Вход
Приложение II к Стандартным договорным положениям. Технические и организационные меры
Для целей Приложения II к Стандартным договорным положениям Компания в качестве импортера данных должна внедрять и соблюдать технические и организационные меры безопасности, изложенные ниже.
Импортер данных должен соблюдать соответствующие технические и организационные меры безопасности, чтобы защищать Данные Meta Platforms от несанкционированной или незаконной обработки, а также от случайной потери, уничтожения либо повреждения. Такие меры должны быть разработаны с учетом характера, объема, контекста и целей обработки, а также связанных с ней рисков.
Кроме того, импортер данных должен соблюдать описанные ниже требования безопасности, чтобы защитить свои системы, включая физические, технические и административные средства контроля, регулирующие доступ к системам импортера данных и их использование. Должным образом принятые меры, описанные ниже, представляют собой технические и организационные меры безопасности, которые экспортер данных сочтет целесообразными для защиты данных, принимая во внимание характер, объем, контекст и цели обработки, а также потенциальные риски для прав и свобод физических лиц.
Импортер данных должен иметь возможность по запросу экспортера данных описать средства, используемые для соблюдения этих требований безопасности, и иметь в распоряжении соответствующие записи и другие свидетельства, которые позволят экспортеру данных оценить принятые меры безопасности.
Импортер данных несет ответственность за соблюдение своих обязательств в соответствии со Стандартными договорными положениями и настоящим Приложением II к ним и должен иметь возможность подтвердить их соблюдение по запросу экспортера данных.
- Безопасность приложений
Импортер данных должен применять соответствующие меры безопасности, чтобы предотвращать, обнаруживать и устранять угрозы или недостатки в своих продуктах и услугах на протяжении всего жизненного цикла разработки.
В соответствующих случаях к таким мерам могут относиться:
А. Правила безопасного кодирования, о которых уведомляются все разработчики.
Б. Периодическое обучение разработчиков методикам безопасного кодирования.
В. Для всего программного обеспечения собственной разработки — средства контроля для выявления, сортировки, отслеживания и устранения уязвимостей или ошибок в коде с помощью статических и динамических инструментов и проверки кода вручную.
Г. Отдельные среды для производства и разработки.
- a. Анонимизация производственных данных, используемых в средах разработки или тестирования, либо применение при тестировании и разработке средств контроля, аналогичных производственным.
Д. Использование стандартных шаблонов конфигураций защиты для приложений, основанных на базах данных.
- Управление IT-объектами
Импортер данных должен активно управлять устройствами в своей сети путем инвентаризации, отслеживания и устранения проблем, чтобы доступ предоставлялся только авторизованным устройствам благодаря выявлению неавторизованных устройств и предотвращения их доступа к защищенным системам, приложениям и данным.
В соответствующих случаях к таким мерам могут относиться:
А. Одобренные каналы и определенные процедуры приобретения IT-объектов, включая отправку запроса на приобретение и согласование покупки.
Б. Ведение инвентаризации IT-объектов, отслеживание всех IT-объектов на протяжении их жизненного цикла.
В. Процедуры управления IT-объектами по окончании срока службы, направленные на очистку и уничтожение всего выведенного из эксплуатации производственного оборудования и энергонезависимых запоминающих устройств, в том числе сертификация очистки и уничтожения, где это необходимо.
Г. Внедрение решения для управления мобильными устройствами, обеспечивающего контролируемый доступ к сетям с возможностью удаленно стирать данные с потерянных или украденных мобильных устройств.
Д. Реализация жизненного цикла разработки системы для управления системами.
Е. Периодические проверки на наличие несанкционированного, нелицензионного и неподдерживаемого оборудования или программного обеспечения.
- Непрерывность бизнес-процессов и аварийное восстановление
Импортер данных должен защищать критически важные бизнес-процессы от влияния серьезных сбоев или отказов информационных систем и обеспечивать их своевременное возобновление после инцидентов. Такие меры должны включать требования к обеспечению постоянной доступности и устойчивой работы систем и служб обработки, а также к способности своевременно восстанавливать доступ к данным после инцидентов.
