Politika e Sigurisë së Informacionit

Menaxhmenti i SMP Solutions Zrt. (në vijim: Kompania) është i përkushtuar të ruajë dhe të përmirësojë vazhdimisht sigurinë e informacionit, sistemeve IT dhe shërbimeve të lidhura. Qëllimi i Kompanisë është të sigurojë që konfidencialiteti, integriteti dhe disponueshmëria e informacionit dhe sistemeve të përpunimit të informacionit që ajo menaxhon – përfshirë shërbimet dhe mjediset e bazuara në re – të jenë të garantuara në çdo rrethanë, në përputhje me kërkesat e biznesit, rregullatore, kontraktuale dhe të bazuara në standarde.

Fusha e zbatimit të kësaj Politike përfshin të gjithë mjedisin e informacionit dhe të teknologjisë së informacionit të Kompanisë, përdorimin dhe ofrimin e shërbimeve në cloud, si dhe të gjithë punonjësit, partnerët e kontraktuar, furnizuesit dhe palët e tjera të interesuara.

Kompania menaxhon sigurinë e informacionit duke përdorur një qasje të bazuar në rrezik, sipas së cilës masat mbrojtëse të zbatuara përcaktohen në përpjesëtim me ndjeshmërinë e informacionit, rreziqet e biznesit dhe shkallën e kërcënimeve dhe dobësive. Rezultatet e procesit të menaxhimit të rrezikut rishikohen rregullisht nga menaxhmenti i lartë.

Kompania zbaton modelin e përgjegjësisë së përbashkët për shërbimet e reve, sipas të cilit kufijtë e përgjegjësisë midis ofruesit të shërbimit të reve dhe Kompanisë janë të përcaktuara qartë dhe të dokumentuara. Në këtë kuadër, Kompania është përgjegjëse për sigurinë e të dhënave, të drejtave të aksesit, konfigurimeve dhe aplikacioneve që ajo menaxhon.

Kompania siguron që kërkesat e sigurisë të përfshihen në fazat e projektimit dhe zbatimit të sistemeve të saj dhe që, duke iu nënshtruar rishikimit të vazhdueshëm gjatë operimit, ato të përputhen me kërkesat ligjore, standarde dhe kontraktuale.

Detyrat që lidhen me projektimin, zbatimi, operimi dhe monitorimi i sistemeve të informacionit dhe komunikimit, IT dhe sistemeve të informacionit të operuara nga Kompania duhet të kryhen në mënyrë që mbrojtja e sistemeve të përputhet me kërkesat ligjore dhe kostoja e tillë e mbrojtjes të jetë proporcionale me vlerën potenciale të humbjes.

Për këtë qëllim:

