1. Εισαγωγή και σκοπός

1.1 Rheonics δεσμεύεται να προστατεύει τα στοιχεία του ενεργητικού της, συμπεριλαμβανομένων των ιδιόκτητων δεδομένων, των πληροφοριών πελατών, της πνευματικής ιδιοκτησίας και της υποδομής πληροφορικής, από μη εξουσιοδοτημένη πρόσβαση, χρήση, αποκάλυψη, τροποποίηση, διακοπή ή καταστροφή.

1.2 Αυτή η πολιτική καθορίζει το πλαίσιο για τη διατήρηση ενός ασφαλούς περιβάλλοντος για Rheonicsψηφιακές λειτουργίες, ευθυγραμμισμένες με:

• Κανονισμοί: Ελβετικό FADP, GDPR (όπου ισχύει), πολιτειακή/ομοσπονδιακή νομοθεσία των ΗΠΑ και άλλες ισχύουσες εθνικές νομοθεσίες όπου Rheonics λειτουργεί.
• Πρότυπα: Αρχές μηδενικής εμπιστοσύνης, σημεία αναφοράς CIS, κατευθυντήριες γραμμές NIST (π.χ. SP 800-88, SP 800-171 όπου ισχύει) και οδηγίες OWASP.

1.3 Στόχοι:

• Διασφαλίστε την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα (CIA) δεδομένων και συστημάτων.
• Ελαχιστοποιήστε τους κινδύνους περιστατικών κυβερνοασφάλειας και εξασφαλίστε τη συνέχεια της επιχείρησης.
• Προώθηση μιας κουλτούρας με επίγνωση της ασφάλειας μεταξύ όλου του προσωπικού.
• Διασφαλίστε τη συμμόρφωση με νομικές, κανονιστικές και συμβατικές υποχρεώσεις.

2. Πεδίο Εφαρμογής

Ισχύει για όλα Rheonics εργαζόμενοι, εργολάβοι, σύμβουλοι, ασκούμενοι, εθελοντές και τρίτα μέρη («Χρήστες») που έχουν πρόσβαση Rheonics συστήματα, δεδομένα ή εγκαταστάσεις. Καλύμματα:

2.1 Περιουσιακά στοιχεία

• υλικού
• Λογισμικό (συμπεριλαμβανομένου του SaaS/IaaS/PaaS)
• Δεδομένα (ηλεκτρονικά και φυσικά)
• Δίκτυα
• Φυσικές εγκαταστάσεις

2.2 Δραστηριότητες

• Επιτόπια εργασία
• Απομακρυσμένη εργασία
• Χρήση συσκευών ιδιοκτησίας της εταιρείας
• Χρήση προσωπικών συσκευών (BYOD)
• Αναπτυξιακές δραστηριότητες
• Αλληλεπιδράσεις τρίτων προμηθευτών

3. Ρόλοι και αρμοδιότητες

4. Δηλώσεις Πολιτικής

4.1 Ασφάλεια Δεδομένων

• Ταξινόμηση και χειρισμός: Τα δεδομένα πρέπει να ταξινομούνται και να χειρίζονται ανάλογα με την ευαισθησία (βλ. Παράρτημα Α). Οι απαιτήσεις αυξάνονται με την ευαισθησία.

• Κρυπτογράφηση: Τα περιορισμένα και εμπιστευτικά δεδομένα πρέπει να κρυπτογραφούνται σε κατάσταση ηρεμίας και διαμετακόμισης χρησιμοποιώντας ισχυρούς αλγόριθμους βιομηχανικών προτύπων.

• Διάθεση: Πρέπει να χρησιμοποιούνται ασφαλείς μέθοδοι: Σκούπισμα ηλεκτρονικών μέσων συμβατό με το NIST SP 800-88. τεμαχισμός εγκάρσιας τομής (P-4 ή υψηλότερο) για φυσικά έγγραφα που περιέχουν Εμπιστευτικά ή Περιορισμένα δεδομένα. Πρέπει να τηρούνται τα χρονοδιαγράμματα διατήρησης δεδομένων.