В соответствующих случаях к таким мерам могут относиться:
А. Реализация программы аварийного восстановления, направленной на повышение устойчивости информационных систем к сбоям и отказам.
- a. Внедрение планов реагирования (реагирование на инциденты и непрерывность бизнес-процессов) и восстановления (восстановление после инцидентов и аварийное восстановление), а также управление ими.
- b. Назначение сотрудников, ответственных за разработку и улучшение средств аварийного восстановления.
- c. Планирование достаточной пропускной способности для обеспечения доступности.
Б. Осуществление резервного копирования данных для возобновления работы системы в случае сбоя.
В. Репликация данных между несколькими дата-центрами по всему миру или региону, а также автоматическая маршрутизация и балансировка нагрузки сетевого трафика на основе задержек и результатов проверок работоспособности сети.
Г. Регулярные тесты аварийного восстановления, а также работы по обновлению и улучшению процессов аварийного восстановления, основанные на результатах этих тестов.
- Соблюдение требований безопасности, правила и риски
Импортер данных должен согласовывать цели безопасности с бизнес-целями, а также c применимыми законами и постановлениями путем создания и ведения соответствующей документации, при этом эффективно управляя рисками и соблюдая требования о соответствии.
В соответствующих случаях к таким мерам могут относиться:
А. Создание руководящей команды по безопасности, в состав которой входят основные участники, отвечающие за разработку, соблюдение и постоянное развитие программы обеспечения информационной безопасности с помощью единой системы правил, стандартов, руководств и средств контроля.
Б. Соблюдение свода правил информационной безопасности, основанных на стандартной нормативной базе.
- a. Разработка требований безопасности в соответствии с рисками и конкретных рекомендаций по безопасности, оформленных в виде политики.
- b. Разработка руководства по соблюдению требований и рекомендаций.
- c. Процедуры, касающиеся жизненного цикла политики (разработка, внедрение, соблюдение и управление исключениями).
В. Регулярная оценка соответствия правилам, методологиям и нормативным требованиям безопасности.
Г. Реализация программы по снижению рисков, включающей процедуры оценки рисков и управления ими.
-
a. Использование данных, полученных в результате сканирования уязвимостей, тестирования на проникновение и проверки безопасности продуктов, для выявления рисков.
-
Управление конфигурацией
Импортер данных должен принимать меры для последовательного и безопасного конфигурирования систем и приложений.
В соответствующих случаях к таким мерам могут относиться:
А. Поддержание параметров конфигурации, включая базовые конфигурации безопасности, для серверов, мобильных устройств и сетевых устройств.
- a. Базовые конфигурации хранятся в центральном репозитории и определяют, какие службы доступны в каждой системе и как эти службы должны быть настроены.
- b. Для сетевых устройств устанавливаются стандартные конфигурации.
- c. Системы регулярно проверяются на соответствие базовым конфигурациям безопасности.
Б. Руководство конфигурациями безопасности с помощью процедур управления конфигурациями и контроля изменений.
- Управление изменениями
Импортер данных должен принимать меры, чтобы внесение изменений в критически важные системы гарантированно соответствовало утвержденным процедурам и отслеживалось с помощью инструментов контроля версий.
В соответствующих случаях к таким мерам могут относиться:
А. Формальная процедура управления изменениями и внутренняя система отслеживания для инициирования, регистрации, проверки, утверждения и тестирования изменений системы и конфигурации.
B. Отслеживание изменений в течение определенного периода до окончательного внедрения во все производственные системы.
- Безопасность данных
Импортер данных должен принимать меры безопасности, чтобы обеспечить конфиденциальность, целостность и доступность данных на протяжении всего их жизненного цикла от создания до удаления.
Такие меры должны быть разработаны для обеспечения конфиденциальности и целостности систем и служб обработки и включать требования к защите данных (такие как применение шифрования) во время передачи и хранения.
