তাদের আপনার সম্পূর্ণ অভ্যন্তরীণ আইটি নীতিের অনুলিপিটির প্রয়োজন নেই তবে আমি মনে করি তারা এর মতো কিছু হওয়ার পরেও হতে পারে - আপনাকে কতটা বিশদ সরবরাহ করতে হবে এবং কী প্রয়োজন তা নির্ধারণ করার জন্য কারও কাছে অবশ্যই আপনাকে চুক্তি সম্পর্কে পর্যাপ্ত তথ্য পাওয়া দরকার। থো আমি জোসেফের সাথে একমত - যদি তাদের আইনী / আনুগত্যের কারণে তথ্যের প্রয়োজন হয় তবে আইনী ইনপুট থাকা দরকার।
পেছনের তথ্য
1) আপনার কর্মচারীদের কেউ মার্কিন বাহিরে অবস্থিত?
২) আপনার সংস্থা কি তথ্য সুরক্ষা নীতিগুলি আনুষ্ঠানিকভাবে এবং নথিভুক্ত করেছে?
3) আপনার তথ্য সুরক্ষা নীতি দ্বারা তথ্য এবং তথ্য হ্যান্ডলিং এবং শ্রেণিবদ্ধকরণ হয়?
৪) আপনি যে রাজ্য (গুলি) পরিচালনা করছেন সেখানে বর্তমানে কোনও অসামান্য নিয়ন্ত্রক সমস্যা রয়েছে যা আপনি সম্বোধন করছেন? যদি হাঁ, তবে দয়া করে ব্যাখ্যা করুন.
সাধারণ সুরক্ষা
1) কর্মচারী এবং ঠিকাদারদের জন্য আপনার কাছে কোনও তথ্য সুরক্ষা সচেতনতা প্রশিক্ষণ প্রোগ্রাম রয়েছে?
2) আপনি বর্তমানে আপনার সিস্টেম এবং অ্যাপ্লিকেশনগুলিতে অ্যাক্সেস প্রমাণীকরণ ও অনুমোদনের জন্য নিম্নলিখিত কোন পদ্ধতিটি ব্যবহার করেছেন:
- অপারেটিং সিস্টেম দ্বারা সঞ্চালিত
- বাণিজ্যিক পণ্য দ্বারা সম্পাদিত
- একক সাইন
- ক্লায়েন্ট-সাইড ডিজিটাল শংসাপত্র
- অন্যান্য দ্বি-ফ্যাক্টর প্রমাণীকরণ
- বাসা বাড়ছে
- জায়গায় কোনও প্রমাণীকরণের ব্যবস্থা নেই
3) কর্মচারী, ঠিকাদার, টেম্পস, বিক্রেতাদের এবং ব্যবসায়িক অংশীদারদের জন্য অ্যাক্সেস কে অনুমোদিত করে?
৪) আপনি কি আপনার কর্মীদের (ঠিকাদার, টেম্পস, বিক্রেতারা, ইত্যাদি সহ) আপনার নেটওয়ার্কগুলিতে দূরবর্তী অ্যাক্সেসের অনুমতি দিচ্ছেন?
5) আপনার কাছে কোনও তথ্য সুরক্ষা ঘটনার প্রতিক্রিয়া পরিকল্পনা রয়েছে? যদি না হয় তবে কীভাবে তথ্য সুরক্ষা ঘটনাগুলি পরিচালনা করা হয়?
)) আপনার কী এমন নীতি আছে যা আপনার কোম্পানির বাইরের ইমেল বার্তাগুলিতে অভ্যন্তরীণ বা গোপনীয় তথ্য হ্যান্ডলিংয়ের উদ্দেশ্যে সম্বোধন করে?
7) আপনি কি কমপক্ষে বার্ষিক আপনার তথ্য সুরক্ষা নীতি এবং মান পর্যালোচনা করেন?
8) আপনার কোম্পানির সুরক্ষিত অঞ্চলে অননুমোদিত অ্যাক্সেস রোধ করতে কোন পদ্ধতি এবং শারীরিক নিয়ন্ত্রণগুলি রয়েছে?
