Információbiztonsági szabályzat
Utolsó frissítés: 2025. november
1. Cél és hatály
Ez az Információbiztonsági szabályzat meghatározza a Gridex AI információs eszközeinek, ügyfél adatainak és technológiai infrastruktúrájának védelmére vonatkozó keretrendszert. A szabályzat meghatározza a biztonsági szabványokat, felelősségeket és eljárásokat az összes információs rendszer bizalmasságának, integritásának és rendelkezésre állásának biztosítása érdekében.
Scope: Ez a szabályzat vonatkozik minden munkavállalóra, vállalkozóra, tanácsadóra, ideiglenes dolgozóra és harmadik félre, aki hozzáfér a Gridex AI rendszereihez, hálózataihoz vagy adataihoz, függetlenül a helyszíntől vagy az eszköztulajdonostól.
2. Szerepek és felelősségek
Az információbiztonság megosztott felelősség a szervezeten belül:
2.1 Biztonsági tisztviselő
Name: Szilágyi Tamás
Email: [email protected]
Responsibilities:
- Az információbiztonsági program általános irányítása
- Biztonsági incidensek válaszának koordinálása
- Biztonsági szabályzatok kidolgozása és végrehajtása
- Biztonsági kockázatok felmérése és mérséklése
- Megfelelőség felügyelete és jelentése
- Biztonsági tudatosság és képzés koordinálása
2.2 Minden munkatárs
- A vállalati és ügyfél adatok védelme jogosulatlan hozzáféréstől
- Erős hitelesítés használata és jelszó szabályzatok betartása
- Biztonsági incidensek és gyanús tevékenységek azonnali jelentése
- Kötelező biztonsági tudatossági képzés elvégzése
- Minden információbiztonsági szabályzat betartása
- Vállalati erőforrások felelősségteljes és etikus használata
3. Adatosztályozás
A Gridex AI három kategóriába sorolja az adatokat a megfelelő biztonsági intézkedések meghatározása érdekében:
3.1 Nyilvános adatok
Nyilvánosságra szánt vagy már nyilvánosan elérhető információk.
Examples:
- Marketing anyagok és nyilvános weboldal tartalma
- Közzétett termékdokumentáció
- Nyilvános blogbejegyzések és sajtóközlemények
Controls: Különleges kezelés nem szükséges, de az integritást fenn kell tartani.
3.2 Bizalmas adatok
Belső üzleti információk, amelyek nyilvánosságra hozatala károsíthatja a vállalatot.
Examples:
- Üzleti tervek és belső stratégiák
- Pénzügyi információk és árazási modellek
- Munkavállalói információk (nem érzékeny)
- Belső műszaki dokumentáció
- Nem nyilvános termék ütemtervek
Controls: Hozzáférés korlátozva az üzleti szükséglettel rendelkező munkavállalókra; titkosítva átvitel közben; biztonságos tárolás szükséges.
3.3 Szigorúan bizalmas adatok
Érzékeny információk, amelyek nyilvánosságra hozatala jelentős kárt okozhat, beleértve az összes ügyfél adatot.
Examples:
- Ügyfelek személyes adatai (nevek, e-mailek, üzleti információk)
- Ügyfél beszélgetési naplók és AI interakciók
- Hitelesítési adatok és API kulcsok
- Előfizetési státusz metaadatok (fizetési feldolgozást a Stripe, egy PCI-kompatibilis harmadik fél végzi - nem tárolunk hitelkártya adatokat vagy számlákat)
- OAuth tokenek harmadik fél integrációkhoz (Google Naptár, Meta Messenger/WhatsApp)
- Ügyfél tudásbázis dokumentumok és beágyazások
- Biztonsági konfigurációk és sebezhetőségi információk
- Forráskód és védett algoritmusok
Controls: Szigorú hozzáférés-szabályozás MFA-val; titkosítva nyugalmi és átviteli állapotban; audit naplózás engedélyezve; rendszeres hozzáférési felülvizsgálatok; biztonságos törlési eljárások.
4. Rendszerarchitektúra és bizalmi határok
A Gridex AI egy felhő-natív architektúrát működtet teljes egészében a Microsoft Azure ökoszisztémán belül. Ez a szakasz leírja a rendszerkomponenseket, bizalmi határokat és adatfolyamatokat.
