Σχέδιο Προστασίας Απορρήτου και Ασφάλειας Δεδομένων της Stock-Trak Inc.

1. Περιγράψτε πώς θα εφαρμόσετε τις ισχύουσες συμβατικές απαιτήσεις για την ασφάλεια και την προστασία των δεδομένων καθ’ όλη τη διάρκεια της Σύμβασης.
   • Τα δεδομένα της Stock-Trak αποθηκεύονται σε μια ασφαλή, επαγγελματικά διαχειριζόμενη εγκατάσταση φιλοξενίας Type 2, SOC 2. Τα προσωπικά αναγνωρίσιμα δεδομένα των μαθητών διαγράφονται αυτόματα μετά από 1 έτος αδράνειας του χρήστη. Η Stock-Trak έχει ορίσει συγκεκριμένο προσωπικό που είναι υπεύθυνο για τη διασφάλιση της συμμόρφωσης με τις συμφωνίες της για την προστασία του απορρήτου και την ασφάλεια των δεδομένων, καθώς και για τη συνεχή προσπάθεια τήρησης των εθνικών προτύπων προστασίας απορρήτου και ασφάλειας δεδομένων. Η διοικητική ομάδα της Stock-Trak έχει διαθέσει τους απαραίτητους πόρους ώστε να διασφαλίζει ότι αυτοί οι στόχοι υλοποιούνται και επιτυγχάνονται σε συνεχή βάση.
2. Καθορίστε τις διοικητικές, λειτουργικές και τεχνικές δικλείδες ασφαλείας και πρακτικές που έχετε θέσει σε εφαρμογή για την προστασία των προσωπικών αναγνωρίσιμων δεδομένων.
   • Η Stock-Trak έχει εφαρμόσει διαδικασίες ώστε να διασφαλίζεται ότι συλλέγονται τα ελάχιστα δυνατά προσωπικά αναγνωρίσιμα δεδομένα μαθητών. Τα δεδομένα προστατεύονται μέσω τείχους προστασίας και είναι επίσης κρυπτογραφημένα κατά τη μεταφορά και σε κατάσταση αποθήκευσης. Όλο το προσωπικό της εκπαιδεύεται στις διαδικασίες ασφάλειας δεδομένων και προστασίας απορρήτου και έχει υπογράψει συμφωνίες εμπιστευτικότητας. Η Stock-Trak υποβάλλεται τακτικά σε ελέγχους ασφαλείας που διενεργούνται από ανεξάρτητα τρίτα μέρη και στη συνέχεια προβαίνει στις απαραίτητες διορθωτικές ενέργειες για την αποκατάσταση τυχόν ευπαθειών που ενδέχεται να εντοπιστούν.
3. Αναφέρετε την εκπαίδευση που έχουν λάβει οι εργαζόμενοί σας και τυχόν υπεργολάβοι που συμμετέχουν στην παροχή υπηρεσιών στο πλαίσιο της Σύμβασης σχετικά με τους ομοσπονδιακούς και πολιτειακούς νόμους που διέπουν την εμπιστευτικότητα των προσωπικών αναγνωρίσιμων δεδομένων.
   • Απαιτούμε από όλους τους εργαζομένους να ολοκληρώνουν πρόγραμμα εκπαίδευσης ευαισθητοποίησης για την ασφάλεια, καθώς και να παρακολουθούν έκτακτες εκπαιδευτικές συνεδρίες που καλύπτουν συγκεκριμένα θέματα σχετικά με την ασφάλεια.
4. Περιγράψτε τις διαδικασίες σύναψης συμβάσεων που διασφαλίζουν ότι οι εργαζόμενοί σας και τυχόν υπεργολάβοι δεσμεύονται, κατ’ ελάχιστον, με έγγραφη συμφωνία ως προς τις απαιτήσεις της Σύμβασης.
   • Όλοι οι εργαζόμενοι υποχρεούνται να υπογράφουν συμφωνίες εμπιστευτικότητας, καθώς και επιβεβαίωση ότι έχουν ολοκληρώσει την εκπαίδευση ασφάλειας. Η Stock-Trak διαθέτει επίσης συμφωνίες με οποιουσδήποτε τρίτους αναδόχους ενδέχεται να έχουν πρόσβαση σε προσωπικά αναγνωρίσιμα δεδομένα.