- লক রুমগুলিতে নেটওয়ার্ক সার্ভার
- সুরক্ষা সনাক্তকরণ (অ্যাক্সেস কার্ড, বায়োমেট্রিকস ইত্যাদি) দ্বারা সার্ভারগুলিতে শারীরিক অ্যাক্সেস সীমিত
- ভিডিও পর্যবেক্ষণ
- সাইন ইন লগ এবং পদ্ধতি
- সুরক্ষিত অঞ্চলে সুরক্ষিত ব্যাজ বা আইডি কার্ড সর্বদা দৃশ্যমান
- নিরাপত্তারক্ষী
- না
- অন্যান্য, দয়া করে অতিরিক্ত বিশদ সরবরাহ করুন
9) দয়া করে সমস্ত পরিবেশের জন্য আপনার পাসওয়ার্ড নীতি বর্ণনা করুন? অর্থাৎ। দৈর্ঘ্য, শক্তি এবং বার্ধক্য
10) আপনার কি দুর্যোগ পুনরুদ্ধারের পরিকল্পনা রয়েছে (ডিআর)? যদি হ্যাঁ, আপনি কতবার এটি পরীক্ষা করেন?
১১) আপনার কি বিজনেস কন্টিনিউটি (বিসি) পরিকল্পনা আছে? যদি হ্যাঁ, আপনি কতবার এটি পরীক্ষা করেন?
12) আপনি যদি আমাদের পরীক্ষার ফলাফলের একটি অনুলিপি প্রদান করেন (বিসি এবং ডিআর) অনুরোধ করা হয়?
আর্কিটেকচার এবং সিস্টেম পর্যালোচনা
1) [সংস্থার] ডেটা এবং / অথবা অ্যাপ্লিকেশনগুলি কোনও ডেডিকেটেড বা শেয়ার্ড সার্ভারে সঞ্চয় এবং / বা প্রক্রিয়াজাত করা হবে?
২) যদি কোনও শেয়ার্ড সার্ভারে থাকে তবে [সংস্থার] ডেটা অন্য সংস্থার ডেটা থেকে কীভাবে ভাগ করা হবে?
3) সংস্থার সাথে সংযোগের কী ধরণের সংস্থাগুলি সরবরাহ করা হবে?
- ইন্টারনেটের
- ব্যক্তিগত / লিজড লাইন (যেমন, টি 1)
- ডায়াল-আপ
- ভিপিএন (ভার্চুয়াল প্রাইভেট নেটওয়ার্ক)
- টার্মিনাল পরিষেবা
- না
- অন্যান্য, দয়া করে অতিরিক্ত বিশদ সরবরাহ করুন
4) এই নেটওয়ার্ক সংযোগটি এনক্রিপ্ট করা হবে? যদি হ্যাঁ, তবে এনক্রিপশনের কোন পদ্ধতি ব্যবহার করা হবে?
5) সমাধানটি ব্যবহারের জন্য কি কোনও ক্লায়েন্ট-সাইড কোড (অ্যাক্টিভএক্স বা জাভা কোড সহ) প্রয়োজন? যদি হ্যাঁ, দয়া করে বর্ণনা করুন।
)) আপনার নিজের ওয়েব সার্ভার (গুলি) এ বাহ্যিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণ করতে ফায়ারওয়াল (গুলি) রয়েছে কি? যদি না হয় তবে এই সার্ভারটি কোথায় অবস্থিত?
)) আপনার নেটওয়ার্কগুলিতে অ্যাপ্লিকেশনগুলিতে ইন্টারনেট অ্যাক্সেসের জন্য কোনও ডিএমজেড অন্তর্ভুক্ত রয়েছে? যদি না হয় তবে এই অ্যাপ্লিকেশনগুলি কোথায় অবস্থিত?
8) আপনার সংস্থা অস্বীকৃত-পরিষেবা বিঘ্নের বিরুদ্ধে নিশ্চিত করার পদক্ষেপ গ্রহণ করে? দয়া করে এই পদক্ষেপগুলি বর্ণনা করুন
9) আপনি নিম্নলিখিত তথ্য সুরক্ষা পর্যালোচনা / পরীক্ষা সম্পাদন করেন?
- অভ্যন্তরীণ সিস্টেম / নেটওয়ার্ক স্ক্যান
- অভ্যন্তরীণভাবে পরিচালিত স্ব মূল্যায়ন এবং / অথবা কারণে অধ্যবসায় পর্যালোচনা
- অভ্যন্তরীণ কোড পর্যালোচনা / পিয়ার পর্যালোচনা
- বাহ্যিক তৃতীয় পক্ষের অনুপ্রবেশ পরীক্ষা / অধ্যয়ন
- অন্যান্য, দয়া করে বিশদ সরবরাহ করুন এই পরীক্ষাগুলি কত ঘন ঘন সঞ্চালিত হয়?
