အချက်အလက်လုံခြုံရေး အခြေခံမူဝါဒ

၁။ ရည်ရွယ်ချက်

ဤမူဝါဒသည် ကုမ္ပဏီ ကိုင်တွယ်သည့် အရေးကြီးအချက်အလက်များ (ဖောက်သည်၊ အငှားနေထိုင်သူ၊ အိမ်ပိုင်ရှင်နှင့် လုပ်ငန်းဖက်များ၏ ကိုယ်ရေးအချက်အလက်၊ လုပ်ငန်းဆိုင်ရာ လျှို့ဝှက်ချက်များနှင့် အလုပ်လုပ်ရင်း သိရှိလာသော လျှို့ဝှက်ချက်များ) ကို ပေါက်ကြားခြင်း၊ ပြင်ဆင်ပြောင်းလဲခြင်း၊ ဆုံးရှုံးခြင်းနှင့် အခြားခြိမ်းခြောက်မှုများမှ ကာကွယ်ရန်နှင့် လုပ်ငန်းကို တည်ငြိမ်စွာ ဆက်လက်လည်ပတ်နိုင်ရန် လိုအပ်သည့် အချက်များကို သတ်မှတ်ထားပါသည်။

၂။ အကျုံးဝင်နယ်ပယ်

ဤမူဝါဒသည် ကုမ္ပဏီ၏ ဒါရိုက်တာများနှင့် ဝန်ထမ်းများ (အချိန်ပိုင်း၊ ယာယီနှင့် စေလွှတ်ဝန်ထမ်းများ အပါအဝင်)၊ ကုမ္ပဏီ၏ လုပ်ငန်းကို လက်ခံဆောင်ရွက်သည့် အပ်နှံခံများအပေါ် အကျုံးဝင်ပြီး၊ လုပ်ငန်းလုပ်ဆောင်မှုတွင် အသုံးပြုသည့် အချက်အလက်နှင့် အချက်အလက်စနစ် အားလုံး (ကွန်ပျူတာ၊ စမတ်ဖုန်း၊ cloud ဝန်ဆောင်မှု၊ စာရွက်စာတမ်း၊ သိမ်းဆည်းကိရိယာ စသည်) ကို ခြုံငုံပါသည်။

၃။ စီမံခန့်ခွဲမှုအဆင့် တာဝန်ခံမှုနှင့် ဖွဲ့စည်းပုံ

ကုမ္ပဏီသည် အချက်အလက်လုံခြုံရေးကို စီမံခန့်ခွဲမှုဆိုင်ရာ အရေးကြီးကိစ္စအဖြစ် သတ်မှတ်ပြီး၊ ကိုယ်စားလှယ် ဒါရိုက်တာအား အချက်အလက်လုံခြုံရေး အမြင့်ဆုံးတာဝန်ခံအဖြစ် ခန့်အပ်ပါသည်။ အမြင့်ဆုံးတာဝန်ခံသည် အစီအမံများ အကောင်အထည်ဖော်ရန် လိုအပ်သည့် ဖွဲ့စည်းပုံနှင့် အရင်းအမြစ်များကို ထောက်ပံ့ပေးပြီး၊ ဤမူဝါဒအရ ဆောင်ရွက်နေမှုအခြေအနေကို ပုံမှန် စစ်ဆေးပါသည်။

၄။ အချက်အလက်လုံခြုံရေး အစီအမံများ အကောင်အထည်ဖော်ခြင်း

ဂျပန်နိုင်ငံ Information-technology Promotion Agency (IPA) ၏ “အသေးစားနှင့် အလတ်စား လုပ်ငန်းများအတွက် အချက်အလက်လုံခြုံရေး လမ်းညွှန်” ကို အခြေခံ၍ ကုမ္ပဏီသည် အောက်ပါ အစီအမံများကို ဆောင်ရွက်ပါသည်။

(၁) အခြေခံ အစီအမံများ

• ကွန်ပျူတာ၊ စမတ်ဖုန်း စသည့် ကိရိယာများ၏ OS နှင့် ဆော့ဖ်ဝဲကို အမြဲ နောက်ဆုံးအခြေအနေတွင် ထားရှိပါသည်။
• ဗိုင်းရပ်စ် ကာကွယ်ရေးလုပ်ဆောင်ချက်ကို ဖွင့်ထားပြီး definition ဖိုင်များကို နောက်ဆုံးအခြေအနေတွင် ထားရှိပါသည်။
• ခန့်မှန်းရခက်သော စကားဝှက်များ သတ်မှတ်ပြီး ဖြစ်နိုင်ပါက multi-factor authentication ကို အသုံးပြုပါသည်။ စကားဝှက် ထပ်တလဲလဲ သုံးခြင်းကို တားမြစ်ပါသည်။
• ဖိုင်နှင့် ဖိုလ်ဒါ မျှဝေမှု ဆက်တင်များကို လုပ်ငန်းအရ လိုအပ်သူများအတွက်သာ ကန့်သတ်ပါသည်။
• ကိရိယာ ပျက်စီးမှု၊ မှားယွင်းစွာ အသုံးပြုမှု၊ ဗိုင်းရပ်စ် ကူးစက်မှု စသည်တို့အတွက် ကြိုတင်ပြင်ဆင်၍ အရေးကြီးအချက်အလက်များကို ပုံမှန် backup ယူပါသည်။
• ခြိမ်းခြောက်မှုအသစ်များနှင့် တိုက်ခိုက်နည်းများအကြောင်း သတင်းအချက်အလက် စုဆောင်း၍ ကုမ္ပဏီအတွင်း မျှဝေပါသည်။

