سیاست امنیت، محرمانگی و حفاظت از داده‌های سازمانی
پگاه‌سیستم | قدرتمند در یکپارچگی، هنرمند در استقرار
۱. مقدمه
در پگاه‌سیستم، اطلاعات سازمانی از مهم‌ترین دارایی‌های مشتریان محسوب می‌شوند. سامانه‌های برنامه‌ریزی منابع سازمانی (ERP) به دلیل یکپارچه‌سازی فرایندهای مالی، منابع انسانی، زنجیره تأمین، فروش، تولید، مدیریت اسناد و سایر حوزه‌های عملیاتی، با داده‌هایی سروکار دارند که محرمانگی، صحت و دسترس‌پذیری آن‌ها برای تداوم فعالیت سازمان ضروری است.
پگاه‌سیستم حفاظت از داده‌های سازمانی را بخشی از مسئولیت حرفه‌ای خود در طراحی، توسعه، استقرار و پشتیبانی راهکارهای نرم‌افزاری می‌داند. این سیاست، اصول و چارچوب کلی مورد توجه در مدیریت امنیت و محرمانگی اطلاعات را تشریح می‌کند.
۲. دامنه شمول
این سیاست ناظر بر داده‌ها و اطلاعاتی است که مشتریان در چارچوب استفاده از محصولات و خدمات پگاه‌سیستم ایجاد، ثبت، پردازش یا نگهداری می‌کنند؛ از جمله:
- اطلاعات مالی، حسابداری و اسناد تجاری؛
- اطلاعات مشتریان، تأمین‌کنندگان و شرکای تجاری؛
- اطلاعات منابع انسانی، کارکنان، حضور و غیاب و حقوق و دستمزد؛
- اطلاعات فروش، خرید، انبار، تولید و عملیات سازمانی؛
- اسناد، مکاتبات، گردش کارها و سوابق فعالیت‌ها؛
- گزارش‌ها، داشبوردها، شاخص‌های عملکرد و اطلاعات مدیریتی؛
- داده‌های مورد استفاده در قابلیت‌های هوش مصنوعی و هوشمندی سازمانی.
جزئیات تعهدات اجرایی، مسئولیت طرفین و الزامات اختصاصی هر استقرار، تابع قراردادها، توافق‌نامه‌های محرمانگی، مشخصات فنی و سایر اسناد مورد توافق میان پگاه‌سیستم و مشتری خواهد بود.
۳. اصول بنیادین حفاظت از اطلاعات
۳.۱. محرمانگی اطلاعات
اطلاعات سازمانی مشتریان باید صرفاً در چارچوب مجوزهای تعریف‌شده، اهداف مورد توافق و مسئولیت‌های مرتبط مورد دسترسی و استفاده قرار گیرند.
اطلاعات محرمانه مشتریان نباید بدون مجوز یا مبنای قانونی و قراردادی مناسب، در اختیار اشخاص غیرمجاز قرار گیرند.
۳.۲. صحت و یکپارچگی داده‌ها
حفظ صحت و یکپارچگی اطلاعات، به‌ویژه در سامانه‌های یکپارچه ERP، اهمیت اساسی دارد. کنترل‌های نرم‌افزاری، مدیریت مجوزها، ثبت تغییرات و سازوکارهای مرتبط، متناسب با قابلیت‌های محصول و پیکربندی استقرار، می‌توانند در کاهش خطر تغییرات غیرمجاز و حفظ قابلیت اتکای داده‌ها مؤثر باشند.
۳.۳. دسترس‌پذیری
دسترسی به اطلاعات و خدمات باید متناسب با نیازهای عملیاتی سازمان و معماری استقرار مدیریت شود. برنامه‌ریزی برای پشتیبان‌گیری، بازیابی اطلاعات و تداوم خدمات، با توجه به الزامات مشتری و امکانات زیرساختی، از موضوعات مهم در مدیریت ریسک عملیاتی است.
۳.۴. حداقل دسترسی موردنیاز
اصل حداقل دسترسی به این معناست که هر کاربر یا نقش سازمانی، صرفاً به اطلاعات و قابلیت‌هایی دسترسی داشته باشد که برای انجام مسئولیت‌های خود نیاز دارد؛ مشروط بر آنکه این کنترل‌ها در محصول و پیکربندی مربوط پشتیبانی و فعال شده باشند.
