Bezbednost informacija

Verzija 1.0 · 22. oktobar 2026. · Predlog za formalno usvajanje. Opseg: MENSCH i relevantna povezana pravna lica, u skladu sa ugovorima i primenljivim pravom.

1. Politika i cilj

Cilj je očuvanje poverljivosti, integriteta i dostupnosti informacija u meri primerenoj poslovnom riziku. Politika se odnosi na zaposlene, angažovana lica, uređaje, servise i sisteme koji obrađuju poslovne informacije.

2. Uloge i odgovornosti

Rukovodstvo odobrava rizike i resurse. Vlasnik sistema određuje pristup i klasifikaciju. Korisnici štite naloge i prijavljuju incidente. Za svakog klijenta i servis mora biti jasno ko upravlja infrastrukturom i ko reaguje na incident.

3. Klasifikacija informacija

Informacije se klasifikuju kao javne, interne, poverljive ili strogo poverljive. Poverljivi materijali uključuju podatke klijenata, izvorni kod, ugovore, konfiguracije i pristupne tajne. Deljenje i čuvanje zavise od klase.

4. Upravljanje identitetom i pristupom

Primenjuju se jedinstveni korisnički nalozi gde je moguće, princip najmanjih privilegija, MFA za administrativne i kritične naloge kada je podržan, pravovremeno ukidanje pristupa i periodična provera privilegija. Zajednički nalozi izbegavaju se ili strogo kontrolišu.

5. Lozinke i tajne

Lozinke i API ključevi čuvaju se u namenskim bezbednim skladištima, ne u javnim repozitorijumima ili otvorenim porukama. Tajne se rotiraju kada postoji sumnja na kompromitovanje. Produkcioni ključevi ne koriste se u testnim okruženjima bez opravdanja.

6. Uređaji i rad na daljinu

Radni uređaji treba da koriste ažuriran softver, zaključavanje ekrana, enkripciju gde je dostupna i kontrolisan pristup. Izgubljen uređaj prijavljuje se bez odlaganja. Korišćenje ličnih uređaja zahteva odgovarajuću zaštitu podataka.

7. Mreža i infrastruktura

Pristup administrativnim servisima ograničava se, mrežne usluge se konfigurišu po principu najmanje izloženosti, a sigurnosna ažuriranja planiraju prema riziku. Zaštitni zid, WAF i monitoring uvode se prema arhitekturi i ugovorenoj usluzi.

8. Razvoj i promene

Razvoj obuhvata kontrolu verzija, razdvajanje okruženja kada je opravdano, proveru zavisnosti, validaciju ulaza, kontrolu ovlašćenja, zaštitu od čestih veb ranjivosti i pregled značajnih izmena. Promene u produkciji moraju biti sledljive i po potrebi povratne.

9. MenschOS multi-tenant kontrole

Svaki zahtev mora proveravati identitet, ulogu i pripadnost tenant-u. Administrativne operacije, izvozi, fajlovi, redovi poslova i keš moraju poštovati granice tenant-a. Izolacija se proverava testovima i kontrolama pristupa.

10. Enkripcija i prenos

Za javne servise koristi se odgovarajuća transportna zaštita. Enkripcija podataka u mirovanju, upravljanje ključevima i rotacija definišu se prema riziku i platformi. Osetljivi podaci ne šalju se nebezbednim kanalima.

11. Backup i oporavak

Za svaki upravljani sistem definišu se učestalost rezervnih kopija, period čuvanja, lokacija, ovlašćenja, test vraćanja i ciljevi oporavka, ako su ugovoreni. Postojanje backup-a ne garantuje oporavak svih podataka.

12. Evidencije i nadzor

Prikupljaju se potrebni događaji o prijavama, promenama privilegija i kritičnim radnjama, uz minimizaciju ličnih podataka. Logovi se štite od neovlašćenih izmena i čuvaju prema definisanom roku.

13. Incident response

Incident se prijavljuje, klasifikuje, ograničava, istražuje, otklanja i dokumentuje. Potrebno je sačuvati dokaze, odrediti uticaj i obavestiti klijenta ili organ kada to nalažu ugovor ili zakon. Nakon incidenta sprovodi se analiza uzroka.

14. Dobavljači i cloud

Pre angažovanja proveravaju se bezbednosni i ugovorni rizici, lokacije obrade, podizvođači, dostupnost izvoza i uslovi prekida saradnje. Ključni dobavljači se periodično preispituju.

15. AI alati

Zabranjen je unos poverljivih podataka ili izvornog koda klijenata u neodobrene AI servise. Generisani kod prolazi odgovarajuću proveru kvaliteta, licenci i bezbednosti.

16. Zadržavanje i uništavanje

Podaci se čuvaju prema zakonskim i ugovornim rokovima. Po isteku roka brišu se ili anonimizuju kada je to tehnički i pravno moguće. Pristup arhivama se ograničava.

17. Izuzeci i revizija

Izuzeci od politike zahtevaju dokumentovano odobrenje, procenu rizika i rok važenja. Politika se preispituje najmanje godišnje ili nakon značajnog incidenta.

Upravljanje dokumentom

Odgovorno lice: rukovodstvo odgovarajućeg pravnog lica. Pregled: najmanje jednom godišnje. Stupanje na snagu: datum formalnog usvajanja. Kontakt: hi@mensch.rs.