Politika bezbednosti informacija

Uprava kompanije SMP Solutions Zrt. (u daljem tekstu: Kompanija) posvećena je održavanju i kontinuiranom unapređenju bezbednosti informacija, IT sistema i povezanih usluga. Cilj Kompanije je da obezbedi da poverljivost, integritet i dostupnost informacija i sistema za obradu informacija kojima upravlja – uključujući oblačne usluge i okruženja – budu zagarantovani u svim okolnostima, u skladu sa poslovnim, regulatornim, ugovornim i zahtevima zasnovanim na standardima.

Opseg ove politike obuhvata celokupno informaciono i IT okruženje Kompanije, korišćenje i pružanje usluga zasnovanih na oblaku, kao i sve zaposlene, ugovorene partnere, dobavljače i druge zainteresovane strane.

Kompanija upravlja bezbednošću informacija primenjujući pristup zasnovan na riziku, pri čemu se zaštitne mere koje se sprovode određuju proporcionalno osetljivosti informacija, poslovnim rizicima i obimu pretnji i ranjivosti. Rezultate procesa upravljanja rizicima redovno pregleda više rukovodstvo.

Kompanija primenjuje model zajedničke odgovornosti za oblačne usluge, prema kojem su granice odgovornosti između pružaoca oblačnih usluga i Kompanije jasno definisane i dokumentovane. U okviru ovog okvira, Kompanija je odgovorna za bezbednost podataka, prava pristupa, konfiguracija i aplikacija kojima upravlja.

Kompanija obezbeđuje da se zahtevi za bezbednost uključe u faze projektovanja i implementacije svojih sistema i da, uz kontinuirani pregled tokom rada, budu u skladu sa zakonskim, standardnim i ugovornim zahtevima.

Zadatke koji se odnose na projektovanje, implementacija, rad i nadgledanje informaciono-komunikacionih tehnologija, IT i informacionih sistema kojima upravlja Kompanija moraju se sprovoditi na način koji obezbeđuje da zaštita sistema bude u skladu sa zakonskim zahtevima, a troškovi te zaštite proporcionalni potencijalnoj visini gubitka.

U tu svrhu:

Dizajnirali smo, implementirali i kontinuirano razvijamo naš Sistem upravljanja bezbednošću informacija (ISMS) u skladu sa standardom MSZ ISO/IEC 27001:2023, uzimajući u obzir smernice ISO/IEC 27017 i 27018 za usluge zasnovane na oblaku.
Obezbeđujemo da se pojava incidenata informacione bezbednosti svede na minimum, da se incidenti istraže i dokumentuju i da se ispune zakonske obaveze izveštavanja.
Obezbeđujemo da su korisnici upoznati sa pretnjama bezbednosti informacija i pravilima koja se na njih odnose.
Zaštitimo informacije i opremu za obradu informacija od neovlašćenog pristupa, izmene, gubitka i uništenja, uključujući i u oblačnim okruženjima.
Mi upravljamo sistemima i upravljamo promenama u skladu sa dokumentovanim procedurama, obezbeđujući da su promene praćene i proverljive.
Sprovodimo nabavku novih informacionih sistema i razvoj postojećih sistema uz puno uzimanje u obzir pitanja informacione bezbednosti.
Redovno postavljamo i pregledamo merljive ciljeve informacione bezbednosti koji podržavaju kontinuirano unapređenje IBIR-a.
Posvećeni smo poštovanju zakonodavstva EU i država članica o obradi i zaštiti ličnih podataka, kao i posebnih zahteva u vezi sa obradom ličnih podataka utvrđenih u ugovorima sa klijentima koji koriste usluge Kompanije.
Pri pružanju oblačnih usluga osiguravamo da poverljivost, integritet i dostupnost podataka korisnika budu u skladu sa industrijskim standardima i zahtevima ISO/IEC 27017 i 27018.
Obezbeđujemo da je, u slučaju oblačnih usluga, model zajedničke odgovornosti jasno definisan i dokumentovan.
Obezbeđujemo da se rizici koji nastaju od ovlašćenih unutrašnjih lica (uključujući interne i eksterne zaposlene i dobavljače sa pristupom podacima) identifikuju, procene i upravljaju. Pristup je ograničen na minimum potreban, redovno se pregleda i svi zahtevi za privilegovan pristup se evidentiraju.
Obezbeđujemo da se podaci korisnika čuvaju na logički odvojen način, uz primenjive bezbednosne mere, čak i u okruženju sa više korisnika.
Obezbeđujemo da samo ovlašćeno osoblje ima pristup podacima kupaca u oblačnom servisu i da se svaki pristup evidentira. Redovno pregledamo prava pristupa kako bismo osigurali da je zadržan samo neophodan nivo pristupa. Obezbeđujemo zaštitu podataka korisnika kroz tehničke i organizacione mere proporcionalne riziku, u skladu sa principima upravljanja pristupom i zahtevima za zaštitu podataka.
U slučaju privilegovanog i administrativnog pristupa, primenjujemo kontrole zasnovane na riziku (npr. jaka autentikacija, evidentiranje, redovne revizije).
Obezbeđujemo da se ceo životni ciklus naloga koje koriste korisnici naše oblačne usluge – kreiranje, izmena, obustava i prekid – sprovodi u skladu sa regulisanim i dokumentovanim procesima. Dodeljivanje i oduzimanje prava pristupa vrši se kontrolisano, obezbeđujući da je pristup ograničen na minimum neophodan.
U slučaju promena koje utiču na oblačne usluge – naročito onih koje se odnose na bezbednost, konfiguraciju ili operativne izmene – mi obezbeđujemo da korisnici budu blagovremeno i transparentno obavešteni. Ova komunikacija će detaljno opisati prirodu promene, njeno uticanje i sve radnje koje korisnik treba da preduzme.
U okruženjima za virtualizaciju obezbeđujemo logičku izolaciju, upravljanje rizicima i bezbednu konfiguraciju virtuelnih mašina i kontejnera. Pristup sloju virtuelizacije je strogo kontrolisan i evidentiran, a izmene konfiguracija mogu se pratiti na dokumentovan način.
Mi upravljamo celim životnim ciklusom korisničkih naloga na kontrolisan način.
Obezbeđujemo da se oblačni servisi evidentiraju i nadgledaju, i da se događaji redovno analiziraju.
U slučaju incidenta u oblasti informacione bezbednosti, odmah ćemo obavestiti pogođene korisnike i, u okviru zakonskih i ugovornih okvira, sarađivati sa nadležnim organima i korisnicima u podršci istragama. Čuvanje i predaja log podataka i relevantnih informacija potrebnih za forenzičke istrage vrše se na regulisan način.
Informišemo korisnike o specifičnim karakteristikama korišćenja oblačnih usluga, sa posebnim osvrtom na pristup provajderu, rad u višenajmnom okruženju i privilegovan pristup.
Pri korišćenju oblačnih usluga, obezbeđujemo da je pristup ograničen, da konfiguracije ostaju bezbedne, da se upravljanje rizicima neprekidno sprovodi, i da provajder oblačnih usluga posluje isključivo u okviru odgovarajućeg bezbednosnog i pravnog okvira.
Podaci se čuvaju i obrađuju isključivo na geografskim lokacijama koje su u skladu sa zahtevima EU i važećim zakonskim propisima.

Budimpešta, 15. jun 2026.

Edward László Papp, izvršni direktor