5. Καθορίστε πώς θα διαχειρίζεστε τυχόν περιστατικά ασφάλειας δεδομένων και προστασίας απορρήτου που αφορούν προσωπικά αναγνωρίσιμα δεδομένα και περιγράψτε τυχόν ειδικά σχέδια που έχετε θέσει σε εφαρμογή για τον εντοπισμό παραβιάσεων ή/και μη εξουσιοδοτημένων γνωστοποιήσεων, καθώς και για την εκπλήρωση των υποχρεώσεών σας σχετικά με την αναφορά περιστατικών στην EA.
   • Η Stock-Trak έχει δημιουργήσει επίσημο σχέδιο αντιμετώπισης περιστατικών, ώστε να παρέχει μια σαφώς καθορισμένη και οργανωμένη προσέγγιση για τη διαχείριση παραβιάσεων ασφάλειας.
6. Περιγράψτε πώς θα μεταφερθούν τα δεδομένα στην EA όταν δεν θα τα χρειάζεστε πλέον για την εκπλήρωση των συμβατικών σας υποχρεώσεων, εφόσον αυτό εφαρμόζεται.
   • Τα προσωπικά αναγνωρίσιμα δεδομένα διαγράφονται μετά από 1 έτος αδράνειας ή εντός 30 ημερών κατόπιν γραπτού αιτήματος από την EA.
7. Περιγράψτε τις πρακτικές ασφαλούς καταστροφής που εφαρμόζετε και πώς θα παρασχεθεί πιστοποίηση στην EA.
   • Τα δεδομένα προσωπικού χαρακτήρα διαγράφονται μετά από 1 έτος αδράνειας. Η Stock-Trak θα παρέχει γραπτή βεβαίωση ότι τα δεδομένα προσωπικού χαρακτήρα έχουν διαγραφεί, κατόπιν αιτήματος από την EA.
8. Περιγράψτε πώς το πρόγραμμα/οι πρακτικές σας για την ασφάλεια και το απόρρητο των δεδομένων ευθυγραμμίζονται με τις ισχύουσες πολιτικές της EA.
   • Τα δεδομένα προσωπικού χαρακτήρα προστατεύονται σε ασφαλή εγκατάσταση SOC Τύπου II. Όλα τα δεδομένα προσωπικού χαρακτήρα είναι κρυπτογραφημένα και είναι προσβάσιμα μόνο από εξουσιοδοτημένο προσωπικό, το οποίο είναι κατάλληλα εκπαιδευμένο και δεσμεύεται από συμφωνίες εμπιστευτικότητας. Η Stock-Trak δεν κοινοποιεί ούτε αποκαλύπτει δεδομένα προσωπικού χαρακτήρα σε τρίτους και διαγράφει τα δεδομένα προσωπικού χαρακτήρα μετά από 12 μήνες αδράνειας ή κατόπιν γραπτού αιτήματος από την EA. Η Stock-Trak διαθέτει ομάδα υπεύθυνη για την ασφάλεια και το απόρρητο των δεδομένων και διενεργεί επίσης τακτικά ελέγχους ασφαλείας, ώστε να διασφαλίζει ότι τηρούνται τα κατάλληλα πρότυπα.
9. Περιγράψτε πώς το πρόγραμμα/οι πρακτικές σας για την ασφάλεια και το απόρρητο των δεδομένων ευθυγραμμίζονται ουσιαστικά με το NIST CSF v1.1 χρησιμοποιώντας το παρακάτω διάγραμμα πλαισίου

Λειτουργία	Κατηγορία	Απάντηση αναδόχου
ΑΝΑΓΝΩΡΙΣΗ (ID)	Διαχείριση Περιουσιακών Στοιχείων (ID.AM): Τα δεδομένα, το προσωπικό, οι συσκευές, τα συστήματα και οι εγκαταστάσεις που επιτρέπουν στον οργανισμό να επιτυγχάνει επιχειρηματικούς σκοπούς αναγνωρίζονται και διαχειρίζονται με συνέπεια προς τη σχετική τους σημασία για τους οργανωτικούς στόχους και τη στρατηγική κινδύνου του οργανισμού.	Η Stock-Trak αξιοποιεί τις υπηρεσίες ενός πλήρως διαχειριζόμενου παρόχου φιλοξενίας. Οι διακομιστές και οι βάσεις δεδομένων βρίσκονται σε εγκατάσταση τύπου SOC 2, η οποία υποβάλλεται σε τακτικούς ελέγχους ασφαλείας. Όλοι οι διακομιστές βρίσκονται πίσω από τείχος προστασίας και η εισερχόμενη κίνηση πρέπει επίσης να διέρχεται από το προστατευτικό τείχος προστασίας DDOS της Imperva. Μόνο το εξουσιοδοτημένο προσωπικό θα έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα μέσω ασφαλούς σύνδεσης VPN (απαιτείται έλεγχος ταυτότητας πολλαπλών παραγόντων και ασφαλείς κωδικοί πρόσβασης). Όλα τα δεδομένα προσωπικού χαρακτήρα είναι κρυπτογραφημένα κατά την αποθήκευση και τη μεταφορά. Όλο το προσωπικό και οι συνεργάτες που έχουν πρόσβαση σε δεδομένα προσωπικού χαρακτήρα έχουν υπογράψει συμφωνίες εμπιστευτικότητας και εκπαιδεύονται ώστε να τηρούν τις τυπικές πολιτικές και διαδικασίες ασφαλείας του κλάδου. Οι διακομιστές παρακολουθούνται πλήρως και τα λειτουργικά συστήματα ενημερώνονται τακτικά, όπως απαιτείται. Όλα τα δεδομένα αντιγράφονται καθημερινά εκτός εγκατάστασης.
