נוהל: הסכמי חשאיות או NDA A13.2.4
מטרה
מטרת הנוהל היא להבטיח כי דרישות לחשאיות או הסכמי NDA, המשקפים את צרכי הארגון להגנה על מידע, יזוהו, יעברו סקירות תמידיות ויתועדו, על מנת למזער את הסיכונים לאבטחת המידע.
תחום יישום
הנוהל חל על כל המידע הרגיש או הקריטי של הארגון, אשר עלול להיחשף לצדדים שלישיים.
הגדרות
- הסכם סודיות או NDA: הסכם המגביל את השימוש במידע רגיש או קריטי על ידי צדדים שלישיים.
- מידע רגיש או קריטי: מידע אשר, אם ייחשף, עלול לגרום נזק לארגון, ללקוחותיו או לעובדיו.
אחריות
הנהלה:
- אחראית על קביעת מדיניות בנוגע להסכמי סודיות או NDA.
- אחראית על אספקת המשאבים הדרושים ליישום מדיניות זו.
- אחראית על מעקב אחר ביצוע המדיניות וההנחיות.
ממונה אבטחת מידע:
- אחראי על יישום מדיניות בנוגע להסכמי סודיות או NDA.
- אחראי על ניהול תהליך יישום מדיניות זו והבטחת תאימותה לדרישות הארגון.
מנהלי מערכות:
- אחראים על ביצוע המדיניות והסקירות התקופתיות של הסכמי סודיות או NDA.
תהליך
1. קביעת מדיניות בנוגע להסכמי סודיות או NDA
הנהלת הארגון תקבע מדיניות ברורה ומפורטת בנוגע להסכמי סודיות או NDA, שתכלול את הנושאים הבאים:
- דרכי זיהוי דרישות לחשאיות: אמצעים ותהליכים שיאפשרו לזהות את הצורך בהסכם סודיות או NDA עבור מידע רגיש או קריטי.
- תהליך לביצוע סקירות של הסכמי סודיות או NDA: נהלים ותדירות לבדיקת הסכמים קיימים ועדכונם בהתאם לצרכים המשתנים של הארגון.
- תהליך לתיעוד דרישות לחשאיות או הסכמי NDA: קביעת נוהל לאיסוף ושמירת מידע לגבי דרישות לחשאיות והסכמי NDA שנחתמו.
2. זיהוי דרישות לחשאיות
הנהלת הארגון תבצע תהליך של הערכת סיכונים, על מנת לזהות את המידע הרגיש או הקריטי העלול להיחשף לצדדים שלישיים. תהליך זה יכלול:
- זיהוי סוגי המידע הרגיש.
- הגדרת תנאים בהם נדרש הסכם סודיות או NDA.
- קביעת קריטריונים להערכת סיכון חשיפה.
3. ביצוע סקירות של הסכמי סודיות או NDA
מנהלי מערכות יבצעו סקירות תמידיות של הסכמי סודיות או NDA הקיימים, על מנת לוודא כי הם עדכניים ומשקפים את צרכי הארגון:
- סקירה תקופתית של כל ההסכמים.
- התאמת ההסכמים לדרישות רגולטוריות או עסקיות חדשות.
- עדכון ההסכמים בהתאם לתנאי השוק והסיכון.
4. תיעוד דרישות לחשאיות או הסכמי NDA
מנהלי מערכות יתעדו את דרישות החשאיות או הסכמי NDA הקיימים, על מנת להבטיח כי הם נמצאים במקום נגיש לעובדים הנדרשים לעיין בהם:
- יצירת מאגר מידע מאובטח להסכמים.
- ניהול רישומים מסודרים וזמינים.
- הדרכת עובדים על גישה ושימוש בהסכמים.