۴. مدیریت دسترسی کاربران
مدیریت کاربران و مجوزهای دسترسی یکی از ارکان مهم امنیت در سامانه‌های ERP است.
در چارچوب قابلیت‌های محصول و تنظیمات مورد استفاده، مدیریت دسترسی می‌تواند شامل موارد زیر باشد:
- تعریف کاربران و نقش‌های سازمانی؛
- تخصیص مجوزهای متناسب با مسئولیت‌ها؛
- محدودسازی دسترسی به اطلاعات و عملیات مشخص؛
- مدیریت تغییرات دسترسی هنگام تغییر مسئولیت یا قطع همکاری کاربران؛
- بررسی و بازبینی دوره‌ای مجوزها؛
- استفاده از سازوکارهای احراز هویت و کنترل دسترسی پشتیبانی‌شده در معماری استقرار.
مشتری و پگاه‌سیستم، هر یک در حدود مسئولیت‌های قراردادی و فنی خود، در مدیریت صحیح کاربران، مجوزها و اطلاعات احراز هویت نقش دارند.
۵. محرمانگی اطلاعات مشتریان
اطلاعات سازمانی مشتریان که در چارچوب ارائه خدمات در اختیار پگاه‌سیستم قرار می‌گیرند، باید در حدود اهداف و تعهدات مربوط مدیریت شوند.
دسترسی کارکنان یا عوامل مجاز پگاه‌سیستم به داده‌های مشتری، در صورت ضرورت برای استقرار، پشتیبانی، عیب‌یابی، نگهداری یا ارائه خدمات مورد توافق، باید در حدود مجوزها و مسئولیت‌های مربوط باشد.
هرگونه استفاده مستقل از اطلاعات محرمانه مشتری، خارج از اهداف مجاز و تعهدات مربوط، مستلزم وجود مجوز یا مبنای قانونی و قراردادی مناسب است.
۶. میزبانی، زیرساخت و محل نگهداری داده‌ها
محل نگهداری و نحوه پردازش داده‌های ERP به معماری و شیوه استقرار سامانه بستگی دارد. بسته به راهکار انتخاب‌شده، زیرساخت می‌تواند در محیط تحت مدیریت مشتری یا در زیرساخت میزبانی‌شده توسط ارائه‌دهندگان خدمات مربوط قرار داشته باشد.
مسئولیت‌های مرتبط با امنیت سرورها، شبکه، پایگاه داده، سیستم‌عامل، تجهیزات، دسترسی‌های مدیریتی و سایر اجزای زیرساخت باید بر اساس معماری واقعی استقرار و توافق طرفین مشخص شوند.
مشتریان باید پیش از بهره‌برداری، از محل نگهداری داده‌ها، محدوده مسئولیت هر طرف و نحوه مدیریت دسترسی‌های زیرساختی آگاه باشند.
۷. پشتیبان‌گیری و بازیابی اطلاعات
پشتیبان‌گیری و امکان بازیابی اطلاعات، از الزامات مهم کاهش ریسک از دست رفتن داده‌ها و اختلال در فعالیت‌های سازمانی است.
برنامه پشتیبان‌گیری باید با توجه به اهمیت سامانه، حجم و حساسیت داده‌ها، ظرفیت زیرساخت، الزامات کسب‌وکار و توافق‌های طرفین تعیین شود.
مواردی که باید در برنامه پشتیبان‌گیری و بازیابی مشخص شوند عبارت‌اند از:
- تناوب و محدوده تهیه نسخه‌های پشتیبان؛
- محل نگهداری نسخه‌های پشتیبان و کنترل دسترسی به آن‌ها؛
- مدت نگهداری نسخه‌ها؛
- مسئولیت اجرای عملیات پشتیبان‌گیری؛
- نحوه آزمون و ارزیابی امکان بازیابی؛
- اهداف زمانی بازیابی خدمات و میزان قابل‌قبول از دست رفتن داده‌ها، در صورت توافق طرفین.
صرف تهیه نسخه پشتیبان، تضمین‌کننده امکان بازیابی موفق نیست؛ بنابراین آزمون دوره‌ای فرایند بازیابی و بررسی سلامت نسخه‌های پشتیبان اهمیت دارد.
