Настоящая Политика выражает позицию Компании в области информационной безопасности и работе с информацией. Принятием настоящей Политики Компания провозглашает и обязуется осуществлять все возможные меры для защиты работников, имущества, информации, деловой репутации и бизнес-процессов Компании от риска причинения вреда, убытков и ущерба, возникающих в результате реализации угроз информационной безопасности.
Руководство Компании осознает важность и необходимость продвижения и совершенствования мер и средств обеспечения информационной безопасности в контексте развития законодательства РФ и регулирования норм информационной безопасности, а также развития используемых информационных технологий при автоматизации и цифровизации бизнес-процессов и технологических процессов на производствах. Соблюдение принципов информационной безопасности дополнительно позволит упрочить конкурентные преимущества Компании, обеспечить соответствие правовым, регуляторным и договорным требованиям, снизить имиджевые риски.
Настоящая Политика разработана с целью установления принципов, определяющих общие организационные и управленческие подходы в работе с информацией, необходимые для обеспечения и управления информационной безопасностью Компании и защиты интересов Компании от рисков и угроз информационной безопасности.

Руководство Компании придерживается взглядов, что соблюдение принципов, правил и требований информационной безопасности является, в том числе, элементом корпоративной культуры. Следование требованиям информационной безопасности является важным условием при осуществлении повседневной деятельности (в том числе при реализации ИТ-проектов, проработке цифровых инициатив и т.д.), включая совместную работу с Деловыми партнерами. Каждый работник Компании и её Деловых партнеров несёт ответственность за безопасную работу с вверенными ему корпоративными ИТ-активами, компьютерным оборудованием, мобильными техническими средствами, носителями информации, предоставленной и обрабатываемой информацией Компании.

Руководители и специалисты по информационной безопасности Компании должны ответственно выполнять свои обязанности, осознавая, что качество их работы непосредственно влияет на состояние защищенности информации, ИТ-активов, бизнес- и технологических процессов Компании.
Работники Компании должны руководствоваться настоящей Политикой в профессиональной деятельности, при внутрикорпоративном взаимодействии, личном развитии и повышении культуры информационной безопасности. Политика раскрывает и дополняет при необходимости правила, определенные в Корпоративном кодексе Компании, в части принципов обеспечения информационной безопасности и работе с информацией.

Управление и обеспечение информационной безопасности Компании ориентированы на достижение следующих целей в области информационной безопасности:

• предоставление безопасной информационной среды для функционирования и развития бизнес-процессов Компании;
• снижение уровня ИБ-рисков и угроз информационной безопасности до приемлемого уровня, позволяющего осуществлять устойчивое цифровое развитие Компании.
• Для достижения данных целей необходимо решение следующих задач:
• обеспечение информационной безопасности бизнес-процессов Компании в условиях возрастающего уровня угроз, включая обеспечение оперативного мониторинга и оценку состояния защищенности в Компании; повышение эффективности защиты от спланированных целенаправленных компьютерных атак злоумышленниками; повышение информационной безопасности технологических и производственных систем;
• применение новых современных методов для защищенной цифровизации Компании, включая организацию проработки вопросов информационной безопасности при реализации цифровых решений; организацию апробации и применения новых методов защиты информации от современных угроз, в том числе за счет взаимодействия и партнерства с лидерами отрасли информационной безопасности; обеспечение применения безопасных цифровых технологий при внедрении отечественных разработок и развитии собственного конкурентоспособного корпоративного программного обеспечения Компании;
• соответствие требованиям государства в области информационной безопасности путем обеспечения заданного уровня информационной безопасности ИТ-активов в соответствии с требованиями действующего законодательства стран присутствия Компании.

В рамках обеспечения информационной безопасности объектами защиты в Компании являются информация, обрабатываемая в Компании, вне зависимости от формы представления; ИТ-активы, включая, но не ограничиваясь следующим перечнем:

• автоматизированные рабочие места, средства обработки информации и мобильные технические средства;
• ИС, системы хранения данных, программное обеспечение и отдельные технические решения;
• ИТ-инфраструктура, информационно-телекоммуникационные сети и системы связи;
• ИТ-сервисы (ИТ-услуги), оказываемые Компании или в интересах Компании;
• решения по цифровизации бизнес- и технологических (производственных) процессов.

Деятельность Компании в области информационной безопасности осуществляется с соблюдением следующих основных принципов.
Ориентация на стратегию Компании – стратегические инициативы по информационной безопасности разрабатываются и осуществляются в соответствии с общей стратегией и целями развития Компании, с учетом корпоративных стратегий в области информационных технологий и в области производственной автоматизации, метрологии и контроля качества.
Централизация функций управления – принцип заключается в возможности принятия управленческих решений в области информационной безопасности на уровне Компании за счет оперативного мониторинга (ИТ-пространства Компании и внешней обстановки в информационной сфере) и оценки состояния информационной безопасности; осуществления централизованного управления стратегическими инициативами по информационной безопасности; контроля реализации мероприятий по развитию информационной безопасности; создания и развития централизованных решений в области информационной безопасности и работе с информацией.