В соответствующих случаях к таким мерам могут относиться:
А. Внедрение правил и стандартов, в частности стандартов классификации данных, требующих применения соответствующих средств контроля безопасности и доступа с учетом типа данных, бизнес-потребностей, характера и цели обработки, требований закона, а также ролей и обязанностей сторон, получающих доступ.
- a. Несоблюдение таких правил может привести к применению формальных дисциплинарных мер.
B. Правила, в которых определяется разрешенный и запрещенный обмен данными на основе классификации данных.
В. Документально оформленные правила и/или процедура шифрования.
Г. Защита данных при хранении с помощью шифрования в случае необходимости.
Д. Шифрование паролей при хранении и передаче.
Е. Полное шифрование дисков или файлов на всех управляемых ноутбуках и мобильных устройствах.
Ж. Шифрование данных при передаче по общедоступным сетям с использованием надежных протоколов.
З. Защита съемных носителей и ограничение их использования согласно правилам.
- Управление идентификационными данными и доступом
Импортер данных должен внедрять технические и организационные меры для обеспечения безопасности на протяжении всего жизненного цикла управления идентификационными данными и доступом, обеспечивая доступ уполномоченных лиц к данным и системам через правильные каналы.
В соответствующих случаях к таким мерам могут относиться:
А. Привязка идентификационных данных пользователя к уникальному аккаунту и ограничение доступа в зависимости от роли; предоставление повышенных прав доступа, например прав администратора или суперпользователя, которые дают полный контроль над критически важными системами управления идентификационными данными и доступом, только уполномоченным сотрудникам.
B. Управление правами доступа и получением разрешений с учетом принципов наименьших привилегий и разделения обязанностей.
- a. Разработка процедур для проведения регулярных проверок доступа.
В. Использование систем управления идентификационными данными или служб каталогов для управления учетными данными для доступа к аккаунтам, включая аккаунты с повышенными привилегиями.
Г. Запрет передачи учетных данных неавторизованным лицам, а также хранения на неавторизованных устройствах или небезопасным образом.
Д. Регистрация изменений уровней доступа в целях анализа и расследования.
Е. Автоматическое отключение доступа к аккаунтам с помощью учетных данных сотрудникам, в том числе подрядчикам и временным рабочим, в день их увольнения.
Ж. Соответствие паролей требованиям к сложности паролей, указанным в стандартах или правилах управления паролями.
З. Включение многофакторной аутентификации.
И. Криптографическая или иная защита паролей пользователей при хранении и передаче.
К. Изменение всех паролей по умолчанию перед запуском любого нового IT-объекта.
- Регистрация и отслеживание
Импортер данных должен обеспечить эффективное генерирование, защиту и проверку журналов безопасности для выявления и расследования подозрительных событий в производственных и корпоративных системах.
В соответствующих случаях к таким мерам могут относиться:
А. Системы регистрации и отслеживания, предназначенные для генерирования журналов событий, позволяющих обнаруживать действия, связанные с безопасностью.
B. Сбор и сопоставление данных о событиях из нескольких источников и с нескольких датчиков.
В. Отправка журналов в системы удаленной агрегации журналов.
Г. Синхронизация часов с одним указанным источником времени.
Д. Защита журналов при передаче в случае необходимости.
Е. Защита журналов против несанкционированных изменений или доступа.
Ж. Резервное копирование журналов в соответствии с определенными графиками и правилами хранения.
З. Внедрение процедур, гарантирующих, что уведомления от систем обнаружения направляются уполномоченным сотрудникам службы безопасности для расследования и в случае необходимости передаются по инстанции.
И. Применение программного обеспечения для мониторинга конечных точек с целью регистрации и отслеживания действий, совершаемых с управляемыми IT-объектами.
К. Внедрение облачных служб отслеживания.
- Сетевая безопасность
Импортер данных должен применять меры для безопасного проектирования, защиты вспомогательной сетевой инфраструктуры (включающей брандмауэры, маршрутизаторы, коммутаторы и связанную с ними инфраструктуру) и управления ею, а также для защиты информации, передаваемой в его сетях, от несанкционированного доступа.
В соответствующих случаях к таким мерам могут относиться:
А. Использование безопасных протоколов удаленного доступа к критически важным системам, таких как одобренный VPN-клиент и многофакторная аутентификация.
