打印页面

1.  目的和概述

本供应商隐私和安全政策(本“政策”)是我们与供应商(如您)合作的努力的一部分，以降低安全软件公司及其客户面临的风险。亚搏在线在当今互联的世界中，任何一组联网系统上的信息的安全性都依赖于该网络中所有参与者的安全性。本政策制定了所有安全软件供应商必须遵守的最低限度控制措施，以保护安全软件信息，以及适用时的安全软件系统(以及您的系统，如果它们与我们的系统有接口的话)。亚搏在线

2.定义术语及范围

2.1  定义术语

1. 协议:指记录并管理您与Safe Software之间关系的任何书面文件或口头协议。亚搏在线
2. 亚搏在线安全软件信息,或SSI:指从Safe Software直接或间接以任何形式收到的或关于Safe Software的亚搏在线任何信息，以及您为我们开发的或因本关系而收到的任何数据、材料、流程或信息。保护SSI是否“合适亚搏在线”取决于信息的性质。
3. 亚搏在线安全软件系统,或瑞士:指安全软件拥有、许可或以其他方式使用的计算机系统，用于处理、传输、存储或维护SSI。亚搏在线
4. 亚搏在线安全软件，我们，我们的，或我们：指安全软件公亚搏在线司。
5. 你或你的:指可访问SSI或SSS的供应商以及供应商的第三方供应商。
6. 您的系统：指由您拥有、许可或以其他方式使用的处理、传输、存储或维持SSI的计算机系统。
7. 第三方提供商:指向您提供与本政策或本协议标的有关的产品或服务的安全软件亚搏在线以外的任何实体。亚搏在线娱乐平台
8. 第三方供应商系统:指处理、传输、存储或维护SSI的第三方供应商拥有、许可或以其他方式使用的计算机系统。

2.2范围

所有SSI均受本政策约束。如果本政策与任何协议之间发生任何冲突，将以提供SSI最广泛的安全和保护的方式来解释和解释该冲突。

3.  政策声明

您将实施适当的管理、技术和物理保障措施，以确保SSI的安全性、私密性、机密性、完整性和可用性。亚搏在线SSI是否存储,处理,或通过瑞士,您的系统,或第三方供应商系统,你(如果适用)和第三方供应商将使用信息安全控制:(1)保护任何SSI和SSS你访问在执行义务的任何协议;(2)保护您的系统和存储、处理或传输SSI的第三方供应商系统。

4.  访问的终止

您对任何SSI和/或SSS的访问，包括但不限于任何安全软件客户和/或员工信息，将取决于您对本政策的持续遵守。亚搏在线我们可以立即、自动、无条件地撤销您对SSI和/或SSS的访问以及所有链接和接口，而不因任何原因或无任何理由承担责任。

5.  信息保留和处理

您将按照本协议的要求保留SSI，不向安全软件收取额外费用;如果在本政策之外亚搏在线没有商定的保留要求，则按照安全软件的书面指示保留SSI。在我们指定的保留期限结束时，或根据我们在任何时候提出的书面要求，您将按照我们的指示返回或销毁所有SSI，并书面证明您已销毁或归还所有SSI。如果我们要求销毁信息，你必须以保密的方式销毁SSI。这意味着，您将撕碎SSI的纸质副本，并以保密的方式销毁电子副本，使它们不再可用、可读或可破译，并且关于它们的信息无法检索。本政策的任何内容均不会阻止您按照法律或您所受的任何监管机构的要求，保留仍受保密义务约束的信息。

6.最低限度的资讯保安管制

您必须实施和维护以下最低限度的信息安全控制。您可以对您的业务实施适当的附加控制。

6.1安全控制的应用

这些安全控制应适用于您或您的第三方供应商使用或代表安全软件所从事的工作中涉及的人员、过程和/或技术。亚搏在线

6.2安全控制审计

1. 如果我们提出要求，您应提供一份书面说明，说明您是否遵守本政策，其中至少包括您如何实施下列各项安全控制。此书面描述将由您自费完成，并由您的授权代表以书面证明。
2. 此外，如果我们提出要求，您将允许我们或我们的独立第三方审计您对本政策的遵守情况(包括但不限于执行渗透测试和漏洞扫描)。贵方将与我方合作，自费弥补审计中发现的任何缺陷。
3. 本节并未限制我们的审计或我们在与您或您的第三方供应商的任何其他协议中可能享有的其他权利。

6.3安全控制目录

1.安全管理：必须有一个全面的书面信息安全计划，该计划基于您所在行业的最佳做法标准，旨在保护您管理的资产的机密性、完整性和可用性（“CIA”）

2.风险管理：必须进行风险评估，以评估有关信息收集、存储和使用的风险状况。必须为所有信息资产定义信息分类和所有权，以便清点和管理、控制应用程序以及遵守相关的数据保留策略。

3.人员安全:必须实施控制，使雇员、承包商/临时工人和服务提供者能够根据角色和访问遵守政策和标准，并减少盗窃、欺诈、损失和滥用设施或信息的风险。

4.物理和环境安全:必须实施、管理和审查与风险相称的适当的物理控制，以防止未经授权的物理访问、损坏和对信息资产和IT基础设施和设备的干扰。此外，必须实施、管理和审查针对外部和环境威胁的物理保护，如自然灾害、恶意攻击或事故。

5.运营管理:组织必须通过应用关键运营管理控制，安全地运营IT基础设施和支持信息资产的应用程序，包括但不限于维护系统和网络文档，采用一致和安全的变更和事件管理流程，维护供应商支持和修补的基础设施和软件。

6.安全监控和响应：供应商必须根据业务、法律和法规要求，利用适当的网络和基于端点的控制来促进用户活动、异常、故障和事件的安全记录和监控。收集的日志和相关分析必须适当存档，防止未经授权的访问，并定期审查。

7.加密控制:必须定期开发、实施和审查用于保护传输和静止信息资产的保密性、完整性和可用性的加密控制，包括用于管理和使用加密密钥的控制。

8.访问控制:必须通过使用信息安全访问控制和与风险相称的健壮授权机制来管理资源访问。

9.网络安全:必须利用特定于网络的信息安全控制来保护流经供应商网络的信息资产。

10.供应商管理:供应商必须管理其第三方，以保护安全软件资源，并确保SSI和资产的机密性、完整性和可用性。亚搏在线

12.业务连续性和灾难恢复:供应商必须具有适当的BC和DR功能，以防止或减轻业务中断和相关影响。供应商必须定期测试其BC和DR能力。

13.合规性:信息安全和数据保护控制和过程必须符合适用的法律、法规、监管或合同义务，以及任何行业标准信息安全要求，以避免违反和/或危及SSI和SSS。