილი შეუსაბამობები წინასწარ განსაზღვრულ ვადებში აღმოფხვრან და მოაგვარონ. აუდიტის დასკვნები, რომლებიც მენეჯმენტის ზედამხედველობასა და გადაწყვეტილებებს საჭიროებს, განიხილება მენეჯმენტის მიმოხილვის რეგულარულ შეხვედრებზე.

ინფორმაციული უსაფრთხოების ორგანიზაცია

ინფორმაციული უსაფრთხოების პასუხისმგებლობები გადანაწილებულია მოქმედი ინფორმაციული უსაფრთხოების პოლიტიკის შესაბამისად. შიდა პროცესები იდენტიფიცირებულია და ფასდება ESET-ის საინფორმაციო აქტივების არაავტორიზებული ან უნებლიე მოდიფიკაციის ან ბოროტად გამოყენების ნებისმიერი რისკის მიმართ. შიდა პროცესების სარისკო ან მგრძნობიარე საქმიანობა იყენებს უსაფრთხოების საუკეთესო პრაქტიკების პრინციპს რისკის შესამცირებლად.

ინფორმაციული უსაფრთხოება გათვალისწინებულია პროექტის მენეჯმენტში გამოყენებითი პროექტის მართვის ჩარჩოს მეშვეობით — კონცეფციიდან პროექტის დასრულებამდე.

დისტანციური მუშაობა და ტელემუშაობა უზრუნველყოფილია მობილურ მოწყობილობებზე დანერგილი პოლიტიკის გამოყენებით, რომელიც მოიცავს არასანდო ქსელებში გადაცემისას მონაცემთა ძლიერი კრიპტოგრაფიული დაცვის გამოყენებას. მობილურ მოწყობილობებზე უსაფრთხოების კონტროლი შექმნილია იმისთვის, რომ ESET-ის შიდა ქსელებისა და შიდა სისტემებისგან დამოუკიდებლად იმუშაოს.

ადამიანური რესურსების უსაფრთხოება

ESET იყენებს ადამიანური რესურსების სტანდარტულ პრაქტიკას, მათ შორის პოლიტიკას, რომელიც შექმნილია ინფორმაციული უსაფრთხოების უზრუნველსაყოფად. ეს პრაქტიკები მოიცავს თანამშრომლის მთელ სასიცოცხლო ციკლს და ვრცელდება ყველა თანამშრომელზე.

კომპანია ESET მოითხოვს ESET-ის პერსონალს გაიაროს ფონური გადამოწმება და სკრინინგი სამსახურში მიღებისას; ხელი მოაწეროს გაუმჟღავნებლობის ან კონფიდენციალობის შეთანხმებას, როგორც სამსახურებრივი ხელშეკრულების ნაწილს, რომელიც მათ ავალდებულებს დაიცვან შიდა უსაფრთხოების პოლიტიკა და სტანდარტები, ESET-ის კონფიდენციალური ინფორმაცია და მომხმარებელთა მონაცემები; ასევე, გაიაროს ინფორმაციული უსაფრთხოების ცნობიერების ამაღლების ტრენინგი სამსახურში მიღებისას, ESET-ის შესაბამისობისა და ცნობიერების ამაღლების პროგრამის ფარგლებში.

ტექნიკური ღონისძიებები

პირადობისა და წვდომის მენეჯმენტი

ESET-ის წვდომის მართვის პოლიტიკა არეგულირებს ESET-ის ინფრასტრუქტურაზე ყველა წვდომას. წვდომის კონტროლის პროცესები წვდომის მინიჭების, გაუქმების, შეცვლის და ასევე მინიჭებული წვდომის უფლებების გადასინჯვის სფეროში, რომლებიც გამოიყენება ინფრასტრუქტურის, ტექნოლოგიის, აპლიკაციის ან ინსტრუმენტების ყველა დონეზე. მომხმარებლის წვდომის სრული მართვა აპლიკაციის დონეზე ავტონომიურია. პირადობის ერთჯერადი შესვლა რეგულირდება ცენტრალური პირადობის პროვაიდერის მიერ, რომელიც უზრუნველყოფს, რომ მომხმარებელს შეუძლია წვდომა მხოლოდ ავტორიზებულ გარემოზე ან აპლიკაციაზე.

