Политика информационной безопасности — ООО ПКО «Кредитный оздоровитель»

1. Общие положения

1.1 Настоящая Политика информационной безопасности (далее — Политика) определяет принципы, цели и меры по защите информации, обрабатываемой в ООО ПКО «Кредитный оздоровитель» (далее — Компания).

1.2 Политика разработана в соответствии с требованиями:

Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федерального закона от 03.07.2016 № 230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности»;
Приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных»;
ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций».

1.3 Основные цели Политики: обеспечение конфиденциальности, целостности и доступности информации; защита персональных данных от несанкционированного доступа, утечки и уничтожения; соблюдение требований законодательства РФ.

2. Область применения

2.1 Политика распространяется на все информационные системы Компании, включая веб-сайт https://ko-pko.ru, базы данных, корпоративную почту и системы телефонии.

2.2 Политика обязательна для исполнения всеми сотрудниками Компании, а также контрагентами и третьими лицами, имеющими доступ к информационным ресурсам Компании по договору или иным основаниям.

3. Классификация информации

3.1 Информация Компании подразделяется на следующие категории:

Персональные данные: любая информация, относящаяся к прямо или косвенно определенному физическому лицу (ФИО, контакты, данные о задолженности).
Конфиденциальная информация: коммерческая тайна, внутренние регламенты, методологии работы.
Служебная информация: внутренняя переписка и организационные документы, не предназначенные для публикации.
Общедоступная информация: сведения, размещенные на официальном сайте Компании.

4. Организационные меры защиты

4.1 Разграничение прав доступа. Доступ к информационным системам предоставляется по принципу минимальных привилегий (только в объеме, необходимом для выполнения должностных обязанностей). Учетные записи создаются индивидуально, использование общих учетных записей запрещено.

4.2 Обучение персонала. Все сотрудники при приеме на работу проходят инструктаж по информационной безопасности. Регулярное обучение проводится не реже одного раза в год.

4.3 Соглашения о неразглашении. Со всеми сотрудниками и контрагентами, имеющими доступ к конфиденциальной информации, заключаются соглашения о неразглашении (NDA).

4.4 Назначение ответственных. Приказом генерального директора назначается ответственный за организацию обработки персональных данных и ответственный за информационную безопасность.

5. Технические меры защиты

5.1 Защита каналов передачи данных. Передача данных через сеть Интернет осуществляется исключительно с использованием защищенных протоколов HTTPS/TLS (версии 1.2 и выше).

5.2 Резервное копирование. Обеспечивается регулярное резервное копирование баз данных и критически важной информации. Резервные копии хранятся на защищенных носителях.

5.3 Антивирусная защита и межсетевое экранирование. На всех рабочих станциях и серверах установлено и регулярно обновляется антивирусное программное обеспечение. Применяются межсетевые экраны (Firewall).

5.4 Шифрование данных. Чувствительные персональные данные шифруются при хранении в базах данных с использованием сертифицированных средств криптографической защиты.

5.5 Защита веб-приложений. Веб-сайт Компании защищен от распространенных уязвимостей (SQL-инъекции, XSS) с применением специализированных средств защиты (WAF).

6. Управление инцидентами информационной безопасности

6.1 При выявлении попытки несанкционированного доступа или утечки данных сотрудник обязан немедленно сообщить ответственному за информационную безопасность.

6.2 При утечке персональных данных Компания уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента в соответствии с ч. 3.1 ст. 21 ФЗ-152.

6.3 Проводится служебное расследование инцидента с оформлением акта, в котором фиксируются причины, последствия и принятые меры по предотвращению подобных случаев в будущем.

7. Контроль и мониторинг

7.1 Осуществляется регулярный мониторинг информационных систем на предмет выявления аномальной активности.

7.2 Проводится сканирование уязвимостей информационных систем и тестирование на проникновение (pentest) не реже одного раза в год.

7.3 Ведутся журналы событий безопасности (логи доступа, изменения конфигураций), которые хранятся не менее 1 года и защищены от несанкционированной модификации.

8. Ответственность за нарушение Политики

8.1 Лица, виновные в нарушении требований настоящей Политики, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.

8.2 Нарушение требований по защите персональных данных может повлечь штрафы по ст. 13.11 КоАП РФ (до 500 000 рублей для юридических лиц).

9. Заключительные положения

9.1 Настоящая Политика вступает в силу с момента её утверждения генеральным директором Компании.

9.2 Компания вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на официальном сайте Компании.

9.3 Действующая редакция Политики находится в свободном доступе по адресу: https://ko-pko.ru/security.html.

9.4 По всем вопросам, связанным с информационной безопасностью, сотрудники и третьи лица могут обращаться к ответственному за информационную безопасность по электронной почте: in@ko-pko.ru.