Меры безопасности, принимаемые Яндекс 360

На этой странице рассказывается о технических и организационных мерах, которые Яндекс реализует для защиты данных клиентов Яндекс 360 для бизнеса.

Организация информационной безопасности

Система управления информационной безопасностью

: Яндекс поддерживает систему управления информационной безопасностью, принимает и применяет внутренние политики и процедуры, чтобы минимизировать риски нарушения информационной безопасности для данных клиентов.

Ответственность за безопасность

: В Яндексе есть команда, ответственная за внедрение и мониторинг процедур безопасности.

Управление рисками

: У Яндекса есть программа управления рисками, которая включает в себя регулярную оценку рисков и выполнение планов их обработки.

Безопасность человеческих ресурсов

Обучение

Яндекс требует от сотрудников и подрядчиков применять меры информационной безопасности в соответствии с правилами и процедурами компании.
Яндекс обучает сотрудников надлежащему обращению с данными клиентов.

Прекращение или смена работы

: Яндекс определяет и доводит до сведения своих сотрудников и подрядчиков, а также добивается выполнения тех обязанностей по обеспечению информационной безопасности, которые остаются в силе после увольнения или смены места работы.

Управление активами

Допустимое использование

: Яндекс документирует и соблюдает правила допустимого использования информации и активов, связанных с информацией и средствами обработки информации.

Возвращение активов

: Предусмотрено, что после прекращения трудового договора сотрудники Яндекса должны вернуть организационные активы, которые были в их распоряжении.

Классификация информации

: Яндекс классифицирует информацию с точки зрения требований законодательства, ценности, критичности и чувствительности к несанкционированному раскрытию или изменению.

Обращение с активами

: Яндекс разрабатывает и внедряет процедуры обращения с активами в соответствии с принятой схемой классификации информации.

Управление доступом

Политика доступа к данным клиентов

: Регламенты Яндекс 360 запрещают доступ сотрудников к данным клиентов, если иное не предусмотрено договором или законодательством.

Политика управления доступом

: У Яндекса есть политика, которая предусматривает, что только авторизованные лица имеют доступ к объектам, защищенным зонам, вычислительным и сетевым ресурсам.

Доступ к сетям и системам

Доступ к сетям и системам Яндекса предоставляют уполномоченным сотрудникам.
Руководители сотрудников Яндекса утверждают доступ подчиненных к объектам, защищенным зонам, вычислительным и сетевым ресурсам.
Яндекс ограничивает права доступа пользователя минимальным набором прав, необходимым для выполнения его работы, и на необходимое время.
Яндекс размещает интерфейсы управления аппаратным обеспечением в сегрегированных сетях с ограниченным доступом авторизованного персонала.
Яндекс предоставляет доступ к исходному коду уполномоченным лицам в соответствии с политикой безопасности.

Проверка прав доступа пользователей

: Яндекс ежегодно пересматривает все права доступа сотрудников.

Отзыв или корректировка прав доступа

: Яндекс отзывает права доступа к информации и системам для сотрудников, которые прекращают работу в компании, и корректирует при изменениях круга их ответственности.

Качество паролей

: Яндекс обеспечивает качественные пароли во внутренних системах управления паролями. Проверки включают минимальную длину пароля, количество классов символов и максимальный срок действия.

Физическая безопасность и безопасность среды

Контроль физического доступа

: У Яндекса есть надлежащие средства контроля физического доступа, которые нацелены на обеспечение доступа в офисы и дата-центры только авторизованному персоналу.

Безопасная утилизация или повторное использование оборудования

: Конфиденциальные данные на носителях информации удаляются или надежно перезаписываются перед повторным использованием носителей. Если носители становятся непригодны, Яндекс утилизирует их, следуя формальным процедурам.

Безопасность данных и управление жизненным циклом информации

Безопасность передачи данных

: Яндекс защищает с использованием протокола TLS информацию клиентов, которая передается по общедоступным сетям и во внутренней сети.

Управление инцидентами

Реагирование на инциденты. Отчетность

В Яндексе есть формальный процесс мониторинга, отчетности и реагирования в случае угроз безопасности, чтобы идентифицировать, регистрировать и соответственно реагировать на известные или предполагаемые инциденты.
В Яндексе есть процедуры уведомления клиентов без неоправданных задержек об утечках данных клиентов.

Разработка и обслуживание информационных систем

Жизненный цикл разработки систем

: В Яндексе есть жизненный цикл разработки систем, который регулирует разработку и развертывание систем и приложений.

Требования информационной безопасности

: Связанные с информационной безопасностью требования Яндекс применяет к новым информационным системам и усовершенствованию уже существующих.

Безопасная разработка

В Яндексе постоянно развиваются ключевые компоненты процесса безопасной разработки: Security Development Lifecycle, SDLC.
Яндекс контролирует изменения в системах в рамках жизненного цикла разработки с помощью формальных процедур контроля изменений. Они включают в себя обзор архитектуры безопасности и аудит безопасности продуктов.
Яндекс создает и надлежащим образом защищает среды для разработки и интеграции систем во всем жизненном цикле разработки систем.
Яндекс разделяет среды разработки, тестирования и продакшн-среду.
У Яндекса есть процедуры, предусматривающие, что производственные данные никогда не реплицируются в средах разработки или тестирования.

Управление уязвимостями

Яндекс регулярно тестирует облачную платформу на проникновение и сканирует на уязвимости, чтобы обнаруживать, смягчать и решать проблемы безопасности.
Яндекс устраняет обнаруженные уязвимости до перехода систем в производство.
У Яндекса есть политика управления исправлениями. Она документирует максимальное время между моментом поставки критического патча безопасности и моментом его применения.
Яндекс проводит программу «Охота за ошибками», которая поощряет этичных хакеров находить уязвимости в продуктах и сообщать об этом компании за награду.

Криптографические стандарты

: В Яндексе утверждена политика, которая устанавливает минимальные криптографические стандарты. Им должны соответствовать все приложения, а также сетевые и вычислительные ресурсы.

Непрерывность работы и аварийное восстановление

Избыточность

Яндекс использует механизмы резервирования для всех критических сервисов.
Яндекс работает в нескольких территориально распределенных дата-центрах, предназначенных для круглосуточной работы без выходных и защищенных от угроз окружающей среды.
Яндекс использует избыточность хранилищ данных, которая нацелена сохранить данные клиентов на случай выхода оборудования из строя.

Тесты

: Яндекс регулярно тестирует свои планы обеспечения непрерывности работы и аварийного восстановления.

Обзор информационной безопасности

Самостоятельная оценка

Яндекс регулярно проверяет свои информационные системы на соответствие политике и стандартам информационной безопасности компании.
Яндекс оценивает и пересматривает свой подход к управлению и реализации информационной безопасности с запланированной регулярностью или при существенных изменениях.