Information security
Overview
Uprava tvrtke SMP Solutions Zrt. (u nastavku: Tvrtka) posvećena je održavanju i kontinuiranom poboljšanju sigurnosti informacija, IT sustava i povezanih usluga. Cilj Društva je osigurati da su povjerljivost, cjelovitost i dostupnost informacija i sustava za obradu informacija kojima upravlja – uključujući usluge i okruženja u oblaku – zajamčeni u svim okolnostima, u skladu s poslovnim, regulatornim, ugovornim i zahtjevima utemeljenim na standardima.
Područje primjene ove Politike obuhvaća cjelokupno informacijsko i IT okruženje Društva, korištenje i pružanje usluga u oblaku te sve zaposlenike, ugovorene partnere, dobavljače i ostale dionike.
Tvrtka upravlja sigurnošću informacija primjenom pristupa temeljenog na riziku, prema kojem se provedene zaštitne mjere određuju proporcionalno osjetljivosti informacija, poslovnim rizicima i opsegu prijetnji i ranjivosti. Rezultate procesa upravljanja rizicima redovito pregledava više rukovodstvo.
Tvrtka primjenjuje model podijeljene odgovornosti za usluge u oblaku, prema kojem su granice odgovornosti između pružatelja usluga u oblaku i Tvrtke jasno definirane i dokumentirane. Unutar ovog okvira, Društvo je odgovorno za sigurnost podataka, prava pristupa, konfiguracija i aplikacija kojima upravlja.
Tvrtka osigurava da se sigurnosni zahtjevi uključe u faze projektiranja i implementacije svojih sustava te da, uz stalnu provjeru tijekom rada, budu u skladu sa zakonskim, standardnim i ugovornim zahtjevima.
Zadaci koji se odnose na projektiranje, implementacija, rad i nadzor informacijske i komunikacijske tehnologije, IT i informacijskih sustava kojima Društvo upravlja moraju se provoditi na način da zaštita sustava bude u skladu sa zakonskim zahtjevima, a trošak takve zaštite proporcionalan potencijalnoj vrijednosti štete.
U tu svrhu:
- Dizajnirali smo, implementirali i kontinuirano razvijamo naš Sustav upravljanja informacijskom sigurnošću (ISMS) u skladu sa standardom MSZ ISO/IEC 27001:2023, uzimajući u obzir smjernice ISO/IEC 27017 i 27018 za usluge u oblaku.
- Osiguravamo da se pojava incidenata informacijske sigurnosti svede na najmanju moguću mjeru, da se incidenti istraže i dokumentiraju te da se ispune zakonske obveze izvještavanja.
- Osiguravamo da su korisnici svjesni prijetnji informacijskoj sigurnosti i pravila koja se na njih primjenjuju.
- Štitimo informacije i opremu za obradu informacija od neovlaštenog pristupa, izmjene, gubitka i uništenja, uključujući u okruženjima u oblaku.
- Mi upravljamo sustavima i provodimo promjene u skladu s dokumentiranim procedurama, osiguravajući da su promjene praćenje i provjerljive.
- Provodimo nabavu novih informacijskih sustava i razvoj postojećih sustava uz potpuno uzimanje u obzir sigurnosnih aspekata informacija.
- Redovito postavljamo i revidiramo mjerljive ciljeve informacijske sigurnosti koji podržavaju kontinuirano poboljšanje IBIR-a.
- Obvezujemo se poštivati zakonodavstvo EU i država članica o obradi i zaštiti osobnih podataka, kao i posebne zahtjeve u vezi s obradom osobnih podataka utvrđene u ugovorima s klijentima koji koriste usluge Društva.
- Prilikom pružanja usluga u oblaku osiguravamo da tajnost, cjelovitost i dostupnost podataka korisnika budu u skladu sa standardima industrije i zahtjevima normi ISO/IEC 27017 i 27018.
- Osiguravamo da je kod usluga u oblaku model zajedničke odgovornosti jasno definiran i dokumentiran.
- Osiguravamo da se rizici koji proizlaze od ovlaštenih insajdera (uključujući interno i eksterno osoblje te dobavljače s pristupom podacima) identificiraju, procijene i upravljaju. Pristup je ograničen na najmanju moguću mjeru, redovito se pregledava i svi zahtjevi za privilegirani pristup se bilježe.
- Osiguravamo da se korisnički podaci pohranjuju na logički odvojen način, uz odgovarajuće sigurnosne mjere, čak i u okruženju s više najmoprimaca.
- Osiguravamo da samo ovlašteno osoblje ima pristup podacima korisnika unutar usluge u oblaku i da se sav pristup bilježi. Redovito pregledavamo prava pristupa kako bismo osigurali da ostane samo nužna razina pristupa. Osiguravamo zaštitu podataka korisnika primjenom tehničkih i organizacijskih mjera proporcionalnih riziku, u skladu s načelima upravljanja pristupom i zahtjevima zaštite podataka.
- U slučaju privilegiranog i administrativnog pristupa primjenjujemo kontrole temeljene na riziku (npr. jaka autentifikacija, evidentiranje, redovite provjere).
- Osiguravamo da se cijeli životni ciklus korisničkih računa koje koriste naši korisnici putem naše usluge u oblaku – stvaranje, izmjena, obustava i ukidanje – provodi u skladu s reguliranim i dokumentiranim procesima. Dodjela i opoziv prava pristupa provode se na kontroliran način, osiguravajući da je pristup ograničen na najmanju moguću mjeru.
- U slučaju promjena koje utječu na usluge u oblaku – osobito onih koje se odnose na sigurnost, konfiguraciju ili operativne promjene – osiguravamo da su korisnici pravovremeno i transparentno obaviješteni. Ova će komunikacija detaljno opisati prirodu promjene, njezin utjecaj i sve radnje koje klijent treba poduzeti.
- U okruženjima virtualizacije osiguravamo logičku izolaciju, upravljanje rizikom i sigurnu konfiguraciju virtualnih strojeva i kontejnera. Pristup sloju virtualizacije strogo se kontrolira i bilježi, a promjene u konfiguracijama mogu se pratiti na dokumentiran način.
- Upravljamo cjelokupnim životnim ciklusom korisničkih računa na kontroliran način.
- Osiguravamo da se usluge u oblaku bilježe i nadziru te da se događaji redovito analiziraju.
- U slučaju incidenta informacijske sigurnosti, odmah ćemo obavijestiti pogođene korisnike i, unutar zakonskog i ugovornog okvira, surađivati s nadležnim tijelima i korisnicima radi podrške istragama. Čuvanje i predaja zapisničkih podataka i relevantnih informacija potrebnih za forenzičke istrage provode se na reguliran način.
- Obavještavamo korisnike o specifičnim značajkama korištenja usluga u oblaku, s posebnim osvrtom na pristup pružatelju usluga, višekorisničko okruženje i privilegirani pristup.
- Kada koristimo usluge u oblaku, osiguravamo da je pristup ograničen, konfiguracije ostaju sigurne, upravljanje rizicima je kontinuirano, a pružatelj usluga u oblaku posluje isključivo unutar odgovarajućeg sigurnosnog i pravnog okvira.
- Podaci se pohranjuju i obrađuju isključivo na geografskim lokacijama koje su u skladu s pravnim zahtjevima EU i relevantnim zakonima.
Budimpešta, 15. lipnja 2026.
Edward László Papp, glavni izvršni direktor