Проактивный подход и управление рисками – базируется на мониторинге, анализе и оценке появляющихся, актуальных и будущих ИБ-рисков и угроз информационной безопасности (включая изучение технологий, используемых злоумышленниками) с целью своевременного и осознанного принятия превентивных мер для предупреждения компьютерных атак и недопущения ущерба Компании.
Стандартизация и унификация – подразумевает разработку и тиражирование стандартизованных требований и подходов, типовых технических решений и элементов архитектуры обеспечения информационной безопасности для унификации средств и методов решения однотипных задач; интерфейсов управления системами информационной безопасности.
Импортозамещение – заключается в снижении рисков неблагоприятной внешней конъюнктуры за счёт ориентирования на отечественные решения, средства и сервисы при обеспечении информационной безопасности на территории Российской Федерации.
Ресурсное обеспечение – означает необходимость выделения целевого финансирования на обеспечение и развитие информационной безопасности Компании, поддержание требуемой организационной структуры.
Законность и соответствие – деятельность по обеспечению информационной безопасности Компании основывается на выполнении требований нормативных правовых актов Российской Федерации и национального законодательства стран, на территории которых осуществляется деятельность Компании.
Повышение культуры информационной безопасности – декларирует необходимость не только информировать всех работников Компании, её Деловых партнёров и третьих лиц, использующих ИТ-активы Компании, о требованиях информационной безопасности, но развивать навыки приемлемого обращения с информацией и безопасной работы с ИТ-активами Компании.
Развитие компетенций и профессионализма – принцип означает необходимость постоянного развития компетенций и практических навыков специалистов по информационной безопасности в условиях непрекращающегося изменения ИБ-рисков, ландшафта используемых информационных технологий и техник потенциальных нарушителей. Обеспечение информационной безопасности при автоматизации технологических и производственных процессов требует компетенций и знаний в областях производственной автоматизации и метрологии.
Накопление знаний и обмен опытом – следует накапливать знания и обмениваться опытом в ходе осуществления практической деятельности по обеспечению информационной безопасности (при мониторинге и реагировании на компьютерные атаки, при внедрении и эксплуатации технических решений, при аудитах информационной безопасности и т.д.).

Информационная безопасность как неотъемлемое свойство ИТ-актива – принцип заключается в следующем:

• требования информационной безопасности учитываются на всех этапах жизненного цикла ИТ-актива, вне зависимости от уровня конфиденциальности информации, обрабатываемой в ИТ-активе;
• создание программных продуктов в интересах Компании осуществляется с применением методов безопасной разработки программного обеспечения;
• предпочтительными являются ИТ-активы с наибольшим покрытием требований информационной безопасности встроенными функциями (при прочих равных характеристиках);
• встроенные функции по информационной безопасности должны быть настроены и использоваться при эксплуатации ИТ-активов, включая программно-аппаратные средства, автоматизированные системы управления и т.д.;
• соответствие приобретаемого/внедряемого ИТ-актива требуемому уровню информационной безопасности подтверждается согласно существующими процедурами, с учетом требований применимого законодательства.

Информационная безопасность как неотъемлемое свойство ИТ-сервиса (ИТ-услуги) – означает, что предлагаемые и оказываемые Компании или в интересах Компании ИТ-услуги и ИТ-сервисы должны разрабатываться и оказываться с учетом требований информационной безопасности.

Совместимость – подразумевает подбор компонентов для обеспечения информационной безопасности способом, гарантирующим их взаимную системную совместимость на информационном, программном, электромагнитном и эксплуатационном уровнях, а также совместимость с используемыми ИТ-решениями, информационными технологиями и с решениями по автоматизации технологических и производственных процессов Компании.
Надежность – использование компонентов и средств для обеспечения информационной безопасности, соответствующих требованиям по надежности, готовности и обслуживаемости.
Адекватность и обоснованность решений – принимаемые в Компании меры и применяемые средства информационной безопасности эффективны, результативны и соразмерны с величиной ИБ-рисков и угроз информационной безопасности, влияющих на цели Компании.
Комплексность – применение любых доступных законных методов, средств и мероприятий (включая законодательные и нормативно-правовые, организационно-административные, программно-технические, инженерно-технические, физические), направленных на снижение ИБ-рисков, пресечение угроз информационной безопасности и недопущение ущерба Компании, её Деловым партнёрам и работникам.
Разделение и минимизация полномочий – означает, что выполнение критичных (итоговых) операций проводится только посредством разделения действий (например, алгоритмического разделения, временного или ресурсного - в т.ч. двумя работниками). Исключение единоличного совершения критичной операции может быть организовано на уровне организационных мер и/или программно-технических средств за счет выделения полномочий или роли пользователя. Программно-технический способ разделений полномочий является предпочтительным относительно организационного. Должны осуществляться контроль реализации принципов разграничения критических полномочий в ИС, ограничение прав доступа, в зависимости от уровня согласованных полномочий. Полномочия должны быть минимально достаточными для выполнения лицом своих должностных обязанностей, либо выполнения контрактных обязательств. При необходимости должен осуществляться контроль конфликта полномочий – организационный, а также программно-аппаратный.
Постоянство совершенствования информационной безопасности – обеспечение постоянного улучшения существующей практики и совершенствования средств и методов управления и обеспечения информационной безопасности на основе результатов аудитов информационной безопасности, мониторинга функционирования систем информационной безопасности, анализа изменений в методах и средствах компьютерных атак, анализа нормативных требований и существующего передового отечественного и зарубежного опыта в этой области.