4.2 Έλεγχος πρόσβασης

• Ελάχιστα προνόμια και RBAC: Η πρόσβαση παραχωρείται με βάση την αναγκαιότητα της λειτουργίας εργασίας (λιγότερο προνόμιο) χρησιμοποιώντας Έλεγχο πρόσβασης βάσει ρόλου (RBAC).

• Αυθεντικοποίηση: Απαιτούνται μοναδικά αναγνωριστικά χρήστη. Ισχυροί κωδικοί πρόσβασης (βλ. Παράρτημα Β) και MFA είναι υποχρεωτικοί για υπηρεσίες cloud, απομακρυσμένη πρόσβαση, διαχειριστικούς λογαριασμούς και συστήματα που χειρίζονται Εμπιστευτικά/Περιορισμένα δεδομένα.

• Κριτικές: Δικαιώματα πρόσβασης που εξετάζονται ανά τρίμηνο από διαχειριστές/ιδιοκτήτες συστημάτων. ανακαλείται αμέσως μετά τον τερματισμό ή την αλλαγή ρόλου. Απαιτείται επίσημη διαδικασία έγκρισης για επιχορηγήσεις/αλλαγές πρόσβασης.

4.3 Πολιτική αποδεκτής χρήσης (AUP)

• Επιχειρηματικός σκοπός: Rheonics οι πόροι προορίζονται κυρίως για επιχειρηματική χρήση. Περιορισμένη περιστασιακή προσωπική χρήση επιτρέπεται εάν δεν παρεμβαίνει σε καθήκοντα, καταναλώνει υπερβολικούς πόρους, επιφέρει κόστος ή παραβιάζει πολιτικές/νόμους.

• Απαγορευμένες δραστηριότητες: Συμπεριλαμβάνονται, ενδεικτικά: παράνομες δραστηριότητες, παρενόχληση, πρόσβαση/διανομή προσβλητικού υλικού, παραβίαση πνευματικών δικαιωμάτων, μη εξουσιοδοτημένη τροποποίηση συστήματος, παράκαμψη ελέγχων ασφαλείας, εγκατάσταση μη εξουσιοδοτημένου λογισμικού, εισαγωγή κακόβουλου λογισμικού, μη εξουσιοδοτημένη κοινή χρήση/διαίρεση δεδομένων, υπερβολική προσωπική χρήση.

• Επαγρύπνηση χρήστη: Οι χρήστες πρέπει να είναι προσεκτικοί με το email (phishing), την περιήγηση στον ιστό (κακόβουλους ιστότοπους) και το χειρισμό συνημμένων/δεσμών.

4.4 Ασφάλεια Δικτύου

• Περίμετρος & Τμηματοποίηση: Διατηρούνται τείχη προστασίας, IDS/IPS. Η τμηματοποίηση δικτύου απομονώνει κρίσιμα συστήματα (π.χ. Ε&Α, παραγωγή) και αποθήκες δεδομένων.

• Wi-Fi: Ασφαλές WPA3-Enterprise (ή WPA2-Enterprise ελάχιστο) για εσωτερικά δίκτυα. Το Wi-Fi επισκεπτών πρέπει να είναι λογικά διαχωρισμένο και να μην παρέχει πρόσβαση σε εσωτερικούς πόρους.

• Απομακρυσμένη πρόσβαση: Μόνο μέσω VPN εγκεκριμένου από την εταιρεία με MFA. Η διαίρεση της σήραγγας ενδέχεται να είναι περιορισμένη.

• Μηδενική εμπιστοσύνη: Η εφαρμογή των αρχών αρχιτεκτονικής Zero Trust (π.χ. μικροτμηματοποίηση, συνεχής επαλήθευση, έλεγχοι υγείας συσκευών) βρίσκεται σε εξέλιξη, με στόχο την ολοκλήρωση έως το πρώτο τρίμηνο του 1 για κρίσιμα δίκτυα.