10) নিম্নলিখিত তথ্যগুলির মধ্যে সুরক্ষা অনুশীলনগুলির মধ্যে কোনটি আপনার সংস্থার মধ্যে সক্রিয়ভাবে ব্যবহৃত হচ্ছে
- অ্যাক্সেস নিয়ন্ত্রণ তালিকাগুলি
- ডিজিটাল শংসাপত্র - সার্ভার সাইড
- ডিজিটাল শংসাপত্র - ক্লায়েন্ট সাইড
- ডিজিটাল স্বাক্ষর
- নেটওয়ার্ক ভিত্তিক অনুপ্রবেশ সনাক্তকরণ / প্রতিরোধ
- হোস্ট ভিত্তিক অনুপ্রবেশ সনাক্তকরণ / প্রতিরোধ
- অনুপ্রবেশ সনাক্তকরণ / প্রতিরোধের স্বাক্ষর ফাইলগুলিতে নির্ধারিত আপডেট
- অনুপ্রবেশ 24x7 নিরীক্ষণ
- অবিরাম ভাইরাস স্ক্যানিং
- ভাইরাস সিগনেচার ফাইলগুলিতে নির্ধারিত আপডেট
- অনুপ্রবেশ অধ্যয়ন এবং / অথবা পরীক্ষা
- না
১১) আপনার অপারেটিং সিস্টেমগুলিকে শক্ত করতে বা সুরক্ষিত করার জন্য আপনার কি মান রয়েছে?
12) আপনার অপারেটিং সিস্টেমগুলিতে আপডেট এবং হট ফিক্স প্রয়োগ করার জন্য আপনার কি শিডিউল রয়েছে? যদি না হয় তবে দয়া করে কী এবং কখন কী প্যাচগুলি এবং সমালোচনামূলক আপডেটগুলি প্রয়োগ করবেন তা নির্ধারণ করুন
13) কোনও শক্তি বা নেটওয়ার্ক ব্যর্থতা থেকে সুরক্ষা দেওয়ার জন্য, আপনি কি আপনার মূল লেনদেনের সিস্টেমগুলির জন্য পুরোপুরি নিরর্থক সিস্টেমগুলি বজায় রাখছেন?
ওয়েব সার্ভার (প্রযোজ্য ক্ষেত্রে)
1) অ্যাপ্লিকেশন / ডেটা অ্যাক্সেস করতে ব্যবহৃত ইউআরএল কী?
2) ওয়েব সার্ভারটি কোন অপারেটিং সিস্টেম (গুলি)? (দয়া করে ওএসের নাম, সংস্করণ এবং পরিষেবা প্যাক বা প্যাচ স্তর সরবরাহ করুন))
3) ওয়েব সার্ভার সফ্টওয়্যার কি?
অ্যাপ্লিকেশন সার্ভার (প্রযোজ্য ক্ষেত্রে)
1) অ্যাপ্লিকেশন সার্ভারটি কোন অপারেটিং সিস্টেম (গুলি)? (দয়া করে ওএসের নাম, সংস্করণ এবং পরিষেবা প্যাক বা প্যাচ স্তর সরবরাহ করুন))
2) অ্যাপ্লিকেশন সার্ভার সফ্টওয়্যার কি?
3) আপনি কি ভূমিকা ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ ব্যবহার করছেন? যদি হ্যাঁ, অ্যাক্সেসের স্তরগুলি কীভাবে ভূমিকার জন্য নিযুক্ত করা হয়?
৪) আপনি কীভাবে নিশ্চিত করতে পারেন যে যথাযথ অনুমোদন এবং দায়িত্বের বিভাজন রয়েছে?
৫) আপনার অ্যাপ্লিকেশনটি কি বহু-স্তরের ব্যবহারকারীর অ্যাক্সেস / সুরক্ষা ব্যবহার করে? হ্যাঁ, বিবরণ প্রদান করুন।
)) আপনার আবেদনের ক্রিয়াকলাপ কি তৃতীয় পক্ষের সিস্টেম বা পরিষেবা দ্বারা তদারকি করা হচ্ছে? যদি হ্যাঁ তবে আমাদের সংস্থা এবং পরিষেবার নাম এবং কী তথ্য পর্যবেক্ষণ করা হচ্ছে তা সরবরাহ করুন
ডাটাবেস সার্ভার (প্রযোজ্য ক্ষেত্রে)
1) ডাটাবেস সার্ভার (গুলি) কোন অপারেটিং সিস্টেম (গুলি)? (দয়া করে ওএসের নাম, সংস্করণ এবং পরিষেবা প্যাক বা প্যাচ স্তর সরবরাহ করুন))
2) কোন ডাটাবেস সার্ভার সফ্টওয়্যার ব্যবহার করা হচ্ছে?