მომხმარებლისა და წვდომის მართვა, პროცესები და ტექნიკური ზომები მომხმარებლის წვდომის გაუქმების, მომხმარებლის წვდომის მინიჭების, წვდომის უფლებების განხილვის, წაშლისა და კორექტირებისთვის გამოიყენება ESET-ის თანამშრომლების წვდომის სამართავად ESET-ის ინფრასტრუქტურასა და ქსელებზე უსაფრთხოების სტანდარტების შესაბამისად, რომლებიც მოიცავს, მაგრამ არ შემოიფარგლება მხოლოდ შემდეგით:

• წვდომის უზრუნველყოფა მინიმალური პრივილეგიის „აუცილებლობის" პრინციპზე დაყრდნობით
• მომხმარებლის წვდომის რეგულარული მიმოხილვა
• მომხმარებლის წვდომის შეწყვეტა უსაფრთხოების პოლიტიკის შესაბამისად
• უნიკალური ანგარიშის მინიჭება ყველასთვის
• მომხმარებლის წვდომის მცდელობების, განხილვისა და მონიტორინგის აღრიცხვა
• ფიზიკური წვდომის აღრიცხვა და მიმოხილვა
• მრავალფაქტორიანი ავთენტიფიკაციის დანერგვა მაღალი პრივილეგიების მქონე და ადმინისტრატორის წვდომისთვის
• ინტერაქტიული სესიებისთვის დროის ლიმიტის აღსრულება უმოქმედობის განსაზღვრული პერიოდის შემდეგ

მონაცემთა დაცვა

მონაცემთა დაშიფვრა

ESET იცავს მონაცემებს თავის ინფრასტრუქტურაში; ძლიერი კრიპტოგრაფია გამოიყენება შენახული მონაცემების (პორტატული მოწყობილობების ჩათვლით) და გადაცემის პროცესში მყოფი მონაცემების დაშიფვრისთვის. კრიპტოგრაფიის დანერგვა მიჰყვება შიდა კრიპტოგრაფიის სტანდარტით განსაზღვრულ წესებს. მომხმარებელთა მონაცემები ინახება შესაბამისი რეგულაციების მიხედვით, როგორიცაა GDPR, NIS2 დირექტივა ან სამრეწველო და საფინანსო რეგულაციები.

განხორციელებული ზომები:

• ზოგადად სანდო სერტიფიკატის ორგანო გამოიყენება საჯარო ვებ სერვისებისთვის სერტიფიკატების გასაცემად
• შიდა ESET PKI გამოიყენება გასაღებების სამართავად ESET ინფრასტრუქტურაში
• CSP პლატფორმის ნატიური დაშიფვრა ჩართულია, რათა უზრუნველყოს მონაცემთა დაცვა მოსვენების დროს ღრუბლოვან გარემოში მონაცემთა დამუშავების ან მონაცემთა შენახვის შესაბამისი ნაწილებისთვის (მონაცემთა საცავები, სარეზერვო ასლები)
• ძლიერი კრიპტოგრაფია (მაგ. TLS) გამოიყენება გადაცემის პროცესში მონაცემების დაშიფვრისთვის

მონაცემთა სარეზერვო ასლი და აღდგენა

სარეზერვო ასლები რეგულირდება ინფორმაციული და საკომუნიკაციო ტექნოლოგიების ექსპლუატაციაში ინფორმაციული უსაფრთხოების პოლიტიკით.

ESET-ის პორტფელის კონფიგურაციისა და განთავსების ყველა მონაცემი ინახება ESET-ის დაცულ და რეგულარულად სარეზერვო ასლირებულ საცავებში, რათა უზრუნველყოფილი იყოს გარემოს კონფიგურაციის ავტომატური აღდგენა. კატასტროფული სიტუაციების აღდგენის ტესტირების რეგულარული პროცესი გამოიყენება იმის დასადასტურებლად, რომ კონფიგურაციის სარეზერვო ასლების აღდგენა შესაძლებელია ბიზნესის მიერ განსაზღვრულ დროის ფარგლებში.

ESET-ის მომხმარებლის მონაცემების სარეზერვო ასლი რეგულარულად იქმნება ინდუსტრიის სტანდარტებისა და რეგულაციების, მაღალი ხელმისაწვდომობისა და სახელშეკრულებო აღდგენადობის მოთხოვნების შესაბამისად. სარეზერვო ასლები დაცულია გაყალბებისგან და სარეზერვო ასლების სისწორე რეგულარულად მოწმდება კატასტროფიდან აღდგენის სავარჯიშო პროცესებით.

ქსელის უსაფრთხოება

ქსელის სეგმენტაცია გამოიყენება ESET-ის მთელი ქსელური გარემოს მასშტაბით. ქსელები გამიჯნულია განსაზღვრული კრიტერიუმების საფუძველზე და ეს სეგრეგაცია უზრუნველყოფილია Firewall-ებზე VLAN-ების გამოყენებით.