(၂) နေ့စဉ်လုပ်ငန်းတွင် ဆောင်ရွက်သည့် အစီအမံများ

• အီးမေးလ်၏ ပူးတွဲဖိုင်များနှင့် စာကိုယ်အတွင်းရှိ URL များကို ဂရုမစိုက်ဘဲ မဖွင့်ဘဲ၊ သံသယဖြစ်ဖွယ် အီးမေးလ်များကို မဖွင့်မီ အတည်ပြုပါသည်။
• အီးမေးလ်နှင့် ဖက်စ် မှားယွင်းပေးပို့မှု မဖြစ်စေရန် ပေးပို့မီ လက်ခံသူကို စစ်ဆေးပါသည်။
• အရေးကြီးအချက်အလက် လွှဲပြောင်းမှုကို encryption သို့မဟုတ် စကားဝှက် သတ်မှတ်ခြင်းစသည့် လုံခြုံသောနည်းလမ်းဖြင့် ဆောင်ရွက်ပါသည်။
• လုပ်ငန်းတွင် အသုံးပြုသည့် wireless LAN တွင် သင့်လျော်သော encryption နည်းစနစ် သတ်မှတ်ပါသည်။
• အင်တာနက်နှင့် လူမှုကွန်ရက် အသုံးပြုရာတွင် လုပ်ငန်းအရ သိရှိလာသော အချက်အလက်များကို မရေးသားခြင်း အပါအဝင် သတ်မှတ်ထားသည့် စည်းကမ်းများကို လိုက်နာပါသည်။
• အရေးကြီးအချက်အလက်ပါဝင်သည့် စာရွက်စာတမ်းနှင့် သိမ်းဆည်းကိရိယာများကို စားပွဲပေါ်တွင် မထားခဲ့ဘဲ သော့ခတ်နိုင်သည့် နေရာတွင် သိမ်းဆည်းပါသည်။ ပြင်ပသို့ ယူဆောင်သည့်အခါ ခိုးယူခံရမှုနှင့် ပျောက်ဆုံးမှု ကာကွယ်ရေး အစီအမံများ ဆောင်ရွက်ပါသည်။
• မလိုအပ်တော့သည့် စာရွက်စာတမ်းနှင့် သိမ်းဆည်းကိရိယာများကို ပြန်လည်ရယူ၍ မရနိုင်သည့် နည်းလမ်းဖြင့် စွန့်ပစ်ပါသည်။
• နေရာမှ ခွာသည့်အခါ ဖန်သားပြင်ကို လော့ခ်ချပြီး၊ အလုပ်ဆင်းချိန်တွင် ကွန်ပျူတာစသည်တို့ကို လုံခြုံစွာ သိမ်းဆည်းပါသည်။
• သက်ဆိုင်သူမဟုတ်သူများ ရုံးခန်းအတွင်း ဝင်ရောက်မှုကို ကန့်သတ်ပါသည်။
• ဝက်ဘ်ဆိုက်စသည်တို့တွင် အများပြည်သူသို့ ထုတ်ပြန်ရန် မသင့်သည့် အချက်အလက်များကို မဖော်ပြပါ။

(၃) အဖွဲ့အစည်းအနေဖြင့် ဆောင်ရွက်သည့် အစီအမံများ

• ဒါရိုက်တာများနှင့် ဝန်ထမ်းများအား အချက်အလက်လုံခြုံရေးဆိုင်ရာ ပညာပေးမှုနှင့် သတိပေးမှုကို အဆက်မပြတ် ဆောင်ရွက်ပါသည်။
• ကိုယ်ပိုင် ကိရိယာများကို လုပ်ငန်းတွင် အသုံးပြုသည့်အခါ လိုက်နာရမည့် စည်းကမ်းများကို ရှင်းလင်းစွာ သတ်မှတ်ပါသည်။
• အရေးကြီးအချက်အလက် လွှဲပြောင်းမှု ပါဝင်သည့် အရောင်းအဝယ်များတွင် စာချုပ်၌ လျှို့ဝှက်ထိန်းသိမ်းရေး အပိုဒ်ကို ထည့်သွင်းပါသည်။
• Cloud ဝန်ဆောင်မှုစသည့် ပြင်ပဝန်ဆောင်မှုများကို ဘေးကင်းမှုနှင့် စိတ်ချရမှုကို အတည်ပြုပြီးမှသာ ရွေးချယ်ပါသည်။
• အချက်အလက်လုံခြုံရေး အစီအမံများကို စည်းမျဉ်းအဖြစ် သတ်မှတ်၍ ဒါရိုက်တာများနှင့် ဝန်ထမ်းများအား အသိပေးပါသည်။

