Politika informacijske varnosti

Vodstvo družbe SMP Solutions Zrt. (v nadaljevanju: družba) se zavzema za ohranjanje in nenehno izboljševanje varnosti informacij, informacijskih sistemov in s tem povezanih storitev. Cilj družbe je, da so zaupnost, celovitost in razpoložljivost informacij, ki jih upravlja, ter sistemov za obdelavo informacij – vključno s storitvami in okolji v oblaku – zagotovljene v vseh okoliščinah, v skladu s poslovnimi, zakonskimi, pogodbenimi in standardnimi zahtevami.

Ta politika velja za celotno informacijsko in informacijsko-tehnološko okolje družbe, za uporabo in zagotavljanje storitev v oblaku ter za vse zaposlene, pogodbene partnerje, dobavitelje in druge zainteresirane strani.

Družba obravnava informacijsko varnost na podlagi pristopa, ki temelji na tveganju, pri čemer se zaščitni ukrepi določajo sorazmerno z občutljivostjo informacij, poslovnimi tveganji ter obsegom groženj in ranljivosti. Rezultate procesa obvladovanja tveganj vodstvo redno pregleduje.

Družba pri storitvah v oblaku uporablja model deljene odgovornosti, v katerem so meje odgovornosti med ponudnikom storitev v oblaku in družbo jasno opredeljene in dokumentirane. V tem okviru je družba odgovorna za varnost podatkov, dostopov, konfiguracij in aplikacij, ki jih upravlja.

Družba zagotavlja, da se varnostne zahteve upoštevajo že v fazi načrtovanja in uvajanja sistemov ter da med delovanjem, ob stalnem pregledovanju, ustrezajo zakonskim, standardnim in pogodbenim zahtevam.

Naloge v zvezi z načrtovanjem, uvedbo, obratovanje in nadzor sistemov, ki jih upravlja družba, je treba opraviti tako, da je zaščita sistemov v skladu z zakonskimi predpisi, stroški zaščite pa morajo biti sorazmerni z vrednostjo morebitne škode.

V ta namen:

Naš sistem upravljanja informacijske varnosti (IBIR) smo zasnovali, vzpostavili in ga nenehno izpopolnjujemo v skladu s standardom MSZ ISO/IEC 27001:2023, pri čemer upoštevamo priporočila ISO/IEC 27017 in 27018 v zvezi s storitvami v oblaku.
Skrbimo za zmanjšanje števila incidentov na področju informacijske varnosti, za dokumentirano preiskovanje incidentov ter za izpolnjevanje obveznosti poročanja v skladu z zakonodajo.
Zagotavljamo, da so uporabniki seznanjeni z grožnjami za varnost informacij in s pravili, ki veljajo zanje.
Zaščitimo podatke in naprave za obdelavo podatkov pred nepooblaščenim dostopom, spremembami, izgubo in uničenjem, vključno z oblačnimi okolji.
Upravljanje sistemov in upravljanje sprememb izvajamo v skladu z dokumentiranimi postopki, s čimer zagotavljamo sledljivost in nadzorljivost sprememb.
Nakup novih informacijskih sistemov in razvoj obstoječih sistemov izvajamo ob popolnem upoštevanju vidikov informacijske varnosti.
Redno določamo in pregledujemo merljive cilje na področju informacijske varnosti, ki podpirajo nenehno izboljševanje sistema IBIR.
Zavezani smo k spoštovanju zakonodaje EU in držav članic o obdelavi in varstvu osebnih podatkov ter posebnih zahtev glede obdelave osebnih podatkov, ki so določene v pogodbah s strankami, ki uporabljajo storitve družbe.
Pri zagotavljanju storitev v oblaku zagotavljamo, da zaupnost, celovitost in razpoložljivost podatkov strank ustrezajo industrijskim standardom ter zahtevam standardov ISO/IEC 27017 in 27018.
Poskrbimo, da bo pri storitvah v oblaku model deljene odgovornosti jasno opredeljen in dokumentiran.
Poskrbimo, da se tveganja, ki izhajajo iz pooblaščenih notranjih oseb (vključno z notranjimi in zunanjimi sodelavci ter dobavitelji, ki imajo dostop do podatkov), prepoznajo, ocenijo in obvladujejo. Dostop je omejen na nujno potrebno, se redno pregleduje, vsaka uporaba privilegiranega dostopa pa se beleži v dnevnik.
Poskrbimo, da se podatki uporabnikov shranjujejo logično ločeno, tudi v okolju z več najemniki, ob upoštevanju ustreznih varnostnih ukrepov.
Zagotavljamo, da imajo dostop do podatkov strank v oblačni storitvi izključno pooblaščene osebe in da se vsak dostop beleži v dnevniku. Dostopne pravice redno pregledujemo, da ostane veljaven le dostop v potrebnem obsegu. Zaščito podatkov strank zagotavljamo s tehničnimi in organizacijskimi ukrepi, ki so sorazmerni z tveganjem, v skladu z načeli upravljanja dostopa in zahtevami varstva podatkov.
V primeru privilegiranega in administrativnega dostopa uporabljamo nadzorne ukrepe, sorazmerne z tveganjem (npr. močna avtentifikacija, beleženje, redni pregledi).
Poskrbimo, da celoten življenjski cikel računov strank, ki uporabljajo storitve v oblaku – odprtje, sprememba, začasna prekinitev, zaprtje – poteka v skladu z urejenimi in dokumentiranimi postopki. Dodeljevanje in preklic pooblastil poteka na nadzorovan način, kar zagotavlja minimalno potrebni dostop.
V primeru sprememb v zvezi z oblačnimi storitvami – zlasti varnostnih, konfiguracijskih ali operativnih sprememb – zagotavljamo, da bodo stranke pravočasno in na pregleden način obveščene. Obvestilo vsebuje opis narave spremembe, njen vpliv ter morebitne ukrepe, ki jih morajo sprejeti stranke.
V virtualizacijskih okoljih zagotavljamo logično ločevanje, obvladovanje tveganj ter varno konfiguracijo virtualnih strojev in kontejnerjev. Dostop do virtualizacijskega sloja je strogo nadzorovan in beležen, spremembe konfiguracij pa je mogoče dokumentirano spremljati.
Celoten življenjski cikel uporabniških računov upravljamo na nadzorovan način.
Skrbimo za beleženje in spremljanje storitev v oblaku ter za redno analizo dogodkov.
V primeru incidenta na področju informacijske varnosti nemudoma obvestimo prizadete stranke ter v okviru zakonodajnih in pogodbenih določb sodelujemo z organi in strankami, da bi podprli preiskave. Hranjenje in posredovanje dnevniških podatkov ter relevantnih informacij, potrebnih za forenzične preiskave, poteka na predpisan način.
Uporabnike obveščamo o posebnostih uporabe storitev v oblaku, zlasti glede dostopov ponudnikov, delovanja v večnajemniški strukturi in privilegiranih dostopov.
Pri uporabi storitev v oblaku zagotavljamo, da je dostop omejen, da konfiguracije ostanejo varne, da je obvladovanje tveganj neprekinjeno in da ponudnik storitev v oblaku deluje le v ustreznem varnostnem in pravnem okolju.
Shranjevanje in obdelava podatkov potekata izključno na geografskih lokacijah, ki izpolnjujejo zahteve EU in ustrezne zakonske predpise.

Budimpešta, 15. junija 2026.

Edward László Papp, generalni direktor