ESET იყენებს სასაზღვრო დაცვის სხვადასხვა სისტემას, მათ შორის L7 firewalls-ს, შეჭრის აღმოჩენის სისტემებს და შეჭრის პრევენციის სისტემებს. ეს სისტემები კონფიგურირებულია და იმართება გარე წვდომის წერტილების დასაცავად, რაც უზრუნველყოფს ქსელზე წვდომის ნებისმიერი არაავტორიზებული მცდელობის გამოვლენასა და პრევენციას.

შიდა აქტივებზე დისტანციური წვდომა უზრუნველყოფილია მომხმარებლის ან საიტიდან საიტზე VPN-ის საშუალებით, სადაც როლები და პასუხისმგებლობები, უსაფრთხოების მოთხოვნები და კონტროლი განსაზღვრულია ESET-ის შიდა პოლიტიკებით და კონფიგურირებულია უსაფრთხოების ინდუსტრიის სტანდარტების შესაბამისად. VPN მომხმარებლის ანგარიშები ინახება Active Directory-ში და წარმოადგენს თანამშრომლის ანგარიშის მომზადების პროცესის ნაწილს.

ESET ახორციელებს და ინარჩუნებს ქსელის უსაფრთხოების კონტროლს ღრუბლოვან გარემოში დამუშავებული, მიღებული ან შენახული მონაცემების დასაცავად. CSP ანგარიშები და ძირითადი ინფრასტრუქტურა იყენებს ქსელის წვდომის კონტროლის სიებს და უსაფრთხოების ჯგუფებს CSP-ების ვირტუალურ ქსელში, რათა შეზღუდოს წვდომა ყველა გამოყოფილ რესურსზე. ღრუბლოვან რესურსებზე წვდომა ხდება მხოლოდ დაშიფრული არხებით.

გამკვრივება

ESET იყენებს სისტემების დაცვის პროცესს შეტევების მიმართ შესაძლო დაუცველობის შესამცირებლად. ეს მოიცავს შემდეგ ტექნიკებსა და საუკეთესო პრაქტიკებს:

• ხელმოწერილი golden image-ის ქონა, რომელიც გამოიყენება ჰოსტის ან კონტეინერის ინსტალაციისთვის ან განსათავსებლად
• არასაჭირო სერვისების გამორთვა
• მაღალი რისკის შემთხვევაში კრიტიკული კომპონენტების ავტომატური დაგეგმილი მიმაგრება და სწრაფი პაჩინგი
• ოპერაციული სისტემის განახლებები მხარდაჭერის დასრულებამდე
• უსაფრთხოების პარამეტრების კონფიგურაცია
• ინფრასტრუქტურისა და აპლიკაციების მართვის ავტომატიზაცია განმეორებადი და თანმიმდევრული გზით
• არასაჭირო პროგრამული უზრუნველყოფის ამოღება
• ადგილობრივ რესურსებზე წვდომის შეზღუდვა
• მასპინძელზე დაფუძნებული კონტროლები, როგორიცაა ვირუსებისგან დაცვა, სამუშაო სადგურებზე აღმოჩენა და რეაგირება და ქსელის პოლიტიკები

ESET იყენებს ცენტრალიზებულ მიდგომას IT გარემოს კომპონენტებზე გამაგრების გამოყენებისა და გადამოწმებისთვის, რომელიც მიზნად ისახავს შეტევის ზედაპირის მინიმუმამდე შემცირებას — ეს არის ყველა პოტენციური შესვლის წერტილის ერთობლიობა, რომელთა გამოყენებაც თავდამსხმელებს შეუძლიათ. დეტალებისთვის იხილეთ ამ დოკუმენტის შემდეგი ნაწილი.

აპლიკაციის უსაფრთხოება

უსაფრთხო განვითარების პრაქტიკები

ESET ახორციელებს პროგრამული უზრუნველყოფის შემუშავების უსაფრთხო პრაქტიკებს პროგრამული უზრუნველყოფის შემუშავების სასიცოცხლო ციკლში უსაფრთხოების პოლიტიკის (SSDLC) მეშვეობით, რომელიც აერთიანებს უსაფრთხოების კონტროლს და რისკების მართვას შემუშავების ყველა ეტაპზე.