B. Использование брандмауэров, фильтрации на уровне хостов, технологий обнаружения и смягчения последствий DDoS-атак, технологий защиты от спуфинга по периметру и на границах информационных систем.
В. Применение систем обнаружения и предотвращения вторжений в сеть, постоянно дополняемых обновленными файлами сигнатур известных уязвимостей и шаблонов атак.
- a. Отслеживание доступа посторонних лиц, несанкционированных подключений, устройств и программного обеспечения.
Г. Регулярные проверки конфигураций брандмауэров и маршрутизаторов (в том числе автоматическое сканирование портов для обнаружения служб) для подтверждения соответствия конфигураций применимым требованиям безопасности.
- a. Разрешение доступа к конфигурациям сетевых устройств только уполномоченным сотрудникам.
Д. Сегментация сети для защиты конфиденциальных данных или в случае необходимости выделение отдельной беспроводной сети для личных и непроверенных устройств.
- Кадровая безопасность
Импортер данных должен применять процедуры, определяющие ожидания в отношении надежности сотрудников и их обязанности по обеспечению безопасности до трудоустройства, во время работы и после увольнения.
В соответствующих случаях к таким мерам могут относиться:
А. Проверка биографических данных сотрудников и подрядчиков до приема на работу.
B. Подписание сотрудниками и подрядчиками соглашений о неразглашении до приема на работу.
В. Обучение новых сотрудников правилам и процедурам информационной безопасности, а также последующее обучение, связанное с должностными обязанностями, по необходимости.
Г. Постоянное обучение сотрудников мерам и правилам безопасности на протяжении всего периода занятости.
Д. Возврат IT-объектов при увольнении или расторжении контракта.
- Физическая безопасность
Импортер данных должен принимать меры для предотвращения несанкционированного физического доступа к IT-объектам и системам организации, чтобы защитить их от повреждения, ненадлежащего использования, уничтожения или кражи. Эти меры включают требования к физической безопасности мест обработки данных.
В соответствующих случаях к таким мерам могут относиться:
А. Процедуры управления посещениями, которые предусматривают регистрацию посетителей на стойке администратора, предъявление действующего удостоверения личности и подписание соглашения о неразглашении или предоставление одобренного исключения на других основаниях.
- a. Постоянное сопровождение посетителей, находящихся на территории, сотрудниками компании.
B. Возможность ежедневно и круглосуточно контролировать объекты и реагировать на предупреждения физической безопасности с помощью систем видеонаблюдения, сигнализации и охраны территории.
C. Контроль доступа с помощью пропусков, выдаваемых сотрудникам, посетителям, стажерам, подрядчикам и поставщикам.
D. Отслеживание доступа к зонам повышенного риска с помощью усовершенствованных физических и электронных средств, а также предоставление права доступа по пропускам исключительно сотрудникам в зависимости от необходимости такого доступа.
E. Использование дата-центрами в случае необходимости дополнительных мер безопасности, включая биометрические устройства.
F. Необходимость получения предварительного разрешения для доступа к зонам повышенного риска, таким как дата-центры, серверные помещения или пункты обработки платежей.
- a. Регулярный пересмотр разрешений на доступ.
G. Защита оборудования дата-центров от повреждений, разрушений и/или перебоев в работе под действием факторов окружающей среды. К таким мерам относятся перечисленные ниже.
-
a. Средства управления температурой и влажностью для контроля и поддержания надлежащих условий окружающей среды.
-
b. Оборудование для обнаружения и тушения пожаров во всех дата-центрах.
-
c. Вторичные источники резервного питания (UPS или CPS), резервные генераторные установки и источники резервного питания для телекоммуникационных систем для обеспечения работы критически важных систем в случае отключения энергоснабжения.
-
Реагирование на инциденты безопасности
Импортер данных должен принимать меры для эффективной подготовки к инцидентам безопасности, реагирования на них и дальнейшего применения полученного опыта.