	Επιχειρησιακό Περιβάλλον (ID.BE): Η αποστολή, οι στόχοι, τα ενδιαφερόμενα μέρη και οι δραστηριότητες του οργανισμού γίνονται κατανοητά και ιεραρχούνται· οι πληροφορίες αυτές χρησιμοποιούνται για την ενημέρωση των ρόλων, των αρμοδιοτήτων και των αποφάσεων διαχείρισης κινδύνου στον κυβερνοχώρο.	Η Stock-Trak καθορίζει σε τακτική βάση τους οργανωτικούς στόχους, τις επιδιώξεις και τις προτεραιότητές της. Υπάρχει ομάδα που διαχειρίζεται όλες τις πτυχές της διατήρησης των προτύπων του κλάδου για την προστασία και την ασφάλεια των δεδομένων. Μπορείτε να επικοινωνήσετε με την ομάδα στέλνοντας email στο απόρρητο@stocktrak.com. Η ομάδα επίσης αξιοποιεί 3η τρίτους ειδικούς κυβερνοασφάλειας, κατά περίπτωση, εφόσον χρειάζεται.
	Διακυβέρνηση (ID.GV): Οι πολιτικές, οι διαδικασίες και οι διεργασίες για τη διαχείριση και την παρακολούθηση των κανονιστικών, νομικών, κινδύνων, περιβαλλοντικών και λειτουργικών απαιτήσεων του οργανισμού είναι κατανοητές και καθοδηγούν τη διαχείριση του κινδύνου κυβερνοασφάλειας.	Η Stock-Trak διαθέτει μέτρα (συμπεριλαμβανομένων πολιτικών και διαδικασιών) για την προστασία των PII από απώλεια, κακή χρήση και μη εξουσιοδοτημένη πρόσβαση, αποκάλυψη, αλλοίωση και καταστροφή. Έχουμε θεσπίσει πολιτικές ασφάλειας που πρέπει να τηρούν όλοι οι εργαζόμενοι, καθώς και σαφώς καθορισμένους ρόλους στα πληροφοριακά συστήματα, τόσο εσωτερικά όσο και με τους εξωτερικούς συνεργάτες μας.
	Αξιολόγηση Κινδύνου (ID.RA): Ο οργανισμός κατανοεί τον κίνδυνο κυβερνοασφάλειας για τις λειτουργίες του οργανισμού (συμπεριλαμβανομένης της αποστολής, των λειτουργιών, της εικόνας ή της φήμης), τα περιουσιακά στοιχεία του οργανισμού και τα άτομα.	Η Stock-Trak συνεργάζεται τακτικά με μια εταιρεία Κυβερνοασφάλειας για τη διενέργεια εσωτερικού ελέγχου και αποκαθιστά τα εντοπισμένα τρωτά σημεία βάσει αξιολόγησης κινδύνου. Λαμβάνουμε ενημερώσεις από διάφορες πηγές σχετικά με απειλές και τρωτά σημεία, και αποκαθιστούμε τα τρωτά σημεία με βάση τα καθορισμένα επίπεδα κινδύνου για την επιχείρηση. Όλες οι νέες συμφωνίες προστασίας δεδομένων εξετάζονται από την ανώτερη διοίκηση πριν από την υπογραφή τους.