SSDLC პოლიტიკა განსაზღვრავს მოთხოვნებს:

• კოდი იწერება უსაფრთხო კოდირების სახელმძღვანელო პრინციპების შესაბამისად და განიხილება შერწყმამდე
• საფრთხის მოდელირება და დიზაინის მიმოხილვა ხორციელდება ახალი ფუნქციებისა და მნიშვნელოვანი ცვლილებებისთვის
• უსაფრთხოების ავტომატური შემოწმებები (სტატიკური ანალიზი, დამოკიდებულებების სკანირება და შერჩეული დინამიური ტესტები) სრულდება CI/CD პაიპლაინების ფარგლებში
• მესამე მხარისა და ღია კოდის კომპონენტები თვალყურს ედევნება და განახლებულია; SBOM ინახება ყველა გამოშვებული პროდუქტისთვის
• ინციდენტების, შეღწევადობის ტესტებისა და bug bounty-ის ანგარიშების დასკვნები განიხილება და გათვალისწინებულია განვითარების პროცესში

SSDLC პოლიტიკის მიზანია უზრუნველყოს, რომ ESET-ის ყველა პროგრამული პროდუქტი იყოს უსაფრთხო, საიმედო და შეესაბამებოდეს მოქმედ სტანდარტებსა და რეგულაციებს.

პროდუქტის დაუცველობის მართვა

ESET ინარჩუნებს განსაზღვრულ პროცესს მის აპლიკაციებსა და პროდუქტებში დაუცველობის იდენტიფიცირების, შეფასებისა და აღმოფხვრისთვის მათი სასიცოცხლო ციკლის განმავლობაში.

პროცესი მოიცავს როგორც შიდა წყაროებით გამოვლენილ პრობლემებს, ასევე გარე წყაროებიდან შემოსულ შეტყობინებებს.

პროდუქტის დაუცველობის მართვის ფარგლებში, ESET:

• იყენებს ავტომატიზირებულ სკანირების ინსტრუმენტებს წყაროს კოდის, დამოკიდებულებების და შენების არტეფაქტების ცნობილი დაუცველობებისთვის სასკანირებლად
• ხელით განიხილავს დასკვნებს გავლენისა და შესაბამისობის დასადასტურებლად, სანამ გამოსწორებას მიანიჭებს
• თვალყურს ადევნებს და პრიორიტეტს ანიჭებს გამოსწორებებს სიმძიმის, ექსპლუატირებადობისა და პროდუქტის ექსპოზიციის მიხედვით
• ასრულებს მიზანმიმართულ უსაფრთხოების ტესტირებას და ხელახლა ტესტირებას გამოსწორების დასადასტურებლად
• აერთიანებს დაუცველობის მონაცემებს განვითარებისა და გამოშვების დაგეგმვაში, რათა კრიტიკული საკითხები მოგვარდეს გამოშვებამდე
• იღებს და ამუშავებს გარე მოხსენებებს კოორდინირებული გამჟღავნებისა და საჯარო bug bounty პროგრამის მეშვეობით
• ანიჭებს CVE იდენტიფიკატორებს დადასტურებული პროდუქტის დაუცველობებისთვის, CVE ნუმერაციის ორგანოს (CNA) როლის ფარგლებში
• იყენებს პაჩებსა და გამოსწორებებს დაუცველობის სიმძიმისა და ბიზნესზე გავლენის მიხედვით, სტრუქტურირებული ტრიაჟის პროცესის გამოყენებით

• • ტრიაჟის პროცესი შეესაბამება ISO/IEC 30111 (დაუცველობის დამუშავება) და ISO/IEC 29147 (დაუცველობის გამჟღავნება) სტანდარტებს.
  • CVSS ქულა და გარე დაზვერვის წყაროები, როგორიცაა CISA-ს ცნობილი ექსპლუატირებული დაუცველობების (KEV) კატალოგი, გამოიყენება პრიორიტეტიზაციის წარმართვისთვის
  • საბოლოო გამოსწორების გადაწყვეტილებებს ერთობლივად იღებენ პასუხისმგებელი პროდუქტისა და უსაფრთხოების გუნდები

ეს პროცესები უზრუნველყოფს, რომ დაუცველობები მართული იყოს თანმიმდევრული, გამჭვირვალე და მიკვლევადი გზით ESET-ის ყველა პროდუქტში.

შეღწევადობის ტესტირება

ESET ახორციელებს თავისი პროდუქტების რეგულარულ შეღწევადობის ტესტირებას, როგორც პროდუქტის უსაფრთხოების უზრუნველყოფის საერთო პროცესის ნაწილს - ჩვენი საკუთარი შეღწევადობის ტესტირების პროგრამის ფარგლებში. ტესტირება ხორციელდება ძირითად გამოშვებამდე და დაგეგმილ ინტერვალებში მხარდაჭერილი პროდუქტებისთვის.

ESET-ში შეღწევადობის ტესტირება ფოკუსირებულია:

• უსაფრთხოების დანერგილი კონტროლისა და შემარბილებელი ზომების ეფექტურობის შემოწმება
• პოტენციური დაუცველობების იდენტიფიცირება, რომელიც ავტომატიზირებულმა ინსტრუმენტებმა შეიძლება ვერ აღმოაჩინონ
• წინა გამოსწორების ღონისძიებების შედეგების დადასტურება
• გამოშვებული პროდუქტების საერთო შეტევის ზედაპირისა და რისკის ზემოქმედების შეფასება

ტესტები ტარდება იზოლირებულ გარემოში კვალიფიციური შიდა სპეციალისტების ან სანდო გარე პარტნიორების მიერ, დარგში აღიარებული მეთოდოლოგიების გამოყენებით (OWASP WSTG / MSTG, NIST SP 800-115, PTES).