4.5 Ασφάλεια τελικού σημείου ιδιοκτησίας εταιρείας

• Απάτη: Όλα τα τελικά σημεία που ανήκουν στην εταιρεία (επιτραπέζιοι υπολογιστές, φορητοί υπολογιστές, κινητά) πρέπει να διαθέτουν Ανίχνευση & Απόκριση Τελικού Σημείου (EDR) που διαχειρίζεται η εταιρεία ή εγκεκριμένο λογισμικό προστασίας από ιούς, σε λειτουργία και ενημέρωση.

• Επισκευή: Τα λειτουργικά συστήματα και οι εφαρμογές πρέπει να διατηρούνται ενημερωμένα μέσω της διαδικασίας διαχείρισης ενημερώσεων κώδικα της εταιρείας. Κρίσιμες ενημερώσεις κώδικα που εφαρμόζονται εντός καθορισμένων χρονοδιαγραμμάτων [Rheonics για να ορίσετε χρονοδιαγράμματα, π.χ. 72 ώρες για κρίσιμο λειτουργικό σύστημα].

• Κρυπτογράφηση: Η κρυπτογράφηση πλήρους δίσκου (π.χ. BitLocker, FileVault) είναι υποχρεωτική σε φορητούς υπολογιστές και φορητές συσκευές.

4.6 Φέρτε τη δική σας συσκευή (BYOD)

• Έγκριση και πρότυπα: Χρήση προσωπικών συσκευών (BYOD) για πρόσβαση σε μη κοινό Rheonics Τα δεδομένα απαιτούν ρητή έγκριση και τήρηση ελάχιστων προτύπων (βλ. Παράρτημα Δ).

• Απαιτήσεις ασφαλείας: Περιλαμβάνει εγγραφή MDM, υποστηριζόμενες εκδόσεις λειτουργικού συστήματος, λογισμικό ασφαλείας, κρυπτογράφηση, κωδικούς πρόσβασης, δυνατότητα απομακρυσμένης διαγραφής και διαχωρισμό/διανομή δεδομένων.

• Αποποίηση ευθυνών: Rheonics διατηρεί το δικαίωμα διαχείρισης/διαγραφής εταιρικών δεδομένων από συσκευές BYOD· Rheonics δεν ευθύνεται για απώλεια προσωπικών δεδομένων κατά τη διάρκεια ενεργειών ασφαλείας.

4.7 Ασφάλεια και διαχείριση λογισμικού

• Εξουσιοδοτημένο λογισμικό: Μπορεί να εγκατασταθεί μόνο λογισμικό με άδεια χρήσης εγκεκριμένο από την IT. Απαγορεύεται στους χρήστες να εγκαθιστούν μη εξουσιοδοτημένες εφαρμογές.

• Διαχείριση ενημερωμένων εκδόσεων: Ισχύει για όλο το λογισμικό (OS, εφαρμογές, υλικολογισμικό) σε όλα τα συστήματα (διακομιστές, τερματικά, συσκευές δικτύου).

• Διαχείριση ευπάθειας: Πραγματοποιήθηκε τακτική σάρωση ευπάθειας. Τα κρίσιμα τρωτά σημεία πρέπει να αποκατασταθούν εντός καθορισμένων χρονοδιαγραμμάτων [Rheonics να ορίσει]. Η δοκιμή διείσδυσης εκτελείται περιοδικά σε κρίσιμα συστήματα.

• Ασφαλής Ανάπτυξη: (Εάν ισχύει) Οι ομάδες ανάπτυξης πρέπει να ακολουθούν ασφαλείς πρακτικές κωδικοποίησης (π.χ. OWASP Top 10), να διεξάγουν ελέγχους κώδικα και να χρησιμοποιούν εργαλεία δοκιμών ασφαλείας (SAST/DAST).