	Στρατηγική Διαχείρισης Κινδύνου (ID.RM): Οι προτεραιότητες, οι περιορισμοί, η ανοχή στον κίνδυνο και οι παραδοχές του οργανισμού καθορίζονται και χρησιμοποιούνται για τη στήριξη αποφάσεων επιχειρησιακού κινδύνου.	Η Stock-Trak συνεργάζεται με μια εταιρεία Κυβερνοασφάλειας για τακτικό έλεγχο, ώστε να εντοπίζονται τα τρωτά σημεία. Αξιολογούμε τους κινδύνους που σχετίζονται με τα τρωτά σημεία για να καθορίσουμε τα επίπεδα ανοχής μας στον κίνδυνο και να αποκαθιστούμε τα ζητήματα αναλόγως.
	Διαχείριση Κινδύνου Εφοδιαστικής Αλυσίδας (ID.SC): Οι προτεραιότητες, οι περιορισμοί, η ανοχή στον κίνδυνο και οι παραδοχές του οργανισμού καθορίζονται και χρησιμοποιούνται για τη στήριξη αποφάσεων σχετικά με τη διαχείριση του κινδύνου στην εφοδιαστική αλυσίδα. Ο οργανισμός έχει θεσπίσει και εφαρμόσει διαδικασίες για τον εντοπισμό, την αξιολόγηση και τη διαχείριση των κινδύνων της εφοδιαστικής αλυσίδας.	Η ανώτερη ηγεσία της Stock-Trak είναι ενήμερη για όλους τους κινδύνους της εφοδιαστικής αλυσίδας και έχει συνάψει συμβατικές συμφωνίες με όλους τους εξωτερικούς προμηθευτές. Οι προμηθευτές και οι συνεργάτες τρίτων επανεξετάζονται τακτικά, ώστε να επιβεβαιώνεται ότι τηρούν τις συμβατικές τους υποχρεώσεις.
ΠΡΟΣΤΑΣΙΑ (PR)	Διαχείριση Ταυτότητας, Αυθεντικοποίηση και Έλεγχος Πρόσβασης (PR.AC): Η πρόσβαση σε φυσικά και λογικά περιουσιακά στοιχεία και στις συναφείς εγκαταστάσεις περιορίζεται σε εξουσιοδοτημένους χρήστες, διεργασίες και συσκευές και διαχειρίζεται με τρόπο συνεπή προς τον εκτιμημένο κίνδυνο μη εξουσιοδοτημένης πρόσβασης σε εξουσιοδοτημένες δραστηριότητες και συναλλαγές.	Το κέντρο δεδομένων της Stock-Trak απαιτεί πρόσβαση με κάρτα για να περιορίζεται η είσοδος σε όσους χρειάζονται πρόσβαση λόγω της εργασιακής τους λειτουργίας. Οι επισκέπτες πρέπει να ταυτοποιούνται και να συνοδεύονται εντός της εγκατάστασης. Η απομακρυσμένη πρόσβαση απαιτεί έλεγχο ταυτότητας δύο παραγόντων και περιορίζεται σε όσους τη χρειάζονται. Τα συγκεκριμένα μέλη του προσωπικού έχουν πρόσβαση στη βάση δεδομένων μέσω ασφαλούς σύνδεσης VPN. Υπάρχουν διαδικασίες για την παροχή και την αφαίρεση πρόσβασης σε καθορισμένο προσωπικό και εργολάβους.
	Ευαισθητοποίηση και Εκπαίδευση (PR.AT): Το προσωπικό και οι συνεργάτες του οργανισμού λαμβάνουν εκπαίδευση ευαισθητοποίησης στην κυβερνοασφάλεια και εκπαιδεύονται ώστε να εκτελούν τα καθήκοντα και τις ευθύνες τους που σχετίζονται με την κυβερνοασφάλεια, σύμφωνα με τις σχετικές πολιτικές, διαδικασίες και συμφωνίες.	Όλοι οι εργαζόμενοι της Stock-Trak υποχρεούνται να ολοκληρώσουν ένα αρχικό και συνεχές πρόγραμμα εκπαίδευσης για την προστασία δεδομένων και την ασφάλεια, προκειμένου να χειρίζονται προσωπικές πληροφορίες. Όλοι οι εργαζόμενοι διαθέτουν μοναδικά διαπιστευτήρια σύνδεσης για πρόσβαση σε προσωπικές πληροφορίες μέσω ασφαλούς σύνδεσης VPN (η οποία περιλαμβάνει MFA), και η πρόσβαση περιορίζεται σε όσους εργαζομένους τη χρειάζονται για τη συνήθη λειτουργία της επιχείρησης. Τα μέλη της εκτελεστικής ομάδας, της ομάδας IT και της ομάδας Ανάπτυξης αποτελούν μέρος της Ομάδας Αντιμετώπισης Περιστατικών και γνωρίζουν τις απαραίτητες ενέργειες που πρέπει να ακολουθήσουν σε περίπτωση παραβίασης κυβερνοασφάλειας.