დასკვნები დოკუმენტირებულია, შეფასებულია და მონიტორინგს ექვემდებარება დაუცველობის მართვის იმავე პროცესის მეშვეობით, რომელიც გამოიყენება შიდა და გარე წყაროებიდან მოხსენებული საკითხებისთვის.

შეღწევადობის ტესტირების შედეგები პირდაპირ აისახება პროდუქტის გაუმჯობესების გეგმებსა და SSDLC-ზე, რაც ხელს უწყობს მიღებული გაკვეთილების გათვალისწინებასა და განმეორებადი სუსტი მხარეების შემცირებას დროთა განმავლობაში.

ოპერატიული უსაფრთხოება

საინფორმაციო უსაფრთხოების პოლიტიკა საინფორმაციო და საკომუნიკაციო ტექნოლოგიების საქმიანობაში

საინფორმაციო და საკომუნიკაციო ტექნოლოგიების ექსპლუატაციაში ინფორმაციული უსაფრთხოების პოლიტიკა კომპანიის ფარგლებში ადგენს საინფორმაციო და საკომუნიკაციო ტექნოლოგიების ფუნქციონირებასთან დაკავშირებულ უსაფრთხოების ფუნდამენტურ წესებს ISO 27001 სტანდარტის შესაბამისად.

საინფორმაციო და საკომუნიკაციო ტექნოლოგიების ოპერირებაში ინფორმაციული უსაფრთხოების პოლიტიკა განსაზღვრავს უსაფრთხოების მოთხოვნებს IT-ოპერაციული პროცესებისა და მათი დოკუმენტაციისთვის, მათ შორის საოპერაციო პროცედურების, ცვლილებების მენეჯმენტის, როლებისა და პასუხისმგებლობების გამიჯვნის, წარმოების, ტესტირებისა და განვითარების გარემოს გამიჯვნის, მესამე მხარის IT სერვისების, შესრულების დაგეგმვის, IT პროექტების, მავნე პროგრამებისგან დაცვის, სარეზერვო ასლის, ქსელის უსაფრთხოების, მედიის უსაფრთხოების, ელექტრონული კომერციის მოთხოვნებისა და მონიტორინგის სფეროებში.

ლოგირება და აუდიტი

სისტემაში ლოგირება და აუდიტი ხორციელდება შიდა სტანდარტებისა და გაიდლაინების მიხედვით (უსაფრთხოების მონიტორინგისა და უსაფრთხოების ინციდენტების მართვის პოლიტიკა).

ჟურნალები და მოვლენები ინფრასტრუქტურიდან, ოპერაციული სისტემიდან, მონაცემთა ბაზიდან, აპლიკაციის სერვერებიდან და უსაფრთხოების კონტროლებიდან მუდმივად გროვდება. ESET იყენებს ჟურნალების მართვის ცენტრალურ პლატფორმას (SIEM) შესაბამისი ჟურნალების არაავტორიზებული მოდიფიკაციისა და განადგურებისგან დასაცავად. ჟურნალები შემდგომში მუშავდება IT და შიდა უსაფრთხოების გუნდების მიერ, რათა გამოავლინონ საოპერაციო და უსაფრთხოების ანომალიები და ინფორმაციული უსაფრთხოების ინციდენტები. SIEM-ში მონაცემები ინახება რეგულაციებით განსაზღვრული დროის განმავლობაში და რეტროსპექტული საფრთხეების გამოვლენისთვის.

უსაფრთხოების მონიტორინგი და ინციდენტებზე რეაგირება

უსაფრთხოების მონიტორინგი და უსაფრთხოების ინციდენტების მართვა განისაზღვრება უსაფრთხოების მონიტორინგისა და უსაფრთხოების ინციდენტების მართვის პოლიტიკით.

