Політика інформаційної безпеки

Товариство з обмеженою відповідальністю «Охорона праці діджитал» (Bezpeco) розробляє та надає платформу, у якій підприємства ведуть охорону праці, зокрема дані про здоровʼя та підписи працівників. Захист цих даних — умова нашої роботи, а не додаткова опція. Ця політика визначає наші зобовʼязання у сфері інформаційної безпеки й затверджена директором.

Мета та область

Політика поширюється на розробку, хостинг і підтримку платформи Bezpeco (сайт, кабінет, серверна частина), розгортання на інфраструктурі клієнтів, внутрішні системи, персонал і підрядників.

Ми будуємо систему управління інформаційною безпекою відповідно до ISO/IEC 27001:2022 з доповненнями ISO/IEC 27017 (хмарні послуги) та ISO/IEC 27018 (захист персональних даних у хмарі) і готуємося до сертифікації у 2027 році.

Наші зобовʼязання

1. Конфіденційність. Доступ до даних клієнтів мають лише ті, кому він потрібен для надання послуг, і лише в потрібному обсязі.
2. Цілісність. Документи й підписи не змінюються непомітно. Для юридично значущих дій використовуються кваліфіковані електронні підписи.
3. Доступність. Ми робимо щоденні резервні копії й маємо план відновлення. Цільові показники наведені в Угоді про рівень обслуговування.
4. Відповідність законодавству про захист персональних даних, захист інформації, електронні довірчі послуги та вимогам договорів з клієнтами.
5. Управління ризиками. Ризики оцінюємо щонайменше раз на рік і при суттєвих змінах, заходи обираємо відповідно до ризику.
6. Постійне вдосконалення. Проводимо внутрішні аудити, аналізуємо інциденти й перевіряємо ефективність заходів.

Основні заходи

• Шифрування всього трафіку (HTTPS/TLS).
• Багатофакторна автентифікація в хмарних консолях, репозиторіях коду, базах даних і пошті.
• Розмежування доступу за ролями в межах кожного підприємства.
• Логічна ізоляція даних кожного клієнта.
• Застосування сертифікованого криптографічного модуля UAPKI (Експертний висновок ДССЗЗІ № 04/05/02-2096, ДСТУ 4145-2002) з локальним виконанням у браузері без передачі ключів (Zero-Knowledge). Детальніше — у Регламенті КЕП.
• Щоденне автоматичне резервне копіювання.
• Журнали подій для розслідування інцидентів.
• Зобовʼязання конфіденційності для персоналу та підрядників.
• Відомий і опублікований перелік субобробників.
• Процедура реагування на інциденти з повідомленням клієнта протягом 24 годин.

Ролі

Відповідальним за інформаційну безпеку та захист персональних даних призначено директора. Кожен працівник і підрядник зобовʼязаний дотримуватися цієї політики та повідомляти про події безпеки. Порушення політики тягне дисциплінарну або договірну відповідальність.

Для клієнтів

• Розподіл обовʼязків між нами та клієнтом описує Модель спільної відповідальності.
• Обробку персональних даних за дорученням клієнта регулює Договір про обробку персональних даних.
• Порядок застосування КЕП та експертний висновок ДССЗЗІ наведено в Регламенті електронного підпису.
• На запит під зобовʼязання конфіденційності надаємо опис заходів захисту й заповнюємо опитувальники з безпеки. Звертайтеся на admin@bezpeco.com.ua.

Повідомлення про вразливості й інциденти

Якщо ви знайшли вразливість, дійте за Політикою відповідального розкриття вразливостей. Про підозру на інцидент пишіть на admin@bezpeco.com.ua.

Перегляд

Політику переглядаємо щонайменше раз на рік, а також після суттєвих змін в організації, технологіях чи законодавстві.