	Ασφάλεια Δεδομένων (PR.DS): Οι πληροφορίες και τα αρχεία (δεδομένα) διαχειρίζονται σύμφωνα με τη στρατηγική κινδύνου του οργανισμού, ώστε να προστατεύεται η εμπιστευτικότητα, η ακεραιότητα και η διαθεσιμότητα των πληροφοριών.	Η βάση δεδομένων της Stock-Trak φιλοξενείται στις εγκαταστάσεις της TierPoint και τόσο τα δεδομένα σε κατάσταση αποθήκευσης όσο και τα δεδομένα κατά τη μεταφορά είναι κρυπτογραφημένα. Αυτοί οι ασφαλείς διακομιστές ενημερώνονται με διορθώσεις ασφαλείας και προστατεύονται με διαχειριζόμενα τελικά σημεία. Υπάρχουν διαδικασίες για την αυτόματη διαγραφή των προσωπικών δεδομένων μετά από 1 έτος αδράνειας του χρήστη. Όλη η πρόσβαση στα δεδομένα απαιτεί μοναδικά διαπιστευτήρια σύνδεσης. Ο ειδικός IT διατηρεί ενημερωμένο απόθεμα υλικού και λογισμικού, καθώς και παρακολουθεί τη χωρητικότητα και διερευνά ειδοποιήσεις που παράγει το σύστημα.
	Διαδικασίες και Πρακτικές Προστασίας Πληροφοριών (PR.IP): Οι πολιτικές ασφάλειας (που καλύπτουν τον σκοπό, το πεδίο εφαρμογής, τους ρόλους, τις ευθύνες, τη δέσμευση της διοίκησης και τον συντονισμό μεταξύ οργανωτικών οντοτήτων), οι διαδικασίες και οι πρακτικές διατηρούνται και χρησιμοποιούνται για τη διαχείριση της προστασίας των συστημάτων πληροφοριών και των περιουσιακών στοιχείων.	Η Stock-Trak προστατεύει την πρόσβαση στο κέντρο δεδομένων της απαιτώντας είσοδο με κάρτα, ενώ οι καλεσμένοι και οι επισκέπτες πρέπει να ταυτοποιούνται και να συνοδεύονται στις εγκαταστάσεις. Ο ειδικός IT διασφαλίζει ότι οι σκληροί δίσκοι και άλλα αποσυρμένα μέσα αποθήκευσης καταστρέφονται, ώστε να αποτρέπεται η ανάκτηση δεδομένων από αυτά από μη εξουσιοδοτημένα άτομα. Έχουμε σε εφαρμογή διαδικασίες για την καταστροφή προσωπικών δεδομένων μετά από 1 έτος αδράνειας του χρήστη. Η Stock-Trak διαθέτει εφεδρική διαμόρφωση των ρυθμίσεων της συσκευής τείχους προστασίας. Διαθέτουμε συσκευή τείχους προστασίας που σαρώνει όλη την εισερχόμενη κίνηση. Πραγματοποιούμε δοκιμές στους δοκιμαστικούς μας ιστότοπους πριν από τη μετάβαση σε παραγωγικό περιβάλλον και τα αυτόματα αντίγραφα ασφαλείας εκτελούνται καθημερινά από τον πάροχο υπηρεσιών φιλοξενίας μας. Τόσο η Stock-Trak όσο και ο διαχειριζόμενος πάροχος υπηρεσιών φιλοξενίας της (προς το παρόν η TierPoint) συνεργάζονται με εταιρείες κυβερνοασφάλειας για τη διενέργεια τακτικών ελέγχων ασφάλειας και τα αποτελέσματα των δοκιμών ασφάλειας κοινοποιούνται στα κατάλληλα ενδιαφερόμενα μέρη. Η ομάδα Αντιμετώπισης Περιστατικών θα δοκιμάζει τα σχέδια ανάκαμψης και θα εξετάζει τα αποτελέσματα ετησίως, ώστε να διασφαλίζεται ότι το σχέδιο ανταποκρίνεται στις απαιτήσεις του οργανισμού. Όταν εργαζόμενοι και μη εργαζόμενοι αποχωρούν από τον οργανισμό, το Τμήμα Ανθρώπινου Δυναμικού αποστέλλει ειδοποίηση για την απενεργοποίηση των λογαριασμών δικτύου και ηλεκτρονικού ταχυδρομείου.
