Politika sigurnosti informacija

Menadžment kompanije SMP Solutions Zrt. (u daljem tekstu: Kompanija) posvećen je održavanju i kontinuiranom poboljšanju sigurnosti informacija, IT sistema i povezanih usluga. Cilj Kompanije je osigurati da su povjerljivost, cjelovitost i dostupnost informacija i sistema za obradu informacija kojima upravlja – uključujući usluge i okruženja zasnovana na oblaku – zajamčeni u svim okolnostima, u skladu sa poslovnim, regulatornim, ugovornim i zahtjevima zasnovanim na standardima.

Obuhvat ove politike proteže se na cjelokupno informaciono i IT okruženje kompanije, korištenje i pružanje usluga zasnovanih na oblaku, te na sve zaposlene, ugovorene partnere, dobavljače i druge zainteresirane strane.

Kompanija upravlja sigurnošću informacija koristeći pristup zasnovan na riziku, prema kojem se primijenjene zaštitne mjere određuju proporcionalno osjetljivosti informacija, poslovnim rizicima i obimu prijetnji i ranjivosti. Rezultate procesa upravljanja rizicima redovno razmatra viši menadžment.

Kompanija primjenjuje model podijeljene odgovornosti za usluge u oblaku, prema kojem su granice odgovornosti između pružatelja usluga u oblaku i Kompanije jasno definirane i dokumentirane. U okviru ovog okvira, Kompanija je odgovorna za sigurnost podataka, prava pristupa, konfiguracija i aplikacija kojima upravlja.

Kompanija osigurava da se sigurnosni zahtjevi uključe u faze projektovanja i implementacije njenih sistema i da, uz stalnu provjeru tokom rada, budu u skladu sa zakonskim, standardnim i ugovornim zahtjevima.

Zadaci koji se odnose na projektovanje, implementacija, rad i nadzor informacione i komunikacione tehnologije, IT i informacionih sistema kojima Društvo upravlja moraju se vršiti na način da zaštita sistema bude u skladu sa zakonskim zahtjevima, a troškovi takve zaštite proporcionalni potencijalnoj vrijednosti gubitka.

U tu svrhu:

Dizajnirali smo, implementirali i kontinuirano razvijamo naš Sistem upravljanja informacionom sigurnošću (ISMS) u skladu sa standardom MSZ ISO/IEC 27001:2023, uzimajući u obzir smjernice ISO/IEC 27017 i 27018 za usluge zasnovane na oblaku.
Osiguravamo da se pojava incidenata informacijske sigurnosti svede na minimum, da se incidenti istraže i dokumentuju, te da se ispune zakonske obaveze izvještavanja.
Osiguravamo da su korisnici svjesni prijetnji informacionoj sigurnosti i pravila koja se na njih primjenjuju.
Štitimo informacije i opremu za obradu informacija od neovlaštenog pristupa, izmjene, gubitka i uništenja, uključujući u okruženjima zasnovanim na oblaku.
Mi upravljamo sistemima i provodimo promjene u skladu s dokumentovanim procedurama, osiguravajući da su promjene praćenje i provjerljive.
Provodimo nabavku novih informacionih sistema i razvoj postojećih sistema uz potpuno uzimanje u obzir aspekata informacione sigurnosti.
Redovno postavljamo i revidiramo mjerljive ciljeve informacione sigurnosti koji podržavaju kontinuirano poboljšanje IBIR-a.
Obavezujemo se da ćemo se pridržavati zakonodavstva EU i država članica o obradi i zaštiti ličnih podataka, kao i posebnih zahtjeva u vezi s obradom ličnih podataka utvrđenih u ugovorima s klijentima koji koriste usluge Kompanije.
Prilikom pružanja usluga u oblaku osiguravamo da tajnost, cjelovitost i dostupnost podataka korisnika budu u skladu sa industrijskim standardima i zahtjevima ISO/IEC 27017 i 27018.
Osiguravamo da je, u slučaju usluga u oblaku, model zajedničke odgovornosti jasno definiran i dokumentiran.
Osiguravamo da se rizici koji proizlaze od ovlaštenih insajdera (uključujući interno i eksterno osoblje te dobavljače s pristupom podacima) identificiraju, procijene i upravljaju. Pristup je ograničen na najmanju moguću mjeru, redovno se pregledava i svi zahtjevi za privilegovani pristup se bilježe.
Osiguravamo da se korisnički podaci pohranjuju na logički odvojen način, uz odgovarajuće sigurnosne mjere, čak i u okruženju s više najmoprimaca.
Osiguravamo da samo ovlašteno osoblje ima pristup podacima korisnika unutar usluge u oblaku i da se sav pristup bilježi. Redovno pregledavamo prava pristupa kako bismo osigurali da ostaje samo neophodan nivo pristupa. Osiguravamo zaštitu podataka korisnika primjenom tehničkih i organizacijskih mjera proporcionalnih riziku, u skladu s principima upravljanja pristupom i zahtjevima zaštite podataka.
U slučaju privilegovanog i administrativnog pristupa primjenjujemo kontrole zasnovane na riziku (npr. jaka autentifikacija, evidentiranje, redovne revizije).
Osiguravamo da se cijeli životni ciklus korisničkih računa koje koriste naši korisnici putem naše cloud usluge – kreiranje, izmjena, obustava i ukidanje – provodi u skladu s reguliranim i dokumentiranim procesima. Dodjela i opoziv prava pristupa odvijaju se na kontroliran način, osiguravajući da je pristup ograničen na najmanju moguću mjeru.
U slučaju promjena koje utiču na usluge u oblaku – posebno onih koje se odnose na sigurnost, konfiguraciju ili operativne promjene – osiguravamo da su korisnici pravovremeno i transparentno obaviješteni. Ova komunikacija će detaljno opisati prirodu promjene, njen utjecaj i sve radnje koje klijent treba poduzeti.
U okruženjima virtualizacije osiguravamo logičku izolaciju, upravljanje rizikom i sigurnu konfiguraciju virtualnih mašina i kontejnera. Pristup sloju virtualizacije je strogo kontrolisan i evidentiran, a promjene u konfiguracijama se mogu pratiti na dokumentovan način.
Upravljamo cijelim životnim ciklusom korisničkih računa na kontroliran način.
Osiguravamo da se usluge u oblaku bilježe i nadziru, te da se događaji redovno analiziraju.
U slučaju incidenta informacijske sigurnosti, odmah ćemo obavijestiti pogođene korisnike i, unutar pravnog i ugovornog okvira, sarađivati s nadležnim organima i korisnicima radi podrške istragama. Čuvanje i predaja log datoteka i relevantnih informacija potrebnih za forenzičke istrage provode se na regulisan način.
Informišemo korisnike o specifičnim karakteristikama korištenja usluga u oblaku, s posebnim osvrtom na pristup pružatelju usluga, višekorisnički rad i privilegovani pristup.
Kada koristimo usluge u oblaku, osiguravamo da je pristup ograničen, da konfiguracije ostaju sigurne, da se upravljanje rizicima odvija kontinuirano i da pružatelj usluga u oblaku posluje isključivo unutar odgovarajućeg sigurnosnog i pravnog okvira.
Podaci se pohranjuju i obrađuju isključivo na geografskim lokacijama koje su u skladu sa zahtjevima EU i relevantnim zakonskim propisima.

Budimpešta, 15. juni 2026.

Edward László Papp, glavni izvršni direktor