Politica di gestione delle risorse
Brask Inc
Scopo
Lo scopo di questa politica è quello di definire i requisiti per la gestione e la corretta tracciabilità dei beni di proprietà, gestiti e sotto il controllo di Rask AI attraverso il loro ciclo di vita, dall'acquisizione iniziale allo smaltimento finale.
Ruoli e responsabilità
Il capo del personale di Rask AI è responsabile della manutenzione e dell'aggiornamento di questa politica. Il CEO e l'ufficio legale sono responsabili dell'approvazione di questa politica e approveranno qualsiasi modifica apportata.
Politica
Inventario dei beni standard
È necessario disporre di un processo di inventario degli asset per supportare la gestione dei processi aziendali critici e soddisfare i requisiti legali e normativi. Questo processo faciliterà anche la scoperta, la gestione, la sostituzione e lo smaltimento di tutti gli asset, nonché l'identificazione e la rimozione di qualsiasi software, asset o processo illegale o non autorizzato. Tutti gli asset fisici e virtuali sotto la gestione o il controllo di Rask AI saranno elencati in un inventario che comprende:
- Identificatore unico o nome dell'asset
- Descrizione del bene
- Scopo dell'asset nel supportare i processi aziendali critici e nel soddisfare i requisiti legali o normativi, se applicabile.
- Entità responsabile dell'attività
- Classificazione dell'attività, se applicabile
Proprietà dei beni
A ogni asset viene assegnato un proprietario quando viene creato o trasferito a Rask AI. Il proprietario dell'asset può essere un individuo o un'entità con responsabilità di gestione approvata; la proprietà non implica diritti di proprietà.
Il proprietario dell'asset è responsabile di:
- Assicurare l'inventario dei beni
- Garantire che gli asset siano classificati e protetti in modo appropriato
- Definire e rivedere periodicamente le restrizioni e le classificazioni degli accessi, tenendo conto delle politiche di controllo degli accessi applicabili.
- Garantire una gestione adeguata quando l'asset viene cancellato o distrutto.
Standard di protezione del sistema
Best practice e standard di hardening dei dispositivi
- Utilizzate le guide all'hardening e alle best practice fornite dal produttore per proteggere le installazioni dei dispositivi da vulnerabilità e accessi non autorizzati.
- Utilizzare i benchmark del Center for Internet Security (CIS) per la guida all'hardening dei sistemi, ove possibile.
- Modificare le impostazioni predefinite fornite dal fornitore, compresi nomi utente, password e impostazioni comuni, per evitare accessi non autorizzati.
- Disattivare i protocolli di comunicazione non sicuri e non necessari.
- Generare in modo casuale e memorizzare in modo sicuro le password locali nel sistema di gestione delle password approvato.
- Installare le patch attuali.
- Implementare la protezione dalle minacce informatiche.
- Abilita la registrazione.
Configurazione e manutenzione dell'infrastruttura
Patching interno di workstation e server
- Valutare e installare periodicamente patch/aggiornamenti del sistema operativo in base alla loro criticità.
- Installare patch/aggiornamenti in orari non di punta per ridurre al minimo le interruzioni dell'attività.
Patching dell'infrastruttura interna
- Valutare e installare patch/aggiornamenti dell'infrastruttura (router, switch, host virtuali, ecc.) in base alla loro criticità.
- Rivedere e approvare patch/aggiornamenti in un ambiente di laboratorio, quando possibile.
- Installare patch/aggiornamenti in orari non di punta per ridurre al minimo i disagi.
- Applicare le patch/aggiornare i sistemi ridondanti un dispositivo alla volta per garantire l'assenza di impatto sui servizi condivisi.
- Seguire le regolari procedure di gestione delle modifiche per gli aggiornamenti hardware/software di rete.
Documentazione di supporto all'infrastruttura
- Mantenere un diagramma di rete aggiornato e accessibile al personale di assistenza appropriato.
- Documentare gli standard di configurazione per l'impostazione di tutti i dispositivi dell'infrastruttura.
Sicurezza degli endpoint/rilevazione delle minacce
- Limitare l'uso dei supporti rimovibili al personale autorizzato.
- Distribuire strumenti antivirus e antimalware sui dispositivi endpoint (ad esempio, workstation, laptop, dispositivi mobili).
- Configurare gli strumenti antivirus e antimalware in modo che ricevano automaticamente gli aggiornamenti, eseguano le scansioni e avvisino il personale appropriato delle minacce.
Gestione della capacità
I requisiti di capacità dei sistemi saranno identificati in base alla criticità aziendale del sistema.
- Tuning e monitoraggio del sistema: Applicato per garantire e migliorare la disponibilità e l'efficienza dei sistemi.
- Controlli rivelatori: Implementati per identificare i problemi nel momento in cui si verificano.
- Proiezioni della capacità futura: Considerare i nuovi requisiti aziendali e di sistema, nonché le tendenze attuali e previste delle capacità di elaborazione delle informazioni dell'azienda.
- Ridurre i colli di bottiglia e le dipendenze: I manager devono monitorare le risorse chiave del sistema, identificare le tendenze di utilizzo e tenere conto delle risorse con lunghi tempi di approvvigionamento o costi elevati.
La fornitura di una capacità sufficiente sarà ottenuta aumentando la capacità o riducendo la domanda. Questo include:
- Eliminazione di dati obsoleti (spazio su disco)
- Dismissione di applicazioni, sistemi, database o ambienti.
- Ottimizzazione dei processi batch e delle pianificazioni
- Ottimizzazione della logica dell'applicazione o delle query del database
- Negare o limitare la larghezza di banda per i servizi non critici dal punto di vista delle risorse (ad esempio, lo streaming video).
- Gestione della domanda di capacità
- Provisioning di nuove istanze server quando vengono raggiunte le soglie di capacità
Gestione dei media
Supporti rimovibili
Attualmente non autorizziamo i supporti rimovibili per scopi aziendali.
Trasferimento dei supporti fisici
Attualmente non autorizziamo il trasferimento di supporti fisici per scopi commerciali.
Restituzione delle attività in caso di cessazione del rapporto di lavoro
- Il processo di cessazione include la restituzione di tutti i beni fisici ed elettronici di proprietà o affidati a Rask AI, come indicato nei Termini e condizioni di impiego e nella Politica di gestione dei beni.
- Se le apparecchiature di Rask AI sono state acquistate da un dipendente o da un utente terzo, o se sono state utilizzate apparecchiature personali, tutte le informazioni pertinenti devono essere trasferite a Rask AI e cancellate in modo sicuro dalle apparecchiature.
- La copia non autorizzata di informazioni da parte di dipendenti e appaltatori sarà monitorata e controllata durante il periodo di cessazione.
Smaltimento dei supporti
Le fasi per lo smaltimento sicuro dei supporti contenenti informazioni riservate saranno proporzionali alla sensibilità di tali informazioni. Le seguenti linee guida saranno applicate di conseguenza:
- Identificazione degli articoli che devono essere smaltiti.
- Utilizzo di servizi di raccolta e smaltimento appropriati da parte di terzi.
- Smaltimento sicuro tramite incenerimento o triturazione, o cancellazione dei dati per il riutilizzo all'interno dell'azienda.
- Valutazione del rischio dei supporti danneggiati per determinare lo smaltimento o la riparazione.
- Crittografia dell'intero disco per ridurre il rischio di divulgazione di informazioni riservate, in linea con la politica di crittografia di Rask AI.
- Registrare ogni smaltimento per mantenere una traccia di audit.