	Συντήρηση (PR.MA): Η συντήρηση και οι επισκευές των στοιχείων βιομηχανικού ελέγχου και του συστήματος πληροφοριών πραγματοποιούνται σύμφωνα με τις πολιτικές και τις διαδικασίες.	Ο ειδικός IT της Stock-Trak διασφαλίζει ότι όλα τα στοιχεία του συστήματος συντηρούνται τακτικά και παρακολουθούνται για έλεγχο ποιότητας. Άλλη τυπική συντήρηση (όπως ενημερώσεις και αναβαθμίσεις του λειτουργικού συστήματος) πραγματοποιείται από τον πάροχο υπηρεσιών φιλοξενίας μας όποτε απαιτείται.
	Προστατευτική Τεχνολογία (PR.PT): Οι τεχνικές λύσεις ασφάλειας διαχειρίζονται με τρόπο που διασφαλίζει την ασφάλεια και την ανθεκτικότητα των συστημάτων και των περιουσιακών στοιχείων, σύμφωνα με τις σχετικές πολιτικές, διαδικασίες και συμφωνίες.	Οι τεχνικές λύσεις ασφάλειας διαχειρίζονται τόσο από το τμήμα IT και το προσωπικό ασφάλειας της Stock-Trak, όσο και από τον επαγγελματικά διαχειριζόμενο πάροχο φιλοξενίας της (προς το παρόν η TierPoint). Η TierPoint είναι υπεύθυνη για τη συντήρηση του firewall, τη διενέργεια των καθημερινών αντιγράφων ασφαλείας, την παρακολούθηση των διακομιστών, την εφαρμογή τακτικών επιδιορθώσεων και ενημερώσεων κ.λπ. Το σύστημα χρησιμοποιεί επίσης το firewall της Imperva για προστασία από επιθέσεις DDoS και για τον φιλτράρισμα της μη ανθρώπινης κίνησης.
ΕΝΤΟΠΙΣΜΟΣ (DE)	Ανωμαλίες και Συμβάντα (DE.AE): Η ανώμαλη δραστηριότητα εντοπίζεται και ο δυνητικός αντίκτυπος των γεγονότων γίνεται κατανοητός.	Οι ειδικοί IT της Stock-Trak εξετάζουν αρχεία καταγραφής και παρακολουθούν την κίνηση του δικτύου και ειδοποιούνται σε περίπτωση μη φυσιολογικών προτύπων κίνησης και άλλων ανωμαλιών του δικτύου. Ο ειδικός IT και η ομάδα Ανάπτυξης διερευνούν τις ειδοποιήσεις, κλιμακώνοντας τα συμβάντα κατάλληλα προς τη ανώτερη διοίκηση, η οποία μπορεί να ενεργοποιήσει το σχέδιο απόκρισης σε περιστατικά. Μπορούμε να βλέπουμε συνδέσεις σε πραγματικό χρόνο από τους πόρους μας, όπου τα περιστατικά διερευνώνται, με βάση την ευαισθησία των δεδομένων που εμπλέκονται. Έχουμε ορίσει κατώφλια που ειδοποιούν την ομάδα για περιστατικά, καθώς και οδηγίες για το πότε πρέπει να κλιμακώνονται τα ζητήματα αναλόγως.
	Συνεχής Παρακολούθηση Ασφάλειας (DE.CM): Το σύστημα πληροφοριών και τα περιουσιακά στοιχεία παρακολουθούνται ώστε να εντοπίζονται γεγονότα κυβερνοασφάλειας και να επαληθεύεται η αποτελεσματικότητα των προστατευτικών μέτρων.	Όλα τα βασικά στοιχεία του δικτύου παρακολουθούνται 24/7/365. Η παρακολούθηση πραγματοποιείται από τον επαγγελματικά διαχειριζόμενο πάροχο φιλοξενίας της Stock-Trak, σε μια ασφαλή εγκατάσταση κέντρου δεδομένων με πιστοποίηση SOC 2, Type 2. Το firewall της Imperva και η προστασία από DDoS αποτελούν ένα επιπλέον επίπεδο παρακολούθησης και ασφάλειας. Έχουν οριστεί κατώφλια που δημιουργούν αυτόματες ειδοποιήσεις. Τα αρχεία καταγραφής ελέγχονται τακτικά για ανωμαλίες.