В соответствующих случаях к таким мерам могут относиться:
А. Наличие формально определенного плана реагирования на инциденты безопасности для обнаружения и регистрации инцидентов безопасности, установления их приоритетности, а также реагирования на них, включая распределение ролей и обязанностей.
- a. Включение в планы реагирования процедур эскалации и изоляции или сдерживания.
B. Совершенствование планов и процедур восстановления за счет применения полученного опыта в будущих мероприятиях.
C. Регулярное тестирование, пересмотр и обновление планов реагирования на инциденты.
D. Проведение обучения, позволяющего сотрудникам и подрядчикам выявлять инциденты безопасности и сообщать о них.
- Безопасность в случае стороннего доступа
Импортер данных должен принимать меры по защите данных, доступных сторонним организациям или поставщикам, передаваемых им, обрабатываемых или управляемых ими.
В соответствующих случаях к таким мерам могут относиться:
А. Процедуры проведения комплексной проверки поставщиков услуг, которые могут получить доступ к данным, для оценки пригодности их стандартов безопасности данных для защиты данных.
B. Проведение оценки и аудита безопасности сторонних лиц сотрудниками службы безопасности на основании ряда факторов.
C. Определение тщательности оценки для каждого стороннего лица в зависимости от типа данных, которые может обрабатывать поставщик, и характера предполагаемого доступа.
-
a. Устранение критических проблем, выявленных в процессе оценки, до предоставления доступа поставщику.
-
b. В зависимости от уровня конфиденциальности данных, передаваемых поставщику услуг, и других факторов поставщику услуг может быть необходимо проходить периодическую или выборочную оценку безопасности.
-
Управление уязвимостями
Импортер данных должен принимать меры по предотвращению, обнаружению и устранению уязвимостей программного обеспечения в своей корпоративной и производственной инфраструктуре, в том числе процедуры регулярного тестирования, оценки и анализа уязвимостей, чтобы обеспечить безопасность обработки.
В соответствующих случаях к таким мерам могут относиться:
А. Разработка и внедрение программы управления уязвимостями и патчами.
B. Регулярное сканирование уязвимостей как во внутренних, так и во внешних системах для выявления уязвимостей и оценки рисков.
C. Помощь владельцам затронутых продуктов или систем в устранении уязвимостей в соответствии с уровнем серьезности и регламентированным объемом услуг.
D. Механизм, позволяющий сторонним лицам сообщать об уязвимостях в вашем программном обеспечении, приложении или оборудовании.
E. Регулярное проведение тестов на проникновение для оценки критически важных систем и процессов на предмет уязвимостей.
F. Использование централизованно управляемого и регулярно обновляемого антивирусного программного обеспечения.
- Принципы защиты данных и права субъектов данных
Импортер данных должен принимать меры, которые обеспечат, что Персональные данные:
А. являются достаточными, актуальными и неизбыточными для целей их обработки;
B. являются точными и при необходимости обновляются; при этом принимаются все разумные меры для незамедлительного удаления или исправления персональных данных, являющихся неточными, учитывая цели, для которых они обрабатываются.
Импортер данных должен принимать соответствующие меры по хранению и удалению персональных данных согласно соответствующим правилам хранения в их последней редакции и в соответствии с требованиями применимого закона.
Импортер данных должен принимать соответствующие меры, которые помогут экспортеру данных в выполнении его обязательств относительно запросов на удаление и перенос данных, в том числе использовать распространенные форматы файлов и инструменты, позволяющие пользователям воспользоваться своими правами на доступ к данным и их перенос.
Русский English (UK) Українська Suomi 中文(简体) Deutsch العربية Türkçe Français (France) Español Português (Brasil)
ЗарегистрироватьсяВходMessengerFacebook LiteВидеоMeta PayМагазин MetaMeta QuestRay-Ban MetaMeta AIMuseInstagramThreadsПолитика конфиденциальностиЦентр конфиденциальностиИнформацияСоздать объявлениеСоздать СтраницуРазработчикамВакансииФайлы cookieРекламные предпочтенияУсловия использованияСправкаЗагрузка контактов и лица, не являющиеся пользователями