۸. ثبت رویدادها و قابلیت پیگیری
ثبت رویدادهای سیستمی و عملیاتی، در صورت پشتیبانی و فعال بودن قابلیت‌های مربوط، می‌تواند به شناسایی خطاها، بررسی رخدادهای امنیتی و پیگیری تغییرات کمک کند.
نوع رویدادهای ثبت‌شده، سطح جزئیات، مدت نگهداری سوابق و افراد مجاز به مشاهده آن‌ها، به قابلیت‌های محصول، تنظیمات استقرار، ظرفیت زیرساخت و الزامات قراردادی بستگی دارد.
سوابق ثبت‌شده نیز باید در برابر دسترسی یا تغییر غیرمجاز، متناسب با سطح ریسک حفاظت شوند.
۹. امنیت در استفاده از هوش مصنوعی
با توسعه قابلیت‌های هوش مصنوعی در راهکارهای سازمانی، نحوه دسترسی و پردازش داده‌ها توسط این قابلیت‌ها اهمیت ویژه‌ای دارد.
در استفاده از دستیارهای هوش مصنوعی، ابزارهای تحلیل داده و قابلیت‌های تولید گزارش یا پاسخ، موارد زیر باید با توجه به معماری و تنظیمات واقعی محصول مشخص شوند:
- محدوده اطلاعاتی که قابلیت هوش مصنوعی مجاز به دسترسی به آن‌هاست؛
- رعایت مجوزهای کاربر در دسترسی به داده‌های سازمانی؛
- نوع اطلاعات ارسالی به مدل‌ها یا سرویس‌های هوش مصنوعی؛
- استفاده از مدل‌های محلی یا سرویس‌های بیرونی؛
- محل پردازش و نگهداری اطلاعات؛
- شرایط نگهداری داده‌ها توسط ارائه‌دهندگان سرویس‌های ثالث؛
- نحوه ثبت، پایش و بررسی فعالیت‌های مرتبط با این قابلیت‌ها.
در صورت استفاده از سرویس‌های هوش مصنوعی متعلق به اشخاص ثالث، انتقال داده‌ها و شرایط پردازش آن‌ها باید بر اساس معماری فنی، تنظیمات سرویس، شرایط ارائه‌دهنده و توافق‌های مربوط بررسی شود.
مشتریان باید از وارد کردن اطلاعات محرمانه در قابلیت‌هایی که وضعیت پردازش داده‌های آن‌ها مشخص نشده است، خودداری کنند. همچنین خروجی‌های تولیدشده توسط هوش مصنوعی، متناسب با حساسیت تصمیم و کاربرد سازمانی، باید پیش از استفاده نهایی بررسی شوند.
۱۰. به‌روزرسانی، نگهداری و مدیریت آسیب‌پذیری‌ها
مدیریت امنیت سامانه‌های سازمانی مستلزم توجه مستمر به وضعیت نرم‌افزار، زیرساخت، تنظیمات و وابستگی‌های فنی است.
به‌روزرسانی نرم‌افزار، بررسی خطاها، رفع آسیب‌پذیری‌های شناسایی‌شده و مدیریت تغییرات باید متناسب با چرخه انتشار محصول، معماری استقرار و توافق‌های پشتیبانی انجام شوند.
مشتری و پگاه‌سیستم باید در محدوده مسئولیت‌های خود، الزامات مربوط به به‌روزرسانی، دسترسی‌های فنی، تغییرات زیرساختی و مدیریت ریسک‌های امنیتی را رعایت کنند.
۱۱. مدیریت رخدادهای امنیتی
در صورت شناسایی یا گزارش یک رخداد امنیتی مرتبط با سامانه، موضوع باید متناسب با ماهیت رخداد، سطح اثرگذاری و مسئولیت‌های تعیین‌شده بررسی شود.
اقدامات مرتبط، حسب مورد، می‌توانند شامل بررسی اولیه، محدودسازی آثار رخداد، حفظ شواهد فنی، تحلیل علت، بازیابی خدمات و اطلاع‌رسانی به طرف‌های ذی‌ربط باشند.
