Politika informacijske sigurnosti

Politika informacijske sigurnosti:

• Postavlja opće ciljeve i načela zaštite informacija
• Definira obveze svih sudionika
• Povezuje poslovne ciljeve Reducos-a s mjerama informacijske sigurnosti

Ova politika primjenjuje se na cijeli opseg ISMS-a REDUCOS SOFTWARE J.D.O.O., što uključuje:

• Plodie digitalnu platformu i sve instance tržnice (npr. Plodovi.hr, Growtovcani.com, e-Selo.hr, AjmoLokalno.hr i druge)
• Fakturo aplikaciju za izdavanje i primanje e-računa
• Sve povezane baze podataka, cloud infrastrukturu i pomoćne usluge (e-pošta, repozitoriji koda, log servisi, sustavi dokumentacije)
• Službene krajnje uređaje zaposlenika i suradnika koji se koriste za rad na navedenim sustavima
• Sve poslovne procese i aktivnosti koje utječu na povjerljivost, integritet i dostupnost informacija u navedenom kontekstu

Politika se primjenjuje na sve zaposlenike, vanjske suradnike i druge osobe koje imaju pristup informacijama i sustavima obuhvaćenim ISMS-om.

Osnovni ciljevi informacijske sigurnosti u tvrtki su:

Za postizanje toga, organizacija se obvezuje:

• Uspostaviti i održavati ISMS u skladu s ISO/IEC 27001:2022
• Provoditi redovite procjene rizika i primjenjivati odgovarajuće kontrole
• Poštivati zakonske i regulatorne zahtjeve (posebno GDPR i propise vezane uz e-račune)
• Kontinuirano poboljšavati mjere i procese informacijske sigurnosti

ISMS u organizaciji temelji se na sljedećim načelima:

• Usklađenost s poslovanjem – Sigurnosne mjere moraju podržavati i olakšavati poslovne ciljeve (razvoj i pružanje Plodie i Fakturo usluga), a ne ih nepotrebno ometati.
• Proporcionalnost – Implementirane kontrole moraju biti razmjerne veličini organizacije i razini rizika, izbjegavajući nepotrebnu birokraciju.
• Pristup temeljen na riziku – Odluke o kontrolama donose se na temelju strukturirane procjene rizika i kriterija prihvatljivosti rizika.
• Minimalno potreban pristup – Pristup podacima i sustavima odobrava se samo u mjeri potrebnoj za obavljanje posla.
• Odgovornost i sljedivost – Sigurnosne odgovornosti jasno su definirane, a ključne aktivnosti dokumentirane i naknadno provjerljive.
• Kontinuirano poboljšanje – Rezultati internih revizija, incidenata, promjena u okruženju i povratne informacije koriste se za stalno poboljšanje ISMS-a.

Osnovna načela odgovornosti:

• Direktor – Krajnje je odgovoran za ISMS, odobrava ovu politiku i ključne dokumente, osigurava resurse i donosi odluke o prihvaćanju rizika.
• Voditelj sigurnosti informacijskog sustava – Koordinira uspostavu, održavanje i poboljšanje ISMS-a, upravlja registrima (imovina, rizici, incidenti) i priprema izvješća.
• Vlasnici sustava (Plodie, Fakturo, cloud, baze podataka) – Odgovorni su za sigurno korištenje i rad svojih sustava, uključujući primjenu kontrola i suradnju u procjeni rizika.
• Tehnički tim (razvoj, administracija) – Implementira tehničke kontrole i sudjeluje u rješavanju incidenata.
• Svi zaposlenici i suradnici – Dužni su poštivati ovu politiku, pojedinačne procedure, održavati povjerljivost i prijavljivati sumnjive događaje i incidente.

Svi zaposlenici i suradnici REDUCOS SOFTWARE J.D.O.O.:

• Dužni su upoznati se s osnovnim pravilima informacijske sigurnosti koja proizlaze iz ove politike i povezanih dokumenata
• Dužni su čuvati povjerljivost podataka kojima pristupaju u svom radu, čak i nakon prestanka radnog odnosa ili suradnje
• Smiju koristiti sustave i podatke samo u poslovne svrhe i u okviru dodijeljenih ovlaštenja
• Moraju prijaviti svaki sumnjivi događaj ili incident
• Dužni su slijediti upute primljene od vlasnika ISMS-a, vlasnika sustava ili direktora u vezi s informacijskom sigurnošću

Kršenje ove politike može dovesti do disciplinskih mjera, raskida ugovora o radu/suradnji ili drugih posljedica predviđenih internim aktima i zakonima.

ISMS Reducosa podliježe kontinuiranom poboljšanju kroz:

• Rezultate procjena rizika
• Sigurnosne incidente i prekide usluga
• Nalaze internih revizija i odluke sa sastanaka pregleda uprave
• Promjene u pravnom i tehnološkom okruženju
• Povratne informacije od korisnika, partnera i zaposlenika

Na temelju ovih ulaznih podataka, dokumenti se periodično revidiraju, a kontrole u Izjavi o primjenjivosti prilagođavaju stvarnom stanju i novim zahtjevima.

Ova politika stupa na snagu datumom potpisa direktora i ostaje na snazi do opoziva ili donošenja nove verzije.

Politika se:

• Pregledava najmanje jednom godišnje
• I ranije ako je potrebno, ako dođe do značajnih promjena u poslovanju, tehnologiji, zakonskim zahtjevima ili nalazima revizije

Direktor je odgovoran za pokretanje i odobravanje revizije.