• Ανάλυση σύνθεσης λογισμικού (SCA): Τα στοιχεία ανοιχτού κώδικα πρέπει να καταγράφονται και να σαρώνονται για τρωτά σημεία. Η χρήση λογισμικού/εξαρτημάτων στο τέλος του κύκλου ζωής (EOL) απαγορεύεται, εκτός εάν γίνεται ρητά αποδεκτή ως προς τον κίνδυνο από τη Διοίκηση/Ασφάλεια Πληροφορικής.

4.8 Φυσική ασφάλεια

• Έλεγχος πρόσβασης: Πρόσβαση σε Rheonics εγκαταστάσεις, δωμάτια διακομιστών και εργαστήρια Ε&Α που περιορίζονται μέσω φυσικών ελέγχων (σήματα, κλειδιά, βιομετρικά στοιχεία). Τα αρχεία καταγραφής πρόσβασης διατηρούνται για ευαίσθητες περιοχές.

• Διαχείριση επισκεπτών: Οι επισκέπτες πρέπει να συνδεθούν, να τους εκδοθεί προσωρινή ταυτότητα και να συνοδεύονται σε μη δημόσιους χώρους.

• Ασφάλεια σταθμού εργασίας: Οι χρήστες πρέπει να κλειδώνουν τους σταθμούς εργασίας όταν δεν τους παρακολουθούν (Windows+L / Ctrl+Cmd+Q).

• Εκκαθάριση επιφάνειας εργασίας/οθόνης: Οι ευαίσθητες πληροφορίες (φυσικά έγγραφα, οθόνες) θα πρέπει να προστατεύονται από μη εξουσιοδοτημένη προβολή, ειδικά σε ανοιχτούς χώρους ή όταν αφήνετε γραφεία χωρίς επίβλεψη. Χρησιμοποιούνται ασφαλείς κάδοι απόρριψης.

4.9 Cloud Security

• Εγκεκριμένες υπηρεσίες: Χρήση υπηρεσιών cloud (SaaS, IaaS, PaaS) για Rheonics τα δεδομένα πρέπει να έχουν εγκριθεί από την IT/Security.

• Διαμόρφωση & Μονάδαoring: Οι υπηρεσίες πρέπει να διαμορφωθούν με ασφάλεια, ευθυγραμμισμένες με τα σημεία αναφοράς CIS όπου ισχύουν (AWS/GCP/Azure). Οι πολιτικές πρόσβασης υπό όρους (π.χ. γεωγραφική τοποθεσία, συμμόρφωση συσκευής) πρέπει να επιβάλλονται. Ενεργοποιήθηκε και παρακολουθείται η καταγραφή API και δραστηριότητας χρήστη.

• Προστασία δεδομένων: Βεβαιωθείτε ότι οι πάροχοι cloud συναντώνται RheonicsΑπαιτήσεις ασφάλειας δεδομένων, κρυπτογράφησης, δημιουργίας αντιγράφων ασφαλείας και διαμονής μέσω συμβάσεων και αξιολογήσεων.

4.10 Διαχείριση τρίτου μέρους / προμηθευτή

• Αξιολόγηση Κινδύνου: Εκτιμήσεις ασφαλείας που πραγματοποιήθηκαν πριν από τη συμμετοχή προμηθευτών που έχουν πρόσβαση, επεξεργάζονται και αποθηκεύουν Rheonics δεδομένων ή σύνδεση σε δίκτυα. Το επίπεδο κινδύνου καθορίζει το βάθος της αξιολόγησης.

• Συμβατικές απαιτήσεις: Οι συμβάσεις πρέπει να περιλαμβάνουν ρήτρες που καλύπτουν το απόρρητο, την προστασία δεδομένων (συμπεριλαμβανομένων των ΑΠΔ σε περίπτωση επεξεργασίας προσωπικών δεδομένων βάσει του GDPR/FADP), ελέγχους ασφαλείας, ειδοποίησης συμβάντων και δικαιώματα ελέγχου.