პოლიტიკა ასახავს

• პასუხისმგებლობები და წესები უსაფრთხოების აღრიცხვისა და აუდიტის განვითარების, სათანადო კონფიგურაციის, დაცვის, შენახვის, ანალიზის, შეფასებისა და შენარჩუნების შესახებ
• პროცესი, როლები და პასუხისმგებლობები უსაფრთხოების ინციდენტების მართვისთვის
• უსაფრთხოების ინციდენტების პრევენცია
• უსაფრთხოების ინციდენტების გავლენის მინიმუმამდე შემცირება
• უსაფრთხოების ინციდენტებიდან სწავლა
• თანამშრომლების განათლება მონიტორინგის საქმიანობის, მისი მოცულობისა და მონიტორინგსა და ინციდენტებზე რეაგირებაში თანამშრომლების როლის შესახებ

დამკვიდრებული უსაფრთხოების ოპერაციების ცენტრი (SOC), რომელიც მუშაობს 24/7 რეჟიმში, უფლებამოსილია მუდმივად აკონტროლოს IT ინფრასტრუქტურისა და აპლიკაციების უსაფრთხოების მდგომარეობა და რეაგირება მოახდინოს უსაფრთხოების ინციდენტებზე.

ინფორმაციული უსაფრთხოების ინციდენტების მართვა ESET-ში ეყრდნობა განსაზღვრულ ინციდენტებზე რეაგირების პროცედურას. ინციდენტებზე რეაგირების როლები განისაზღვრება და ნაწილდება მრავალ გუნდს შორის, მათ შორის IT, უსაფრთხოება, იურიდიული, ადამიანური რესურსები, საზოგადოებასთან ურთიერთობა და აღმასრულებელი მენეჯმენტი. სტანდარტულ ინციდენტებს ამუშავებს SOC გუნდი. უფრო მნიშვნელოვანი უსაფრთხოების ინციდენტების შესახებ იღებს ინფორმაციას სარდლობის ცენტრი. სარდლობის ცენტრი, SOC გუნდთან თანამშრომლობით, კოორდინაციას უწევს ინციდენტებზე რეაგირებას და ერთვება სხვა გუნდებთან ინციდენტის მოსაგვარებლად. SOC გუნდი, რომელსაც მხარს უჭერს შიდა უსაფრთხოების გუნდის პასუხისმგებელი წევრები, ასევე პასუხისმგებელია მტკიცებულებების შეგროვებასა და მიღებული გაკვეთილების განხილვაზე. ინციდენტის წარმოქმნისა და მოგვარების შესახებ ეცნობება დაინტერესებულ მხარეებს, მათ შორის მომხმარებლებს და პარტნიორებს. ESET-ის იურიდიული გუნდი პასუხისმგებელია საჭიროების შემთხვევაში მარეგულირებელი ორგანოების შეტყობინებაზე, მონაცემთა დაცვის ზოგადი რეგულაციის (GDPR) და კიბერუსაფრთხოების აქტის შესაბამისად, რომელიც ახდენს ქსელისა და ინფორმაციული უსაფრთხოების დირექტივის (NIS2) ტრანსპოზიციას.

პატჩების მართვა

პატჩების მართვა გამოიყენება როგორც რამდენიმე შემარბილებელი ღონისძიებიდან ერთ-ერთი დაუცველობების გამოსასწორებლად.

უსაფრთხოების პატჩები ფასდება და გამოიყენება გამოვლენილი დაუცველობების სიმძიმისა და რისკის მიხედვით.

განსაზღვრული ტრიაჟისა და პრიორიტეტიზაციის პროცესი განსაზღვრავს პატჩების განთავსების თანმიმდევრობასა და ვადებს. ეს პროცესი მიჰყვება ESET-ის შიდა მითითებებს, რომლებიც შეესაბამება ISO/IEC 30111-ს. CVSS ქულები და გარე საფრთხის დაზვერვის წყაროები, როგორიცაა CISA-ს ცნობილი ექსპლუატირებადი დაუცველობების (KEV) კატალოგი, მხარს უჭერს რისკზე დაფუძნებულ გადაწყვეტილებებსა და პრიორიტეტიზაციას.

ყველა პატჩი მოწმდება კონტროლირებად გარემოში საწარმოო გარემოში განთავსებამდე, რათა უზრუნველყოფილ იქნეს, რომ ისინი აგვარებენ სამიზნე პრობლემას სისტემის სტაბილურობასა და თავსებადობაზე უარყოფითი ზემოქმედების გარეშე.

განთავსების პროცესი მიჰყვება ცვლილებების მართვის დადგენილ პროცედურებს, რომლებიც უზრუნველყოფენ მიკვლევადობას, ანგარიშვალდებულებას და საჭიროების შემთხვევაში უკან დაბრუნების შესაძლებლობას.

პატჩის აქტივობები მუდმივად მონიტორინგდება და განიხილება ეფექტურობის დასადასტურებლად, მოძველებული სისტემების გამოსავლენად და პროცესის მუდმივი გაუმჯობესების უზრუნველსაყოფად.

