Политика за информационна сигурност

Ръководството на SMP Solutions Zrt. (наричано по-нататък: „Дружеството“) е ангажирано с поддържането и непрекъснатото подобряване на сигурността на информацията, ИТ-системите и свързаните с тях услуги. Целта на Дружеството е да гарантира поверителността, целостта и достъпността на управляваните от него информация и системи за обработка на информация – включително облачните услуги и среди – при всички обстоятелства, в съответствие с бизнес, нормативните, договорните и стандартизираните изисквания.

Обхватът на настоящата политика обхваща цялата информационна и ИТ среда на дружеството, използването и предоставянето на облачни услуги, както и всички служители, договорни партньори, доставчици и други заинтересовани страни.

Дружеството управлява информационната сигурност чрез подход, основан на риска, при който прилаганите защитни мерки се определят пропорционално на чувствителността на информацията, бизнес рисковете, както и степента на заплахите и уязвимостите. Резултатите от процеса на управление на риска се преразглеждат редовно от ръководството.

При облачните услуги Дружеството прилага модела на споделена отговорност, при който границите на отговорността между доставчика на облачни услуги и Дружеството са ясно определени и документирани. В този контекст Дружеството носи отговорност за сигурността на управляваните от него данни, достъпи, конфигурации и приложения.

Дружеството гарантира, че изискванията за сигурност се спазват още на етапа на проектиране и внедряване на системите и че по време на експлоатацията, при непрекъснат контрол, те отговарят на законовите, нормативните и договорните изисквания.

Задачите, свързани с проектирането, въвеждането, експлоатацията и контрола на информационно-комуникационните, информационните и информационните системи, управлявани от Дружеството, трябва да се извършват по начин, при който защитата на системите отговаря на законовите изисквания, а разходите за защита са съразмерни на потенциалния размер на щетите.

За тази цел:

Ние проектирахме, внедрихме и непрекъснато усъвършенстваме нашата система за управление на информационната сигурност (IBIR) в съответствие със стандарта MSZ ISO/IEC 27001:2023, като взехме предвид препоръките ISO/IEC 27017 и 27018, отнасящи се до облачните услуги.
Ние се грижим за намаляване на честотата на инцидентите, свързани с информационната сигурност, за документираното разследване на инцидентите, както и за спазването на задълженията за докладване съгласно законодателството.
Ние гарантираме, че потребителите са запознати с заплахите за информационната сигурност и с правилата, които се отнасят за тях.
Ние защитаваме информацията и средствата за обработка на информация от неоторизиран достъп, промяна, загуба и унищожаване, включително и в облачните среди.
Експлоатацията на системите и управлението на промените се извършват съгласно документирани процедури, като по този начин се осигурява проследимостта и контролируемостта на промените.
Придобиването на нови информационни системи и усъвършенстването на съществуващите системи се извършват при пълно спазване на изискванията за информационна сигурност.
Редовно определяме и преразглеждаме измерими цели в областта на информационната сигурност, които подпомагат непрекъснатото усъвършенстване на IBIR.
Ние се ангажираме да спазваме законодателството на ЕС и на държавите-членки относно обработката и защитата на личните данни, както и конкретните изисквания за обработката на лични данни, заложени в договорите с клиентите, ползващи услугите на Дружеството.
При предоставянето на облачни услуги гарантираме, че поверителността, целостта и достъпността на данните на клиентите отговарят на отрасловите стандарти и изискванията на ISO/IEC 27017 и 27018.
Ние се грижим моделът на споделена отговорност при облачните услуги да бъде ясно определен и документиран.
Ние се грижим за това рисковете, произтичащи от оторизираните лица с вътрешна информация (включително вътрешни и външни служители, както и доставчици, които имат достъп до данните), да бъдат идентифицирани, оценени и управлявани. Достъпът се ограничава до необходимия минимум, редовно се преразглежда и всяко използване на привилегирован достъп се регистрира.
Ние се грижим съхранението на данните на потребителите да се извършва в логически изолирана среда, дори и в мулти-наемателска среда, като се прилагат подходящи мерки за защита.
Гарантираме, че достъп до данните на клиентите на облачната услуга имат единствено упълномощените лица и че всеки достъп се регистрира. Редовно преразглеждаме правата за достъп, за да се гарантира, че остава в сила само необходимият обхват на достъп. Осигуряваме защитата на данните на клиентите чрез технически и организационни мерки, съобразени с риска, в съответствие с принципите за управление на достъпа и изискванията за защита на данните.
В случаите на привилегирован и административен достъп прилагаме контролни мерки, съобразени с риска (например, строга автентификация, водене на логове, редовни проверки).
Ние се грижим целият жизнен цикъл на акаунтите на клиентите, ползващи облачните услуги – създаване, промяна, спиране, закриване – да протича съгласно регулирани и документирани процеси. Предоставянето и отнемането на права се извършва по контролиран начин, като се осигурява минимално необходимият достъп.
При промени, засягащи облачните услуги – особено промени, свързани със сигурността, конфигурацията или функционирането – ние гарантираме, че клиентите ще бъдат информирани навреме и по прозрачен начин. Съобщението съдържа информация за характера на промяната, нейното въздействие и евентуалните действия, които клиентите трябва да предприемат.
В виртуализираните среди осигуряваме логическа изолация, управление на рисковете, както и сигурна конфигурация на виртуалните машини и контейнерите. Достъпът до виртуализационния слой е строго контролиран и регистриран, а промените в конфигурациите могат да се проследяват по документиран начин.
Управляваме целия жизнен цикъл на потребителските профили по контролиран начин.
Ние се грижим за воденето на логове, мониторинга и редовния анализ на събитията, свързани с облачните услуги.
В случай на инцидент, свързан с информационната сигурност, незабавно уведомяваме засегнатите клиенти и, с цел подпомагане на разследванията – в рамките на законовите и договорните разпоредби – сътрудничим с компетентните органи и клиентите. Съхранението и предоставянето на данните от логовете и съответната информация, необходими за съдебните разследвания, се извършват по регламентиран начин.
Информираме потребителите за особеностите при използването на облачните услуги, като обръщаме специално внимание на достъпа на доставчиците, многонаемателската архитектура и привилегирования достъп.
При използването на облачни услуги гарантираме, че достъпът е ограничен, конфигурациите остават сигурни, управлението на риска е непрекъснато и доставчикът на облачни услуги работи само в подходяща среда от гледна точка на сигурността и законодателството.
Съхранението и обработката на данните се извършват изключително в географски райони, които отговарят на изискванията на ЕС и на приложимото законодателство.

Будапеща, 15 юни 2026 г.

Edward László Papp, главен изпълнителен директор