• Συνεχής Παρακολούθησηoring: Περιοδική ανασκόπηση της κρίσιμης στάσης ασφαλείας του προμηθευτή.

4.11 Αντιμετώπιση περιστατικού

• Αναφορά: Τα ύποπτα περιστατικά πρέπει να αναφέρονται αμέσως (στόχος εντός 1 ώρας από την ανακάλυψη) μέσω () ή (24/7 Εσωτερικό κανάλι εταιρικών ομάδων).

• Σχέδιο απόκρισης: Rheonics διατηρεί Σχέδιο Αντιμετώπισης Συμβάντων (IRP). Δείτε το Παράρτημα Γ για τη βασική ροή.

• Κρίσιμα περιστατικά: (π.χ. ransomware, επιβεβαιωμένη παραβίαση δεδομένων) Ενεργοποίηση κλιμάκωσης και περιορισμού ενεργειών (στόχος εντός 4 ωρών). Η νομική/εκτελεστική ειδοποίηση ακολουθεί χρονοδιαγράμματα που υπαγορεύονται από κανονισμούς (π.χ. ειδοποίηση παραβίασης 72 ωρών GDPR/FADP όπου ισχύει).

• Συνεργασία: Όλοι οι χρήστες πρέπει να συνεργάζονται πλήρως με τις έρευνες αντιμετώπισης περιστατικών.

5. Επιβολή

Οι παραβιάσεις θα αντιμετωπίζονται με βάση τη σοβαρότητα και την πρόθεση, με την επιφύλαξη της τοπικής εργατικής νομοθεσίας.

6. Συντήρηση Πολιτικής

• Ρυθμός κριτικής: Αναθεωρείται τουλάχιστον ετησίως από τον κάτοχο πολιτικής (επικεφαλής IT) και τους ενδιαφερόμενους.
• Ενεργοποιητές αναθεώρησης: Ad-hoc αναθεωρήσεις που προκαλούνται από: Μείζονα συμβάντα ασφαλείας, σημαντικές κανονιστικές αλλαγές (π.χ. νέοι νόμοι περί απορρήτου δεδομένων), σημαντικές αλλαγές τεχνολογίας/υποδομής (π.χ. μετανάστευση μεγάλου νέφους), ευρήματα ελέγχου.
• ενημερώσεις: Οι εγκεκριμένες αλλαγές κοινοποιούνται σε όλους τους χρήστες.

7. Παραρτήματα

7.1 Παράρτημα Α: Ταξινόμηση δεδομένων

7.2 Παράρτημα Β: Απαιτήσεις κωδικού πρόσβασης

• Ελάχιστο μήκος:
  • Λογαριασμοί χρηστών: 12 χαρακτήρες
  • Λογαριασμοί διαχειριστή/υπηρεσίας: 16 χαρακτήρες

• Περίπλοκο
  • Τουλάχιστον 3 από 4: κεφαλαία, πεζά, αριθμοί, σύμβολα (~!@#$%^&*()-_=+[]{}|;:'”,.<>/?). Δεν μπορεί να περιέχει όνομα χρήστη ή κοινές λέξεις λεξικού.

• Περιστροφή
  • Μέγιστο 90 ημέρες (εκτός εάν χρησιμοποιείτε εγκεκριμένες μεθόδους συνεχούς ελέγχου ταυτότητας).

• Ιστορικό
  • Οι προηγούμενοι 5 κωδικοί πρόσβασης δεν μπορούν να επαναχρησιμοποιηθούν.

• Αποθήκευση:
  • Δεν πρέπει να καταγράφεται χωρίς ασφάλεια. Χρησιμοποιήστε το πρόγραμμα διαχείρισης κωδικών πρόσβασης εγκεκριμένο από την εταιρεία (π.χ. Bitwarden, 1Password) για το storing σύνθετους μοναδικούς κωδικούς πρόσβασης. Απαγορεύεται η κοινή χρήση κωδικών πρόσβασης. Απαγορεύεται η παράκαμψη MFA.