	Διαδικασίες Εντοπισμού (DE.DP): Οι διαδικασίες και τα πρωτόκολλα εντοπισμού διατηρούνται και δοκιμάζονται ώστε να διασφαλίζεται η επίγνωση των ανώμαλων γεγονότων.	Η Stock-Trak διαθέτει έναν αποκλειστικό ειδικό IT που είναι υπεύθυνος για τον εντοπισμό ανώμαλης δραστηριότητας. Διεξάγουμε δοκιμές διείσδυσης μέσω μιας εταιρείας Κυβερνοασφάλειας για να αξιολογήσουμε την ικανότητα της εταιρείας να εντοπίζει επιθέσεις. Η ανώτερη διοίκηση είναι υπεύθυνη για την επιλογή των ενεργειών αποκατάστασης που θα εκτελεστούν. Το σχέδιο απόκρισης σε περιστατικά περιλαμβάνει βήματα για την κλιμάκωση των περιστατικών προς την ομάδα Απόκρισης σε Περιστατικά, η οποία καθορίζει τους κατάλληλους εμπλεκόμενους φορείς και πότε θα κοινοποιηθούν λεπτομέρειες του περιστατικού στα επηρεαζόμενα μέρη. Ενσωματώνουμε ξανά στις πρακτικές ασφάλειάς μας όλα τα διδάγματα που προκύπτουν από τις δοκιμές και τα τεκμηριωμένα περιστατικά.
ΑΠΟΚΡΙΣΗ (RS)	Σχεδιασμός Απόκρισης (RS.RP): Οι διαδικασίες και τα πρωτόκολλα απόκρισης εκτελούνται και διατηρούνται, ώστε να διασφαλίζεται η απόκριση σε ανιχνευμένα περιστατικά κυβερνοασφάλειας.	Η Stock-Trak διαθέτει ένα Σχέδιο Αντιμετώπισης Περιστατικών, το οποίο τίθεται σε εφαρμογή σε περίπτωση παραβίασης κυβερνοασφάλειας. Η Stock-Trak διατηρεί στενή συνεργασία με τον πάροχο διαχειριζόμενων υπηρεσιών φιλοξενίας της, καθώς και με τρίτη εταιρεία που ειδικεύεται στην ασφάλεια και την προστασία δεδομένων.η εταιρεία που ειδικεύεται στην ασφάλεια και την προστασία δεδομένων.
	Επικοινωνίες (RS.CO): Οι ενέργειες απόκρισης συντονίζονται με εσωτερικά και εξωτερικά ενδιαφερόμενα μέρη (π.χ. εξωτερική υποστήριξη από τις υπηρεσίες επιβολής του νόμου).	Η Stock-Trak διατηρεί σχέδιο αντιμετώπισης περιστατικών, το οποίο περιγράφει τους ρόλους και τις ευθύνες των βασικών μελών της ομάδας και των εξωτερικών μερών. Το σχέδιο αντιμετώπισης περιστατικών καθορίζει τα βήματα κλιμάκωσης των περιστατικών ανάλογα με τη σοβαρότητα. Περιλαμβάνει κατάλογο με τα στοιχεία επικοινωνίας όλων των ατόμων με τα οποία έχουμε συμβατικές συμφωνίες, σε περίπτωση που συμβεί παραβίαση.
	Ανάλυση (RS.AN): Η ανάλυση διενεργείται ώστε να διασφαλίζεται αποτελεσματική απόκριση και να υποστηρίζονται οι ενέργειες αποκατάστασης.	Η Stock-Trak έχει ορίσει υπαλλήλους (συμπεριλαμβανομένης της διοίκησης). Ο ειδικός πληροφορικής λαμβάνει ειδοποιήσεις και καθορίζει αν ένα συμβάν ή περιστατικό πρέπει να διερευνηθεί. Εάν δεν απαιτείται κλιμάκωση, η ειδοποίηση κλείνει. Τα συμβάντα και τα περιστατικά διερευνώνται και αξιολογούνται κατά προτεραιότητα, με βάση την ευαισθησία των δεδομένων και των περιουσιακών στοιχείων που εμπλέκονται. Η εκτελεστική ομάδα θα συνεργαστεί με μια εταιρεία κυβερνοασφάλειας για περιστατικά που απαιτούν εγκληματολογική διερεύνηση.
