NIS2 atbilstība un kiberdrošības pasākumi

1. NIS2 atbilstības pārskats

Files.fm uztur kiberdrošības un informācijas drošības ietvaru, kas atbilst ES Tīklu un informācijas drošības direktīvas mērķiem. Mūsu drošības pieeja ietver tehniskās, organizatoriskās un procesuālās kontroles, kas paredzētas klientu datu, pakalpojumu pieejamības, sistēmu, tīklu un uzņēmējdarbības aizsardzībai.

Mēs regulāri pārskatām un uzlabojam savus drošības pasākumus atbilstoši mainīgajām normatīvajām, operatīvajām un apdraudējumu prasībām.

• Informācijas drošības pārvaldība un atbildība
• Kiberdrošības risku pārvaldība
• Incidentu atklāšana, reaģēšana un eskalācija
• Ievainojamību atklāšana un koordinēta rīcība
• Piekļuves kontrole un autentifikācijas drošības pasākumi
• Infrastruktūras uzraudzība un reģistrēšana
• Dublēšanas, atkopšanas un uzņēmējdarbības nepārtrauktības procedūras
• Piegādātāju un trešo pušu risku apzināšanās
• Datu aizsardzības un privātuma kontroles

2. Informācijas drošības ietvars

Files.fm ievēro dokumentētu kiberdrošības un informācijas drošības praksi, kas aptver pārvaldību, risku novērtēšanu, tehniskās kontroles, uzraudzību, reaģēšanu uz incidentiem, darbinieku atbildību un pakalpojumu nepārtrauktību. Šie pasākumi ir paredzēti drošas mākoņkrātuves, failu pārsūtīšanas, satura sadarbības un uzņēmuma dokumentu darbplūsmu atbalstam.

• Noteikti iekšējie pienākumi drošības un infrastruktūras darbībās
• Uz riskiem balstīta pieeja sistēmu, tīkla un datu aizsardzībai
• Dokumentētas drošības politikas un darbības procedūras
• Regulāra infrastruktūras, piekļuves un pakalpojumu konfigurācijas pārskatīšana
• Drošības uzraudzība, reģistrēšana un brīdināšana galvenajās sistēmās
• Pakalpojumu nepārtrauktības nodrošināšanai dublēšanas un atkopšanas plānošana

3. Kiberdrošība un tehniskie pasākumi

Files.fm piemēro slāņveida tehniskos drošības pasākumus, lai aizsargātu savu platformu, infrastruktūru un klientu datus.

• Šifrēta HTTPS/TLS piekļuve lietotājiem paredzētiem pakalpojumiem
• Droša konta autentifikācija un piekļuves kontroles mehānismi
• Uz lomām un atļaujām balstīta piekļuves pārvaldība biznesa lietotājiem
• Kontrolēta failu koplietošana ar privātām saitēm, paroles aizsardzību, derīguma termiņa opcijām un piekļuves ierobežojumiem, ja piemērojams
• Infrastruktūras uzraudzība, SIEM un žurnālu pārskatīšana
• Serveru nostiprināšana un drošas konfigurācijas prakse
• Ļaunprogrammatūras un ļaunprātīgas izmantošanas novēršanas pasākumi, ja piemērojami
• Dublēšanas, atkopšanas un datu saglabāšanas vadīklas
• Drošības atjauninājumi un ievainojamību novēršanas procesi
• Audita un darbību reģistrēšana attiecīgajām biznesa un administratīvajām darbībām

4. Drošības politikas dokumentācija

Files.fm uztur ar drošību saistītu dokumentāciju, politikas un procedūras, kas aptver pieņemamu lietošanu, privātumu, datu aizsardzību, drošības pienākumus, incidentu apstrādi un pakalpojumu sniegšanas noteikumus.

• Noteikumi un juridiskā informācija: files.fm/terms
• Ar privātumu saistītā dokumentācija ir pieejama noteikumu un juridiskās informācijas lapās.
• Drošības kontaktinformācija un ievainojamību atklāšanas informācija ir pieejama, izmantojot files.fm/security.txt.