نحوه اطلاع‌رسانی، زمان‌بندی، مسئولیت رسیدگی و اقدامات اصلاحی باید با توجه به قرارداد، شرایط استقرار و الزامات قانونی قابل اعمال تعیین شود.
۱۲. نگهداری، انتقال و حذف داده‌ها
داده‌های سازمانی باید بر اساس نیازهای عملیاتی، تعهدات قراردادی و الزامات قانونی نگهداری شوند.
در پایان همکاری یا هنگام تغییر سامانه، نحوه تحویل، انتقال، دسترسی، نگهداری یا حذف اطلاعات باید بر اساس قرارداد و توافق‌های مربوط مشخص شود.
حذف داده‌ها باید با توجه به محل ذخیره‌سازی، نسخه‌های پشتیبان، الزامات نگهداری قانونی و محدودیت‌های فنی انجام شود. پایان دسترسی کاربران یا خاتمه قرارداد، لزوماً به معنای حذف فوری تمامی نسخه‌های داده از همه زیرساخت‌ها و نسخه‌های پشتیبان نیست.
۱۳. مسئولیت‌های مشترک مشتری و پگاه‌سیستم
حفاظت مؤثر از داده‌های سازمانی مستلزم همکاری مشتری و ارائه‌دهنده نرم‌افزار است.
مسئولیت‌های مشتری، حسب معماری و توافق طرفین، می‌تواند شامل موارد زیر باشد:
- مدیریت کاربران، مجوزها و اطلاعات احراز هویت؛
- حفاظت از تجهیزات و زیرساخت تحت مدیریت خود؛
- تعیین طبقه‌بندی و سطح محرمانگی اطلاعات؛
- تهیه و نگهداری نسخه‌های پشتیبان در محدوده مسئولیت خود؛
- رعایت رویه‌های امنیتی و گزارش رخدادهای مشکوک؛
- تعیین مجوزهای لازم برای پردازش و اشتراک‌گذاری داده‌ها.
مسئولیت‌های پگاه‌سیستم، در محدوده تعهدات قراردادی و خدمات ارائه‌شده، می‌تواند شامل موارد زیر باشد:
- توسعه و نگهداری محصولات مطابق مشخصات و تعهدات مربوط؛
- ارائه راهنمایی‌های فنی و پشتیبانی در محدوده قرارداد؛
- رعایت تعهدات محرمانگی مرتبط با اطلاعات دریافتی؛
- رسیدگی به مشکلات و رخدادهای گزارش‌شده در محدوده مسئولیت خود؛
- ارائه اطلاعات لازم درباره قابلیت‌های امنیتی و الزامات فنی محصول.
تعیین مسئولیت نهایی هر طرف باید بر اساس قرارداد، معماری استقرار و شرایط واقعی ارائه خدمات صورت گیرد.
۱۴. انطباق با الزامات قانونی و قراردادی
پردازش و حفاظت از داده‌ها باید با قوانین و مقررات قابل اعمال، تعهدات قراردادی و الزامات مرتبط با نوع فعالیت مشتری سازگار باشد.
در سازمان‌هایی که الزامات خاصی در زمینه محرمانگی، نگهداری سوابق، دسترسی به اطلاعات یا محل ذخیره‌سازی داده‌ها دارند، این الزامات باید پیش از استقرار یا توسعه سامانه بررسی و در صورت توافق، در طراحی و پیکربندی راهکار لحاظ شوند.
۱۵. بازنگری سیاست
این سیاست ممکن است متناسب با تغییرات محصولات، فناوری‌ها، معماری استقرار، الزامات امنیتی و تعهدات قراردادی بازنگری شود.
نسخه به‌روز سیاست از طریق وب‌سایت رسمی پگاه‌سیستم یا سایر مسیرهای توافق‌شده در اختیار ذی‌نفعان قرار خواهد گرفت.
۱۶. ارتباط با پگاه‌سیستم
برای دریافت اطلاعات بیشتر درباره امنیت، محرمانگی و حفاظت از داده‌ها در محصولات و خدمات پگاه‌سیستم، می‌توانید از طریق راه‌های ارتباطی رسمی درج‌شده در وب‌سایت شرکت اقدام کنید.
وب‌سایت: https://www.pegahsystem.com
پگاه‌سیستم
قدرتمند در یکپارچگی، هنرمند در استقرار