4.1 Rendszerkomponensek
4.2 Bizalmi határok
A bizalmi határok határozzák meg, hogy az adatok hol lépnek át nem megbízhatóból megbízható zónákba. A Gridex AI biztonsági ellenőrzéseket érvényesít a következő határoknál:
5. Hozzáférés-szabályozás és hitelesítés
A Gridex AI erős hozzáférés-szabályozást alkalmaz a rendszerek és adatok védelme érdekében:
5.1 Hitelesítési követelmények
5.2 Hozzáférés-szabályozási alapelvek
5.3 Jelszó szabályzat
- Minimum 12 karakter minden fiókhoz
- Nem használható újra Gridex AI és személyes fiókok között
- Azonnal megváltoztatandó kompromittálás gyanúja esetén
- Soha ne ossza meg jelszavát senkivel, beleértve az IT támogatást is
- Ne írja le vagy tárolja titkosítatlanul
- Kerülje a gyakori mintákat (pl. "Password123", "Welcome123")
6. Adatvédelem és titkosítás
A Gridex AI átfogó titkosítást alkalmaz az adatok életciklusa során történő védelme érdekében:
6.1 Titkosítási szabványok
6.2 Infrastruktúra biztonság
6.3 AI modell adatvédelem
Az AI modellekkel használt ügyfél adatok különleges védelmet kapnak:
- Az Azure OpenAI szolgáltatás garantálja, hogy az ügyfél promptok és válaszok SOHA nem használhatók AI modellek tanításához
- Az ügyfél adatok NEM érhetők el a Microsoft vagy más Azure ügyfelek számára
- Az adatok kizárólag az ügyfél Azure bérlőjén belül maradnak
- Teljes adatelszzigetelés a különböző Gridex AI ügyfelek között
- Emberi ellenőrök nem férhetnek hozzá az ügyfél adatokhoz kifejezett engedély nélkül
7. E-mail és kommunikációs biztonság
7.1 E-mail használati szabályzat
8. Hálózati és vezeték nélküli biztonság
8.1 Vezeték nélküli hálózati biztonság
9. Biztonsági incidens válasz
A Gridex AI átfogó Incidenskezelési szabályzatot tart fenn a biztonsági események hatékony kezelése érdekében.
A részletes incidenskezelési eljárásokért, súlyossági osztályozásokért és válaszidőkért lásd Incidenskezelési szabályzatunkat.
10. Üzletmenet folytonosság és katasztrófa elhárítás
A Gridex AI fenntartja az üzletmenet folytonosságát és katasztrófa elhárítási képességeit a szolgáltatás rendelkezésre állásának biztosítása érdekében:
10.1 Adatok biztonsági mentése és helyreállítása
11. Munkavállalói felelősségek
Minden Gridex AI munkatársnak be kell tartania a következő biztonsági gyakorlatokat:
12. Szabályzat megfelelőség és végrehajtás
12.1 Megfelelőség felügyelete
- Rendszeres biztonsági auditok és sebezhetőségi felmérések
- Automatikus biztonsági megfigyelés és riasztás
- Hozzáférési napló felülvizsgálatok és anomália észlelés
- Időszakos biztonsági tudatossági képzés és tesztelés
- Harmadik fél biztonsági értékelések és penetrációs tesztelés
13. Szabályzat felülvizsgálat és frissítések
Ez az Információbiztonsági szabályzat legalább évente felülvizsgálatra és frissítésre kerül, vagy gyakrabban jelentős biztonsági incidensek, szabályozási változások vagy üzleti igények esetén. Minden munkatárs értesítést kap a lényeges változásokról és köteles elfogadni a frissített szabályzatokat.
14. Kérdések és kapcsolattartási információk
Ezen Információbiztonsági szabályzattal kapcsolatos kérdésekért vagy biztonsági aggályok jelentéséhez:
Biztonsági tisztviselő: Szilágyi Tamás
E-mail: [email protected]
TeleCetli Kft.
7634 Pécs, Darázs dűlő 70., Magyarország