	Μετριασμός (RS.MI): Οι ενέργειες πραγματοποιούνται ώστε να αποτραπεί η εξάπλωση ενός συμβάντος, να μετριαστούν οι επιπτώσεις του και να επιλυθεί το περιστατικό.	Τα μέλη της ομάδας αντιμετώπισης περιστατικών θα διατηρούν ένα σχέδιο αντιμετώπισης περιστατικών που περιλαμβάνει τα απαραίτητα βήματα για τον περιορισμό και τον μετριασμό των περιστατικών. Η Stock-Trak ήδη μετριάζει σημαντικά τον κίνδυνο, επιτρέποντας στους πελάτες-χρήστες της να δημιουργούν λογαριασμούς χωρίς να απαιτείται καμία προσωπική πληροφορία.
	Βελτιώσεις (RS.IM): Οι οργανωτικές ενέργειες απόκρισης βελτιώνονται με την ενσωμάτωση των διδαγμάτων από τις τρέχουσες και προηγούμενες ενέργειες ανίχνευσης/απόκρισης.	Η Ομάδα Αντιμετώπισης Περιστατικών της Stock-Trak θα συνεδριάζει για να συζητήσει όλα τα διδάγματα που αντλήθηκαν μετά από ένα περιστατικό και να ενημερώσει το σχέδιο αντιμετώπισης περιστατικών με βάση τα αποτελέσματα ενός περιστατικού σχετικού με την ασφάλεια και τις συναφείς ενέργειες και τα αποτελέσματά τους.
ΑΠΟΚΑΤΑΣΤΑΣΗ (ΡΚ)	Σχεδιασμός αποκατάστασης (RC.RP): Οι διαδικασίες και οι μέθοδοι αποκατάστασης εκτελούνται και διατηρούνται, ώστε να διασφαλίζεται η επαναφορά συστημάτων ή στοιχείων που επηρεάστηκαν από περιστατικά κυβερνοασφάλειας.	Η Stock-Trak διαθέτει ένα καλά ορισμένο σχέδιο, που περιγράφει τους βασικούς ρόλους και τις αρμοδιότητες σε περίπτωση παραβίασης της κυβερνοασφάλειας. Το περιβάλλον μας φιλοξενείται στην TierPoint, όπου πραγματοποιούμε καθημερινά αντίγραφα ασφαλείας εκτός εγκαταστάσεων. Σε περίπτωση καταστροφής, η TierPoint θα επανεκκινήσει το περιβάλλον μας σε ένα από τα δευτερεύοντα κέντρα δεδομένων της, όπου μπορούμε να επαναφέρουμε τα δεδομένα από το τελευταίο καθημερινό αντίγραφο ασφαλείας.
	Βελτιώσεις (RC.IM): Ο σχεδιασμός και οι διαδικασίες αποκατάστασης βελτιώνονται με την ενσωμάτωση των διδαγμάτων από μελλοντικές δραστηριότητες.	Η ομάδα αντιμετώπισης περιστατικών της Stock-Trak θα συζητά όλα τα διδάγματα μετά από κάθε αντιμετώπιση περιστατικού. Η ομάδα θα επανεξετάζει το σχέδιο αντιμετώπισης περιστατικών σε ετήσια βάση, ώστε να διασφαλίζεται ότι ενσωματώνονται τυχόν απαραίτητες αλλαγές.
	Επικοινωνίες (RC.CO): Οι δραστηριότητες αποκατάστασης συντονίζονται με εσωτερικά και εξωτερικά μέρη (π.χ. κέντρα συντονισμού, παρόχους υπηρεσιών διαδικτύου, ιδιοκτήτες επιτιθέμενων συστημάτων, θύματα, άλλες ομάδες CSIRT και προμηθευτές).	Η Ομάδα Αντιμετώπισης Περιστατικών της Stock-Trak είναι υπεύθυνη για τον συντονισμό και τη διαχείριση της επικοινωνίας προς όλα τα εξωτερικά και εσωτερικά μέρη κατά τη διάρκεια ενός περιστατικού. Επιπλέον, τα μέλη της Ομάδας Αντιμετώπισης Περιστατικών θα καθορίζουν τα επόμενα βήματα για την αποκατάσταση της ζημίας στη φήμη και θα επικοινωνούν με τα εξωτερικά ενδιαφερόμενα μέρη. Καθ' όλη τη διάρκεια της διαδικασίας αντιμετώπισης και αποκατάστασης, η ομάδα ανάπτυξης και/ή η εξωτερική εταιρεία κυβερνοασφάλειας που έχει αναλάβει το έργο θα παρέχει έγκαιρες ενημερώσεις στην ομάδα.