Ruby Logic Poland sp. z o.o. (dalej: Organizacja) prowadzi działalność w zakresie wytwarzania oprogramowania, a także projektuje, rozwija, utrzymuje i świadczy usługi SaaS. Ochrona informacji - własnych oraz powierzonych przez klientów i partnerów - jest jednym z kluczowych zobowiązań Organizacji.

Niniejsza Polityka (dalej: Polityka) jest publicznym opisem zasad bezpieczeństwa informacji stosowanych w ramach Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Dokument bazuje na wewnętrznej polityce SZBI-PO-01 i jest utrzymywany w spójności z jej aktualną wersją.

Celem Polityki jest określenie ram ochrony informacji oraz potwierdzenie, że Organizacja:

1. Chroni poufność, integralność i dostępność informacji.
2. Spełnia wymagania prawne, regulacyjne i umowne dotyczące bezpieczeństwa informacji.
3. Stosuje podejście oparte na analizie ryzyka oraz mechanizmy ciągłego doskonalenia.
4. Zapewnia ciągłość działania kluczowych usług.
5. Komunikuje wymagania bezpieczeństwa osobom działającym na rzecz Organizacji.

Polityka dotyczy informacji, systemów i procesów związanych z działalnością SaaS Organizacji, w szczególności:

• informacji przetwarzanych w dowolnej formie,
• systemów i infrastruktury IT,
• usług zewnętrznych wspierających świadczenie usług SaaS,
• procesów biznesowych i operacyjnych wspierających SZBI.

Polityka obowiązuje pracowników, współpracowników, podwykonawców oraz dostawców i partnerów w zakresie wynikającym z umów i nadanych uprawnień.

Najwyższe kierownictwo Ruby Logic Poland sp. z o.o. deklaruje pełne zaangażowanie w ochronę informacji i zobowiązuje się do:

1. Zapewnienia zasobów niezbędnych do ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia SZBI.
2. Integracji wymagań bezpieczeństwa informacji z procesami biznesowymi i operacyjnymi Organizacji.
3. Stosowania podejścia opartego na ryzyku przy podejmowaniu decyzji.
4. Zapewnienia spełniania wymagań prawnych, regulacyjnych i umownych.
5. Wyznaczania, komunikowania i wspierania ról odpowiedzialnych za bezpieczeństwo informacji.
6. Regularnego przeglądu skuteczności SZBI i realizacji celów bezpieczeństwa informacji.
7. Przyjęcia odpowiedzialności za skuteczność SZBI.

SZBI Organizacji jest utrzymywany w zgodności m.in. z:

• ISO/IEC 27001:2022 (PN-EN ISO/IEC 27001:2023-08),
• ISO/IEC 27002:2022,
• RODO/GDPR oraz właściwymi przepisami krajowymi,
• zobowiązaniami umownymi (w tym NDA, SLA i umowami powierzenia danych).

Organizacja ustanawia i monitoruje cele bezpieczeństwa informacji w obszarach:

• poufności,
• integralności,
• dostępności,
• zgodności i skuteczności SZBI.

Cele te są mierzalne i podlegają okresowemu raportowaniu oraz przeglądom zarządczym.

Organizacja stosuje podejście warstwowe i proporcjonalne do ryzyka, obejmujące:

• klasyfikację informacji i właściwe postępowanie z danymi,
• kontrolę dostępu opartą na zasadach need-to-know i least privilege,
• ochronę kryptograficzną danych w transmisji i spoczynku,
• bezpieczny cykl życia oprogramowania,
• ochronę infrastruktury, sieci i środowisk operacyjnych,
• bezpieczeństwo fizyczne i organizacyjne miejsc przetwarzania informacji.

Organizacja prowadzi cykliczny proces zarządzania ryzykiem obejmujący identyfikację, analizę, postępowanie i monitorowanie ryzyk. Ryzyka rezydualne są akceptowane zgodnie z przyjętymi kryteriami, a ryzyka istotne wymagają decyzji Zarządu.

Organizacja utrzymuje proces zgłaszania, klasyfikacji i obsługi incydentów bezpieczeństwa informacji, w tym:

• obowiązek niezwłocznego zgłaszania zdarzeń i podejrzeń naruszeń,
• analizę przyczyn i wdrażanie działań korygujących,
• spełnianie obowiązków notyfikacyjnych dotyczących naruszeń danych osobowych.

Organizacja utrzymuje zdolność do bezpiecznego świadczenia usług w warunkach zakłóceń, m.in. poprzez:

• monitorowanie dostępności usług,
• utrzymywanie redundancji kluczowych elementów infrastruktury wspierających usługi krytyczne,
• utrzymywanie i testowanie kopii zapasowych,
• stosowanie rozwiązań wspierających odporność operacyjną,
• cykliczne testowanie wybranych scenariuszy ciągłości działania.

Organizacja:

• wymaga odpowiednich zobowiązań poufności i przestrzegania zasad bezpieczeństwa od osób działających na jej rzecz,
• prowadzi szkolenia z zakresu bezpieczeństwa informacji,
• zarządza uprawnieniami i ich odbieraniem po ustaniu potrzeby biznesowej,
• ocenia ryzyko dostawców i nadzoruje bezpieczeństwo współpracy z podmiotami zewnętrznymi.

Organizacja chroni dane osobowe i prawa własności intelektualnej zgodnie z obowiązującymi przepisami prawa, w szczególności Rozporządzeniem (UE) 2016/679 (RODO/GDPR), umowami oraz zasadami SZBI.

Za skuteczność SZBI odpowiada Zarząd, przy wsparciu wyznaczonych ról organizacyjnych. Wszystkie osoby działające na rzecz Organizacji są zobowiązane do przestrzegania niniejszej Polityki. Naruszenia zasad bezpieczeństwa mogą skutkować konsekwencjami organizacyjnymi, umownymi, a w uzasadnionych przypadkach także prawnymi.

Polityka jest komunikowana osobom działającym na rzecz Organizacji. Istotne zmiany są publikowane i przekazywane w ramach obowiązujących kanałów komunikacji.

W sprawach dotyczących bezpieczeństwa informacji prosimy o kontakt poprzez formularz kontaktowy na stronie https://rubylogic.eu/pl/kontakt