3) ডিবি প্রতিলিপি করা হয়?
4) ডিবি সার্ভারটি একটি গুচ্ছের অংশ?
5) [সংস্থার] এর ডেটা অন্য সংস্থার কাছ থেকে আলাদা করার জন্য (যদি কিছু থাকে) কী করা হয়?
)) ডিস্কে সঞ্চিত অবস্থায় [সংস্থার] ডেটা কি এনক্রিপ্ট করা হবে? যদি হ্যাঁ, দয়া করে এনক্রিপশন পদ্ধতিটি বর্ণনা করুন
)) উত্স ডেটা কীভাবে ধরা হয়?
8) ডেটা অখণ্ডতার ত্রুটিগুলি কীভাবে পরিচালনা করা হয়?
নিরীক্ষণ এবং লগিং
1) আপনি কি গ্রাহক অ্যাক্সেস লগ ইন:
- ওয়েব সার্ভার?
- অ্যাপ্লিকেশন সার্ভার?
- ডাটাবেস সার্ভার?
2) লগগুলি পর্যালোচনা করা হয়? যদি হ্যাঁ, দয়া করে প্রক্রিয়াটি ব্যাখ্যা করুন এবং কতবার তাদের পর্যালোচনা করা হয়?
3) আপনি নিরীক্ষণ লগ এবং লেনদেন লগগুলি বজায় রাখতে এবং নিরীক্ষণের জন্য সিস্টেম এবং সংস্থান সরবরাহ করেন? যদি হ্যাঁ, আপনি কোন লগগুলি ধরে রাখবেন এবং আপনি কতক্ষণ সেগুলি সঞ্চয় করেন?
৪) আপনি কি [কোম্পানী] আপনার সিস্টেম লগগুলি আমাদের সংস্থার মতো পর্যালোচনা করার অনুমতি দেবেন?
গোপনীয়তা
1) যখন আর প্রয়োজন হয় না তখন [সংস্থার] ডেটা ডেস্লাসাইফাই / মুছে ফেলার / বাতিল করার জন্য কী কী প্রক্রিয়া এবং পদ্ধতিগুলি ব্যবহার করা হয়?
২) আপনি কি ভুল সময়ে বা দুর্ঘটনাক্রমে গ্রাহকের তথ্য প্রকাশ করেছেন?
যদি হ্যাঁ, তবে আপনি কোন সংশোধনমূলক পদক্ষেপগুলি কার্যকর করেছেন?
3) ঠিকাদার (অ-কর্মচারী) সংবেদনশীল বা গোপনীয় তথ্যে অ্যাক্সেস পেয়েছে? যদি হ্যাঁ, তারা কি কোনও প্রকাশ-ছাড়াই চুক্তিতে স্বাক্ষর করেছেন?
৪) আপনার কি এমন বিক্রেতারা আছেন যা আপনার নেটওয়ার্ক, সিস্টেম বা অ্যাপ্লিকেশনগুলিকে অ্যাক্সেস এবং রক্ষণাবেক্ষণের জন্য অনুমোদিত? যদি হ্যাঁ, তবে এই বিক্রেতারা কি লিখিত চুক্তির আওতায় গোপনীয়তা, পটভূমি চেক এবং ক্ষতির বিরুদ্ধে বীমা / ক্ষতিপূরণ প্রদান করে?
৫) আপনার ডেটাটি কীভাবে শ্রেণিবদ্ধ ও সুরক্ষিত হয়?
অপারেশনস
1) আপনার ব্যাক-আপগুলির ফ্রিকোয়েন্সি এবং স্তর কী?
2) ব্যাক-আপগুলির অনসাইটসাইট ধরে রাখার সময়কালটি কী?
3) আপনার ব্যাকআপগুলি কোন ফর্ম্যাটে সঞ্চিত আছে?
4) আপনি কি কোনও অফ-সাইট লোকেশনে ব্যাকআপ সঞ্চয় করেন? যদি হ্যাঁ, ধরে রাখার সময়কালটি কী?
5) আপনি কি আপনার ডেটা ব্যাকআপ এনক্রিপ্ট করবেন?
)) আপনি কীভাবে নিশ্চিত করতে পারেন যে কেবলমাত্র বৈধ উত্পাদন প্রোগ্রামগুলি কার্যকর করা হয়?