Ne kemi projektuar, zbatuar dhe po zhvillojmë në mënyrë të vazhdueshme Sistemin tonë të Menaxhimit të Sigurisë së Informacionit (ISMS) në përputhje me standardin MSZ ISO/IEC 27001:2023, duke marrë parasysh udhëzimet ISO/IEC 27017 dhe 27018 për shërbimet në cloud.
Ne sigurojmë që ndodhja e incidenteve të sigurisë së informacionit të minimizohet, që incidentet të hetohen dhe dokumentohen, dhe që të përmbushen detyrimet ligjore për raportim.
Ne sigurojmë që përdoruesit të jenë të vetëdijshëm për kërcënimet ndaj sigurisë së informacionit dhe rregullat që u zbatohen atyre.
Ne mbrojmë informacionin dhe pajisjet për përpunimin e tij nga qasja e paautorizuar, ndryshimi, humbja dhe shkatërrimi, përfshirë mjediset e bazuara në re.
Ne operojmë sistemet dhe menaxhojmë ndryshimet në përputhje me procedurat e dokumentuara, duke siguruar që ndryshimet të jenë të gjurmueshme dhe të verifikueshme.
Ne kryejmë prokurimin e sistemeve të reja të informacionit dhe zhvillimin e sistemeve ekzistuese, duke marrë parasysh plotësisht konsideratat e sigurisë së informacionit.
Ne rregullisht vendosim dhe rishikojmë objektiva të matshme për sigurinë e informacionit që mbështesin përmirësimin e vazhdueshëm të IBIR-it.
Ne jemi të përkushtuar të zbatojmë legjislacionin e BE-së dhe të Shteteve Anëtare për përpunimin dhe mbrojtjen e të dhënave personale, si dhe kërkesat specifike në lidhje me përpunimin e të dhënave personale të përcaktuara në kontratat e klientëve që përdorin shërbimet e Kompanisë.
Kur ofrojmë shërbime në re, ne sigurojmë që konfidencialiteti, integriteti dhe disponueshmëria e të dhënave të klientëve të përputhen me standardet e industrisë dhe me kërkesat e ISO/IEC 27017 dhe 27018.
Ne sigurojmë që, në rastin e shërbimeve në re, modeli i përgjegjësisë së përbashkët të jetë qartë i përcaktuar dhe i dokumentuar.
Ne sigurojmë që rreziqet që lindin nga personat e brendshëm të autorizuar (përfshirë stafin e brendshëm dhe të jashtëm dhe furnizuesit me akses në të dhëna) të identifikohen, vlerësohen dhe menaxhohen. Qasja kufizohet në minimumin e nevojshëm, rishikohet rregullisht dhe të gjitha kërkesat për qasje me privilegje regjistrohen.
Ne sigurojmë që të dhënat e përdoruesve të ruhen në mënyrë logjikisht të ndarë, me masa të përshtatshme sigurie, madje edhe në një mjedis me qira-marrës të shumtë.
Ne sigurojmë që vetëm personeli i autorizuar të ketë akses në të dhënat e klientëve brenda shërbimit në re dhe që çdo akses të regjistrohet. Ne rishikojmë rregullisht të drejtat e aksesit për t'u siguruar që të mbetet vetëm niveli i nevojshëm i aksesit. Ne sigurojmë mbrojtjen e të dhënave të klientëve përmes masave teknike dhe organizative të përshtatshme me rrezikun, në përputhje me parimet e menaxhimit të aksesit dhe kërkesat për mbrojtjen e të dhënave.
Në rastin e aksesit të privilegjuar dhe administrativ, zbatojmë kontrolle të bazuara në rrezik (p.sh. autentifikim të fortë, regjistrim, rishikime të rregullta).
Ne sigurojmë që i gjithë cikli jetësor i llogarive që mbajnë klientët që përdorin shërbimin tonë në cloud – krijimi, modifikimi, pezullimi dhe përfundimi – të kryhet në përputhje me proceset e rregulluara dhe të dokumentuara. Dhënia dhe tërheqja e të drejtave të aksesit kryhen në mënyrë të kontrolluar, duke siguruar që aksesimi të jetë i kufizuar në minimum të nevojshëm.
Në rast të ndryshimeve që ndikojnë në shërbimet e reve – veçanërisht ato që lidhen me sigurinë, konfigurimin ose ndryshimet operative – ne sigurojmë që klientët të informohen në kohë dhe në mënyrë transparente. Kjo komunikatë do të detajojë natyrën e ndryshimit, ndikimin e tij dhe çdo veprim të nevojshëm nga ana e klientit.
Në mjedise virtualizimi, ne sigurojmë izolim logjik, menaxhim të rrezikut dhe konfigurim të sigurt të makinave virtuale dhe kontejnerëve. Qasja në shtresën e virtualizimit kontrollohet rreptësisht dhe regjistrohet, dhe ndryshimet në konfigurime mund të gjurmohen në mënyrë të dokumentuar.
Ne menaxhojmë tërë ciklin e jetës së llogarive të përdoruesve në mënyrë të kontrolluar.
Ne sigurojmë që shërbimet e reve të regjistrohen dhe monitorohen, dhe që ngjarjet të analizohen në mënyrë të rregullt.
Në rast të një incidenti të sigurisë së informacionit, ne do të njoftojmë menjëherë klientët e prekur dhe, brenda kornizës ligjore dhe kontraktuale, do të bashkëpunojmë me autoritetet dhe klientët për të mbështetur hetimet. Ruajtja dhe dorëzimi i të dhënave të regjistrave dhe i informacionit të rëndësishëm të nevojshëm për hetimet forenzike kryhen në mënyrë të rregulluar.
Ne informojmë përdoruesit mbi veçoritë specifike të përdorimit të shërbimeve në re, me vëmendje të veçantë ndaj aksesit të ofruesit, funksionimit me shumë qiramarrës dhe aksesit të privilegjuar.
Kur përdorim shërbimet e reve, ne sigurojmë që qasja të jetë e kufizuar, konfigurimet të mbeten të sigurta, menaxhimi i rrezikut të jetë i vazhdueshëm, dhe ofruesi i shërbimit të reve të veprojë vetëm brenda një kornize të përshtatshme sigurie dhe ligjore.
Të dhënat ruhen dhe përpunohen ekskluzivisht në vende gjeografike që përmbushin kërkesat e BE-së dhe legjislacionin përkatës.

Budapest, 15 qershor 2026.

Edward László Papp, Drejtor i Përgjithshëm Ekzekutiv