၅။ ဥပဒေနှင့် စာချုပ်ဆိုင်ရာ လိုအပ်ချက်များ လိုက်နာခြင်း

ကုမ္ပဏီသည် ကိုယ်ရေးအချက်အလက် ကာကွယ်ရေးဥပဒေ၊ အိမ်ခြံမြေ အရောင်းအဝယ် လုပ်ငန်းဥပဒေ ပုဒ်မ ၄၅ (လုပ်ငန်းအရ သိရှိလာသော လျှို့ဝှက်ချက်ကို ထိန်းသိမ်းရန် တာဝန်)၊ မမျှတသော ယှဉ်ပြိုင်မှု တားဆီးရေးဥပဒေ အစရှိသည့် သက်ဆိုင်ရာ ဥပဒေများနှင့် စံနှုန်းများ၊ လုပ်ငန်းဖက်များနှင့် စာချုပ်အရ လျှို့ဝှက်ထိန်းသိမ်းရေး တာဝန်များကို လိုက်နာပါသည်။ ကိုယ်ရေးအချက်အလက်၏ တိကျသော ကိုင်တွယ်မှုကို ကိုယ်ရေးအချက်အလက် မူဝါဒ တွင် သတ်မှတ်ထားပါသည်။

၆။ အပ်နှံခံများအား စီမံခန့်ခွဲခြင်း

လုပ်ငန်း၏ တစ်စိတ်တစ်ပိုင်း သို့မဟုတ် အားလုံးကို အပ်နှံသည့်အခါ အပ်နှံခံ၏ အချက်အလက်လုံခြုံရေး အစီအမံ အခြေအနေကို အတည်ပြုပြီးမှ ရွေးချယ်ကာ၊ လျှို့ဝှက်ထိန်းသိမ်းရေး တာဝန်ပါဝင်သည့် စာချုပ် ချုပ်ဆိုပြီး လိုအပ်၍ သင့်လျော်သော ကြီးကြပ်မှု ဆောင်ရွက်ပါသည်။

၇။ ဖြစ်စဉ်တစ်ခု ဖြစ်ပွားချိန်တွင် တုံ့ပြန်ဆောင်ရွက်ခြင်း

အချက်အလက်လုံခြုံရေး ဖြစ်စဉ် သို့မဟုတ် ဖြစ်နိုင်ခြေရှိသည်ဟု ယူဆရသည့် အခြေအနေအတွက် အရေးပေါ် ဆက်သွယ်ရေးစနစ်နှင့် တုံ့ပြန်ဆောင်ရွက်မှု လုပ်ငန်းစဉ်များကို ပြင်ဆင်ထားပါသည်။ ဖြစ်စဉ် ဖြစ်ပွားပါက ထိခိုက်မှု ပျံ့နှံ့ခြင်းကို တားဆီးရေးအား ဦးစားပေး၍ တုံ့ပြန်ပြီး၊ သက်ဆိုင်သည့် ဖောက်သည်၊ လုပ်ငန်းဖက်နှင့် ကြီးကြပ်ရေးအာဏာပိုင်များထံ အမြန်ဆုံး အစီရင်ခံကာ၊ အကြောင်းရင်းကို စစ်ဆေးဖော်ထုတ်ပြီး ထပ်မံမဖြစ်ပွားစေရေး အစီအမံများ ဆောင်ရွက်ပါသည်။

၈။ စဉ်ဆက်မပြတ် ပြန်လည်သုံးသပ်ခြင်း

ကုမ္ပဏီသည် ဤမူဝါဒအရ ဆောင်ရွက်နေမှုအခြေအနေကို တစ်နှစ်လျှင် အနည်းဆုံး တစ်ကြိမ် စစ်ဆေးပြီး၊ လုပ်ငန်းအကြောင်းအရာ ပြောင်းလဲမှုနှင့် ခြိမ်းခြောက်မှုအသစ်များ ပေါ်ပေါက်မှုအလိုက် ဤမူဝါဒနှင့် ဆက်စပ်သည့် အတွင်းစည်းမျဉ်းများကို ပြန်လည်သုံးသပ်၍ စဉ်ဆက်မပြတ် တိုးတက်အောင် ဆောင်ရွက်ပါသည်။

*ဤမူဝါဒကို ဂျပန်နိုင်ငံ Information-technology Promotion Agency (IPA) ၏ “အသေးစားနှင့် အလတ်စား လုပ်ငန်းများအတွက် အချက်အလက်လုံခြုံရေး လမ်းညွှန် (စတုတ္ထတွဲ)” နှင့် ၎င်း၏ နောက်ဆက်တွဲ “၅ မိနစ်ဖြင့် ပြီးနိုင်သည်။ အချက်အလက်လုံခြုံရေး ကိုယ်တိုင်စစ်ဆေးမှု” ကို ကိုးကား၍ ရေးဆွဲထားပါသည်။