5. Incidentu reaģēšanas procedūras

Files.fm uztur incidentu reaģēšanas procedūras kiberdrošības incidentu identificēšanai, novērtēšanai, eskalēšanai, mazināšanai un dokumentēšanai. Šīs procedūras ir paredzētas, lai atbalstītu savlaicīgu reaģēšanu uz drošības notikumiem, kas ietekmē sistēmas, pakalpojumus, klientu datus vai uzņēmējdarbības nepārtrauktību.

• Drošības notikumu identificēšana un triāža
• Iekšējā eskalācija atbildīgajam tehniskajam un vadības personālam
• Ietekmes novērtējums un ierobežošana
• Koriģējošās un atjaunošanas darbības
• Saziņa ar iesaistītajām pusēm, kad tas nepieciešams
• Incidentu dokumentēšana un turpmākie uzlabojumi
• Pēc būtiskiem incidentiem gūtās pieredzes pārskats

6. Ievainojamību atklāšanas politika

Files.fm atbalsta atbildīgu un koordinētu ievainojamību atklāšanu. Drošības pētnieki, klienti un partneri var ziņot par aizdomām par ievainojamībām vai drošības trūkumiem, izmantojot publicētos drošības kontaktu kanālus.

Skatiet files.fm/security.txt vai rakstiet e-pastu uz security@files.fm.

• Ziņojumus pārskata atbildīgā tehniskā komanda.
• Derīgām problēmām tiek piešķirta prioritāte, pamatojoties uz to nopietnību un ietekmi
• Files.fm var pieprasīt papildu tehnisko informāciju, lai reproducētu problēmu.
• Koriģējošās darbības tiek izsekotas iekšēji
• Sagaidāms, ka koordinēta informācijas izpaušana novērsīs kaitējumu lietotājiem, sistēmām vai datiem.

7. Ievainojamību ziņošanas mehānisms

Par drošības problēmām var ziņot tieši uz: security@files.fm.

Vispārīgiem jautājumiem vai ar sensitīvu informāciju nesaistītiem pieprasījumiem lietotāji var izmantot Files.fm kontaktforma.

8. Drošības kontaktinformācija

Files.fm nodrošina skaidrus publiskus saziņas kanālus drošības un atbilstības jautājumos.

• Drošības kontaktpersona: security@files.fm
• Vispārīga kontaktforma: files.fm/contact
• Informācija par drošības ievainojamību atklāšanu: files.fm/security.txt

9. Datu aizsardzība, privātums un juridiskie noteikumi

Files.fm nodrošina pakalpojumu sniegšanas noteikumus, informāciju par privātumu un saistīto juridisko dokumentāciju, izmantojot Files.fm noteikumu lapa. Šajos dokumentos ir aprakstītas svarīgas lietotāju tiesības, pakalpojumu sniegšanas nosacījumi, datu apstrādes principi un saistītā juridiskā informācija.

10. Darbības nepārtrauktība un pakalpojumu noturība

Files.fm uztur darbības praksi, kas paredzēta pakalpojumu pieejamības, datu saglabāšanas, dublēšanas, atjaunošanas un infrastruktūras noturības atbalstam. Šī prakse tiek pārskatīta un uzlabota mūsu pastāvīgā drošības un atbilstības darba ietvaros.

• Dublēšanas un atkopšanas procedūras
• Infrastruktūras uzraudzība
• Jaudas un pieejamības pārvaldība
• Operatīvo incidentu apstrāde
• Izmaiņu vadības un uzturēšanas prakse
• Rezerves risinājumu un noturības plānošana, ja tas ir piemērojams

11. Nepārtraukta pilnveide

Kiberdrošība un atbilstība NIS2 prasībām ir nepārtraukti procesi. Files.fm pastāvīgi pārskata savas drošības kontroles, tehnisko arhitektūru, darbības procedūras un riska pārvaldības praksi, lai uzlabotu lietotāju, datu, sistēmu un pakalpojumu aizsardzību.