Правила внешних коммуникаций устанавливаются Корпоративным кодексом ООО «АНТХОС» и Политикой информационной безопасностью и работе с информацией ООО «АНТХОС», внутренними документами в области информационной политики.
4.1. Переговоры о заключении договора. В ходе переговоров о заключении договоров, информацию, которая передается в качестве конфиденциальной партнеру, партнер обязан не раскрывать эту информацию и не использовать ее ненадлежащим образом для своих целей независимо от того, будет ли заключен договор.
4.2. Работа с инсайдерами и инсайдерской информацией. В Компании вводятся специальные процедуры, направленные на охрану инсайдерской информации от неправомерного использования:
• ограничение права доступа к конкретной инсайдерской информации для работников и должностных лиц общества;
• установление пропускного режима доступа лиц, в том числе работников в отдельные помещения, занимаемые обществом;
• определение мест и источники хранения инсайдерской информации, с разрешением доступа к ней в определенных местах и на определенных носителях;
• использование системы защиты информационно-технических систем в целях недопущения потери инсайдерской информации и несанкционированного доступа к ней.
4.3. Защиты деловой репутации. Компания вправе защищать свою деловую репутацию как во внесудебном, так и в судебном порядке.
4.4. Возрастная классификация информационной продукции. В Компании установлена классификация 12+ на всю информационную продукцию.
4.5. Дисклеймер. Информация, размещенная на дисклеймере, не должны противопоставлять и нарушать основные 4 правила:
• Бизнес должен быть законным.
• Мы не сотрудничаем: с микрофинансовыми организациями; игорным бизнесом; бизнесом, связанному с запрещёнными средствами и товарами; бизнесом с маркировкой «Иностранный агент».
• Информация, предоставляемая партнёром, должна быть достоверной и верной, без введения в заблуждение.
• Обязательное условие сотрудничества – наличие идентификационного номера налогоплательщика (ИНН).
4.6. Реклама. Любая рекламная информация, рекламные сообщения маркируются маркером «Реклама» и информацией о Компании.
4.7. Обсценная лексика. Использование обсценной лексики открыто и без маскировки расценивается в Компании, как моральный вред, гражданско-правовое нарушение, регламентируется Корпоративным кодексом, в случае нарушений, применимо дисциплинарное взыскание.
4.8. Цитация информации. Работники обязаны соблюдать этические, моральные и правовые нормы при цитировании. Обязательна ссылка на первоисточник.
4.9. Неприкосновенность частной жизни. Компания охраняет неприкосновенность частной жизни работников, в том числе право на личную и семейную тайну.
4.10. Электронный документооборот. В Компании установлен электронный кадровый документооборот КЭДО, внешний электронный документооборот с контрагентами, внутренний электронный документооборот, электронный документооборот с государственными органами.

Работники Компании должны выполнять требования и правила информационной безопасности при работе с информацией и ИТ-активами Компании и её Деловых партнёров.
Высокие корпоративные стандарты и правила обеспечения информационной безопасности обязательны для всех без исключения работников Компании и должны учитываться во взаимоотношениях с Деловыми партнерами.
Руководство Компании возлагает ответственность на руководителей структурных подразделений, представительств и филиалов ООО «АНТХОС» за организацию повседневной деятельности и выделение необходимых ресурсов для обеспечения информационной безопасности как неотъемлемой составляющей бизнес- и производственных процессов; за своевременную идентификацию значимых ИТ-активов, назначение ответственных за ИТ-активы и управление доступа к ним; за предъявление установленных требований информационной безопасности к работникам Компании и Деловым партнерам, использующим ИТ-активы Компании, и контроль за их выполнением.
При использовании сети Интернет, при общении в социальных сетях и мессенджерах, использовании электронной почты, других средств телекоммуникаций и мобильных технических средств работникам Компании рекомендуется проявлять осмотрительность и сдержанность, чтобы не допускать рисков личной безопасности, а также избегать непреднамеренной утечки рабочей информации.
Работники Деловых партнёров, использующие корпоративные ИТ-активы, а также предоставленную Компанией информацию, несут ответственность в соответствии с договорными отношениями с ООО «АНТХОС» или Обществом Группы, а также применимым законодательством.

6.1. Настоящая Политика является публичной. ООО «АНТХОС» и Общества Группы доводят также настоящую Политику до своих Деловых партнеров, подрядных организаций и взаимодействуют с ними с учетом положений настоящей Политики.