Kepatuhan

Kebijakan Perlindungan Data untuk Rask AI

Brask Inc

Tujuan

Kebijakan ini menguraikan prosedur dan kontrol teknis untuk perlindungan data.

Cakupan

Sistem produksi yang menangani data pelanggan Rask AI harus mengikuti kebijakan ini.

Definisi

Data Produksi: Data yang secara aktif digunakan dan dipelihara untuk operasi bisnis dan layanan pelanggan.

Sistem Produksi: Sistem dan infrastruktur yang membuat, menerima, menyimpan, atau mengirimkan data pelanggan Rask AI.

Peran dan Tanggung Jawab

Departemen Infrastruktur ML Brask memelihara dan memperbarui kebijakan ini. CEO dan departemen hukum menyetujui kebijakan ini dan setiap perubahannya.

Kebijakan

Kebijakan Brask mensyaratkan hal itu:

• Menangani dan melindungi data sesuai dengan klasifikasi dan standar enkripsi yang disetujui.
• Simpan data dengan klasifikasi yang sama secara bersamaan; hindari pencampuran data sensitif dan tidak sensitif. Terapkan kontrol keamanan berdasarkan klasifikasi tertinggi dalam repositori.
• Karyawan tidak memiliki akses administratif langsung ke data produksi, kecuali dalam keadaan darurat (misalnya, analisis forensik, pemulihan bencana).
• Nonaktifkan layanan yang tidak perlu pada semua Sistem Produksi.
• Catat semua akses ke Sistem Produksi.
• Aktifkan pemantauan keamanan pada semua Sistem Produksi (pemantauan aktivitas dan integritas file, pemindaian kerentanan, deteksi malware).

Implementasi dan Proses Perlindungan Data

Perlindungan Data Pelanggan

Rask AI menggunakan AWS dengan data yang direplikasi di berbagai wilayah untuk redundansi dan pemulihan bencana.

Karyawan Brask mengikuti proses ini untuk melindungi Data Produksi:

• Menerapkan dan meninjau kontrol untuk mencegah perubahan atau perusakan yang tidak semestinya.
• Menyimpan data rahasia untuk mendukung log akses dan pemantauan keamanan otomatis.
• Segmentasikan dan batasi akses ke Data Produksi Pelanggan hanya untuk pelanggan yang berwenang.
• Enkripsi semua Data Produksi saat istirahat menggunakan kunci yang dikelola Brask.
• Lindungi kunci enkripsi dan mesin penghasil kunci dari akses yang tidak sah; hanya akun yang memiliki hak istimewa yang dapat mengakses materi kunci.

Akses

Akses karyawan ke bagian produksi dinonaktifkan secara default dan memerlukan persetujuan. Akses sementara diberikan sesuai kebutuhan dan ditinjau oleh tim keamanan per kasus.

Pemisahan

• Data pelanggan dipisahkan secara logis di tingkat basis data/datastore menggunakan pengidentifikasi pelanggan yang unik.
• Lapisan API memberlakukan pemisahan dengan mengharuskan autentikasi klien dengan akun yang dipilih.
• Setelah diautentikasi, pengenal unik pelanggan disertakan dalam token akses.
• API menggunakan token ini untuk membatasi akses data ke akun yang diautentikasi.
• Semua kueri basis data/datastore menyertakan pengenal akun untuk memastikan pemisahan data yang tepat.

Pemantauan

Rask AI menggunakan Amazon CloudWatch untuk memantau layanan cloud. Jika terjadi kegagalan sistem, personel kunci akan diberitahu melalui teks, obrolan, atau email untuk tindakan perbaikan.

Perjanjian Kerahasiaan/Kerahasiaan (NDA)

Brask menggunakan NDA untuk melindungi informasi rahasia dengan persyaratan yang dapat ditegakkan secara hukum, yang berlaku untuk pihak internal dan eksternal. Elemen-elemen utama meliputi:

• Definisi informasi
• Durasi perjanjian
• Tindakan setelah pengakhiran
• Tanggung jawab untuk mencegah pengungkapan yang tidak sah
• Kepemilikan informasi dan kekayaan intelektual
• Penggunaan dan hak yang diizinkan
• Kegiatan audit dan pemantauan
• Melaporkan pengungkapan yang tidak sah
• Pengembalian atau pemusnahan informasi setelah penghentian
• Tindakan atas pelanggaran perjanjian
• Tinjauan berkala

Data Saat Istirahat

Enkripsi

Enkripsi semua basis data, penyimpanan data, dan sistem file sesuai dengan Rask Kebijakan Enkripsi AI.

Retensi

Kategorikan data yang tersimpan dan terapkan jadwal retensi sesuai Rask AI Asset Management and Data Retention Policies.

Pertimbangan untuk retensi:

• Persyaratan hukum dan kontrak
• Jenis data (misalnya, catatan akuntansi, catatan basis data, log audit)
• Jenis media penyimpanan (misalnya, kertas, hard drive, server)

Penyimpanan dan Pembuangan

Menyimpan dan menangani data dengan benar saat istirahat. Pertimbangannya meliputi:

• Otorisasi untuk akses dan manajemen
• Identifikasi catatan dan periode penyimpanan
• Perubahan teknologi dan akses selama retensi
• Jangka waktu dan format pengambilan
• Metode pembuangan

Penghapusan Data

Hapus data sensitif dengan benar ketika tidak lagi diperlukan, sesuai dengan tujuan bisnis, hukum, dan perjanjian pihak ketiga Brask. Menyimpan catatan penghapusan.

Data dalam Perjalanan

Kebutuhan

Transfer data hanya jika benar-benar diperlukan untuk proses bisnis.

Faktor Transfer

Sebelum memilih metode transfer data, hal-hal berikut ini harus dipertimbangkan:

• Sifat, sensitivitas, kerahasiaan, dan nilai informasi
• Ukuran data
• Dampak potensi kehilangan data

Enkripsi

Untuk memastikan keamanan data dalam perjalanan:

• Mengenkripsi semua transmisi eksternal dari ujung ke ujung dengan kunci yang dikelola Brask, termasuk cloud dan vendor pihak ketiga.
• Menggunakan protokol yang kuat, pertukaran kunci, dan sandi untuk koneksi internet dan intranet.

Saluran Pesan Pengguna Akhir

Data yang dibatasi dan sensitif tidak diizinkan untuk dikirim melalui saluran pesan pengguna akhir elektronik seperti email atau obrolan, kecuali enkripsi end-to-end diaktifkan.