აპლიკაციის ჟურნალირების სახელმძღვანელო განსაზღვრავს ტექნიკურ ზომებსა და მოთხოვნებს, რომლებიც არეგულირებს ჟურნალირებას ESET-ის მიერ შემუშავებული ყველა აპლიკაციისთვის.

მავნე პროგრამებისა და საფრთხის დაცვა

მავნე პროგრამებისგან დაცვა (ვირუსებისგან დაცვის პროგრამული უზრუნველყოფისა და EDR-ის საშუალებით) გათვალისწინებულია საინფორმაციო და საკომუნიკაციო ტექნოლოგიების ექსპლუატაციისას ინფორმაციული უსაფრთხოების პოლიტიკაში. თანამშრომლები ვალდებულნი არიან დაუყოვნებლივ აცნობონ SOC-ს მავნე პროგრამებით ინფიცირების ნებისმიერი ეჭვის შესახებ, როგორც ეს განსაზღვრულია ESET-ის თანამშრომლების ინფორმაციული უსაფრთხოების პოლიტიკაში.

თანამშრომლების საბოლოო წერტილების მოთხოვნები მოცემულია სამუშაო სადგურების უსაფრთხოების სტანდარტში.

ESET იყენებს საკუთარ მავნე პროგრამებისგან დაცვის ინსტრუმენტებს, რომლებიც გამდიდრებულია დამოწმებული მესამე მხარის გადაწყვეტილებებით, საბოლოო წერტილებისა და ღრუბლოვანი სამუშაო დატვირთვების დასაცავად.

SOC-ის გუნდი ახორციელებს საფრთხეებზე ნადირობის აქტივობებს უსაფრთხოების მონიტორინგისა და უსაფრთხოების ინციდენტების მართვის პოლიტიკის საფუძველზე. საფრთხის მონაცემები (არხები) გროვდება SIEM სისტემაში, რომელიც ავტომატურად ამუშავებს მათ საფრთხის დაზვერვის მისაღებად და უსაფრთხოების მონიტორინგის მოვლენებზე გამოსაყენებლად.

ტექნიკური შესაბამისობა

შიდა უსაფრთხოების გუნდი უზრუნველყოფს და ინარჩუნებს სხვადასხვა ტექნიკურ უსაფრთხოების სტანდარტებს ინფრასტრუქტურის, ღრუბლოვანი და ვებთან დაკავშირებული კომპონენტებისთვის, აგრეთვე საუკეთესო პრაქტიკებს დეველოპერებისა და IT ადმინისტრატორებისთვის. ტექნიკური სტანდარტებიდან გამომდინარე, შიდა უსაფრთხოების გუნდი ამზადებს კონფიგურაციის საბაზისო ფაილებს, რომლებსაც IT გუნდები იყენებენ უსაფრთხო კონფიგურაციების განთავსებისა და გამოყენების ავტომატიზაციისთვის.

გარდა ამისა, შესაბამისობის სკანირება ხორციელდება დაუცველობის შეფასების ინსტრუმენტის საშუალებით, სადაც ეს შესაძლებელია. ESET-ს აქვს დადგენილი შეღწევადობის ტესტირების პროგრამა და ESET-ის მიერ შემუშავებული პროდუქტები, აპლიკაციები და სერვისები ექვემდებარება რეგულარულ შეღწევადობის ტესტირებას პროგრამის გეგმის საფუძველზე. ყველა დასკვნა დოკუმენტირებულია და ეცნობება პროდუქტის დაინტერესებულ მხარეებს, რათა უზრუნველყოფილ იქნეს მათი აღმოფხვრა რაც შეიძლება სწრაფად.

ფიზიკური უსაფრთხოება

ფიზიკური უსაფრთხოების პოლიტიკა და მასთან დაკავშირებული ფიზიკური უსაფრთხოების სტანდარტები განსაზღვრავს ფიზიკური უსაფრთხოების წესებს საოფისე შენობებისა და მონაცემთა ცენტრების გარშემო. ეს პოლიტიკა ითვალისწინებს წესებსა და პროცედურებს:

• ESET-ის შენობების დაცვა
• ფიზიკური წვდომის კონტროლი
• ოფისების, ოთახებისა და შენობების დაცვა
• მუშაობა უსაფრთხო ზონებში
• აღჭურვილობის, კაბელების და ინფრასტრუქტურის უსაფრთხოება

მონაცემთა ცენტრის უსაფრთხოება

IT ინფრასტრუქტურის კომპონენტები ფიზიკურად განლაგებულია მრავალ მონაცემთა ცენტრში; შესაბამისად, რეზერვირება მიიღწევა თითოეულ რეგიონში.