7.3 Παράρτημα Γ: Ροή απόκρισης περιστατικού

• Ανίχνευση και ανάλυση: Προσδιορίστε πιθανά περιστατικά.
• Αναφορά: Αναφέρετε ΑΜΕΣΑ (εντός στόχου 1 ώρας) στο IT/Security μέσω καθορισμένων καναλιών.
• Διαλογή και αξιολόγηση: Το IT/Security αξιολογεί τη σοβαρότητα και τον αντίκτυπο.
• Περιορισμός: Απομόνωση επηρεαζόμενων συστημάτων/λογαριασμών (εντός 4 ωρών στόχος για κρίσιμα περιστατικά).
• Εκρίζωση: Αφαιρέστε την απειλή/τρωτότητα.
• Επανόρθωση: Επαναφέρετε τα συστήματα/δεδομένα με ασφάλεια.
• Ανασκόπηση μετά το περιστατικό: Διδάγματα, βελτίωση της διαδικασίας.
  • Γνωστοποίηση: Νομικές/Ρυθμιστικές/Ειδοποιήσεις πελατών εκτελούνται όπως απαιτείται βάσει αξιολόγησης (π.χ. εντός 72 ωρών για παραβιάσεις προσωπικών δεδομένων GDPR/FADP).

7.4. Παράρτημα Δ: Ελάχιστα πρότυπα BYOD

• Έγκριση: Απαιτείται πριν από την πρόσβαση σε μη δημόσια δεδομένα.
• Απαιτήσεις συσκευής:
  • Εκδόσεις ΛΣ: Πρέπει να εκτελούνται εκδόσεις που υποστηρίζονται από τον προμηθευτή (π.χ. Windows 11+, macOS 14+, iOS 16+, Android 13+)

• • Ασφάλεια: Κλείδωμα οθόνης/ενεργοποιημένα βιομετρικά στοιχεία. Η κρυπτογράφηση συσκευής είναι ενεργοποιημένη. Ενδέχεται να απαιτείται εγκεκριμένο λογισμικό ασφαλείας (AV/anti-malware). συσκευή δεν έχει jailbroken/root.

• • ΓτΚ: Εγγραφές σε RheonicsΗ λύση Διαχείρισης φορητών συσκευών (MDM) είναι υποχρεωτική.

• • Remote Wipe: Η δυνατότητα πρέπει να είναι ενεργοποιημένη για δεδομένα/προφίλ εταιρείας.

• Διαχωρισμός δεδομένων: Τα εταιρικά δεδομένα αποκτήθηκαν/αποθηκεύονται μέσω εγκεκριμένων εφαρμογών σε ένα διαχειριζόμενο προφίλ ή κοντέινερ (π.χ. Microsoft Intune MAM, Προφίλ εργασίας Android). Καμία αντιγραφή των δεδομένων της εταιρείας σε προσωπικές εφαρμογές/αποθηκευτικό χώρο.
• Δίκτυο: Σύνδεση μέσω ασφαλούς Wi-Fi. αποφύγετε το μη αξιόπιστο δημόσιο Wi-Fi για εργασία.

8. Επικοινωνία και Αναγνώριση

• Ερωτήσεις/Ανησυχίες ασφαλείας: Επικοινωνία () ή την Ομάδα Πληροφορικής/Ασφάλειας μέσω εσωτερικών καναλιών.
• Αναφορά περιστατικών: Χρησιμοποιήστε επείγουσες μεθόδους: () και (κανάλι Εσωτερικών Ομάδων Εταιρείας 24/7).
• Αναγνώριση: Όλοι οι χρήστες υποχρεούνται να διαβάσουν, να κατανοήσουν και να επιβεβαιώσουν την παραλαβή αυτής της πολιτικής ηλεκτρονικά μέσω (HR Portal, Training System) κατά την εγγραφή τους και μετά από σημαντικές ενημερώσεις. Η μη επιβεβαίωση δεν αναιρεί την εφαρμογή της πολιτικής.