ფიზიკური უსაფრთხოების პერიმეტრი განისაზღვრება ფიზიკური უსაფრთხოების პოლიტიკაში და მასთან დაკავშირებული უსაფრთხოების სტანდარტებით საოფისე ფართებისა და მონაცემთა ცენტრებისთვის - მონაცემთა ცენტრების ფიზიკური უსაფრთხოების სტანდარტი. ESET-მა განსაზღვრა წესები უსაფრთხოების პერიმეტრის დასადგენად და კონტროლის ზომები, რომლებიც გამოიყენება ფიზიკური უსაფრთხოების პერიმეტრზე. ძირითადი საკონტროლო ზომები — მათ შორის ფიზიკური უსაფრთხოების ზონირება და გამიჯვნა, შესვლისა და ვიზიტორთა მართვა, ხანძრისა და წყალდიდობის პრევენცია, აგრეთვე CCTV და პერსონალის მიერ განხორციელებული ვიდეოთვალთვალი — მკაფიოდ არის განსაზღვრული, დანერგილი და მუდმივად მონიტორინგდება. DC-ის უსაფრთხოება რეგულარულად განიხილება პასუხისმგებელი პერსონალისა და გარე აუდიტორების მიერ.

ESET ეყრდნობა CSP-ების ფიზიკური უსაფრთხოების ზომებსა და კონტროლს; შესაბამისად, რეგულარულად განიხილავს CSP-ების შესაბამის კომპლაიანსის ანგარიშებს.

ფიზიკური წვდომის კონტროლი

ფიზიკური შესვლის კონტროლი მოცემულია ფიზიკური უსაფრთხოების პოლიტიკაში და მასთან დაკავშირებულ უსაფრთხოების სტანდარტებში საოფისე შენობებისა და მონაცემთა ცენტრებისთვის. შენობა იყოფა დაცული ზონებად კონკრეტული წვდომის კონტროლით.

ავთენტიფიკაცია იმართება უსაფრთხოების საუკეთესო პრაქტიკის შესაბამისად, გასაღებების, ID/წვდომის ბარათებისა და PIN-კოდების გამოყენებით.

ხორციელდება ფიზიკური წვდომის მონიტორინგი და არაავტორიზებული წვდომის პრევენცია/გამოვლენა. ყველა შესასვლელი კონტროლდება CCTV-ით დარეგისტრირებული ჩანაწერით. პერიმეტრს ასევე აკონტროლებენ მოძრაობის ან მინის გატეხვის სენსორები (მათ შორის სუსტი წინააღმდეგობის კედლები (მაგ., მინა ან მშრალი კედელი), სახანძრო გასასვლელები და ფანჯრები).

ბიზნეს უწყვეტობა და კატასტროფებისგან აღდგენა

ESET ინარჩუნებს, რეგულარულად განიხილავს, აფასებს და ახორციელებს გაუმჯობესებებს ბიზნესის უწყვეტობის მართვის სისტემაში ბიზნესის უწყვეტობის მართვის პოლიტიკის შესაბამისად, ISO 22301-თან სრულ შესაბამისობაში.

ESET-მა ჩამოაყალიბა BCM პროგრამა, რომელიც პრიორიტეტს ანიჭებს კომპანიის შიგნით არსებულ ყველა საქმიანობას და გადის CISO-ს დამტკიცებას BCM პოლიტიკის შესაბამისად. BCM პროგრამა განსაზღვრავს საოპერაციო საქმიანობას და აქტივობებს BCM-თან დაკავშირებული რისკების შესამცირებლად, მაგ., ფუნქციებისა და IT ინფრასტრუქტურის რეზერვირების ან რეპლიკაციის გზით.

მიმდინარეობს ბიზნეს-ზეგავლენის ანალიზების (BIA) მომზადება და განხილვა, ბიზნეს უწყვეტობის განსაზღვრული მიზნებით (RTO, RPO, MTD, აღდგენის პრიორიტეტები). კატასტროფული სიტუაციებიდან აღდგენის გეგმები (DRP) განიხილება და იტესტირება BCM პროგრამის შესაბამისად. ბიზნესის უწყვეტობის სტრატეგია განსაზღვრავს მიდგომას კრიტიკული ბიზნეს აქტივების შესანარჩუნებლად. რეგულარული ბიზნეს უწყვეტობის საქმიანობების ყველა შედეგი წარმოადგენს მუდმივი გაუმჯობესების საშუალებას.

მესამე მხარის რისკების მართვა

მიმწოდებლის მომსახურების მონიტორინგი და მიმოხილვა რეგულირდება მიმწოდებლებთან ურთიერთობებში ინფორმაციული უსაფრთხოების პოლიტიკით. მიმოხილვები ტარდება კვარტალურად და შედეგები ინახება მიმწოდებლის შეფასებაში.

˄˅