सूचना सुरक्षा नीति

1. उद्देश्य

यो नीतिले कम्पनीले व्यवस्थापन गर्ने महत्त्वपूर्ण जानकारी (ग्राहक, बहालवाला, घरधनी तथा व्यापारिक साझेदारको व्यक्तिगत जानकारी, व्यापारिक गोपनीयता, र कामको सिलसिलामा थाहा पाइएका गोप्य कुरा) लाई चुहावट, परिवर्तन, नष्ट हुने तथा अन्य जोखिमबाट जोगाउन र व्यवसायलाई स्थिर रूपमा निरन्तरता दिन आवश्यक कुराहरू निर्धारण गर्दछ।

2. लागू हुने क्षेत्र

यो नीति कम्पनीका सञ्चालक तथा कर्मचारी (आंशिक समय, पार्ट-टाइम र प्रेषित कर्मचारीसहित) र कम्पनीको काम ठेक्कामा लिने पक्षहरूमा लागू हुन्छ, र व्यावसायिक गतिविधिमा प्रयोग हुने सम्पूर्ण जानकारी तथा सूचना प्रणाली (कम्प्युटर, स्मार्टफोन, क्लाउड सेवा, कागजात, भण्डारण माध्यम आदि) लाई समेट्दछ।

3. व्यवस्थापनको उत्तरदायित्व र संरचना

कम्पनीले सूचना सुरक्षालाई व्यवस्थापनको महत्त्वपूर्ण विषयका रूपमा लिन्छ र प्रतिनिधि सञ्चालकलाई सूचना सुरक्षाको सर्वोच्च जिम्मेवार अधिकारीका रूपमा तोक्दछ। सर्वोच्च जिम्मेवार अधिकारीले उपायहरू लागू गर्न आवश्यक संरचना र स्रोत सुनिश्चित गर्दछ र यो नीतिअनुसारको कार्यान्वयन अवस्था नियमित रूपमा जाँच्दछ।

4. सूचना सुरक्षा उपायहरूको कार्यान्वयन

जापानको सूचना प्रविधि प्रवर्द्धन एजेन्सी (IPA) को “साना तथा मझौला उद्यमका लागि सूचना सुरक्षा उपाय निर्देशिका” लाई आधार मानी कम्पनीले निम्न उपायहरू लागू गर्दछ।

(१) आधारभूत उपाय

• कम्प्युटर, स्मार्टफोन आदि उपकरणको अपरेटिङ सिस्टम र सफ्टवेयरलाई सधैँ नवीनतम अवस्थामा राख्ने।
• एन्टिभाइरस सुविधा सक्रिय राख्ने र डेफिनिसन फाइल नवीनतम अवस्थामा राख्ने।
• अनुमान गर्न कठिन पासवर्ड राख्ने र सम्भव भएसम्म बहु-कारक प्रमाणीकरण प्रयोग गर्ने। एउटै पासवर्ड पुन: प्रयोग गर्न निषेध गरिएको छ।
• फाइल तथा फोल्डरको साझेदारी सेटिङ कामका लागि आवश्यक व्यक्तिमा मात्र सीमित गर्ने।
• उपकरण बिग्रिने, गलत सञ्चालन, भाइरस संक्रमण आदिका लागि तयारीस्वरूप महत्त्वपूर्ण जानकारीको नियमित ब्याकअप लिने।
• नयाँ खतरा र आक्रमणका तरिकासम्बन्धी जानकारी सङ्कलन गरी कम्पनीभित्र आदानप्रदान गर्ने।

(२) दैनिक कार्यमा अपनाइने उपाय

• इमेलका एट्याचमेन्ट तथा सन्देशभित्रका लिङ्क अनावश्यक रूपमा नखोल्ने र शङ्कास्पद इमेल खोल्नुअघि जाँच्ने।
• इमेल तथा फ्याक्स गलत ठाउँमा नजाओस् भन्नाका लागि पठाउनुअघि प्राप्तकर्ता जाँच्ने।
• महत्त्वपूर्ण जानकारीको आदानप्रदान इन्क्रिप्सन वा पासवर्डजस्ता सुरक्षित माध्यमबाट गर्ने।
• कामका लागि प्रयोग हुने वायरलेस LAN मा उपयुक्त इन्क्रिप्सन विधि सेट गर्ने।
• इन्टरनेट तथा सामाजिक सञ्जाल प्रयोग गर्दा कामको सिलसिलामा थाहा पाइएको जानकारी नलेख्नेलगायत तोकिएका नियम पालना गर्ने।
• महत्त्वपूर्ण जानकारी भएका कागजात तथा भण्डारण माध्यम टेबलमा नछाड्ने र ताल्चा लगाउन मिल्ने ठाउँमा राख्ने। बाहिर लैजाँदा चोरी तथा हराउनबाट जोगाउने उपाय अपनाउने।
• आवश्यक नरहेका कागजात तथा भण्डारण माध्यम पुन: प्राप्त गर्न नसकिने विधिबाट नष्ट गर्ने।
• सिटबाट उठ्दा स्क्रिन लक गर्ने र काम सकेर जाँदा कम्प्युटर आदि सुरक्षित रूपमा राख्ने।
• सरोकारवाला बाहेकका व्यक्तिको कार्यालय प्रवेशमा प्रतिबन्ध लगाउने।
• वेबसाइट आदिमा सार्वजनिक गर्न नहुने जानकारी प्रकाशित नगर्ने।

(३) संस्थागत उपाय

• सञ्चालक तथा कर्मचारीलाई सूचना सुरक्षासम्बन्धी शिक्षा र सचेतना निरन्तर दिने।
• व्यक्तिगत स्वामित्वका उपकरण कामका लागि प्रयोग गर्दाको व्यवस्था स्पष्ट रूपमा तोक्ने।
• महत्त्वपूर्ण जानकारीको आदानप्रदान हुने कारोबारमा सम्झौतामा गोपनीयता धारा राख्ने।
• क्लाउड सेवालगायत बाह्य सेवाहरू सुरक्षा र विश्वसनीयता पुष्टि गरेपछि मात्र छनोट गर्ने।
• सूचना सुरक्षा उपायहरूलाई नियमका रूपमा तय गरी सञ्चालक तथा कर्मचारीलाई स्पष्ट रूपमा जानकारी गराउने।

5. कानुन तथा सम्झौताजन्य आवश्यकताको पालना

कम्पनीले व्यक्तिगत जानकारी संरक्षणसम्बन्धी ऐन, घरजग्गा कारोबार व्यवसाय ऐनको धारा ४५ (कामको सिलसिलामा थाहा पाइएको गोपनीयता जोगाउने कर्तव्य), अनुचित प्रतिस्पर्धा रोकथाम ऐनलगायत सम्बन्धित कानुन तथा मापदण्ड, र व्यापारिक साझेदारसँगको सम्झौताअन्तर्गतको गोपनीयता दायित्व पालना गर्दछ। व्यक्तिगत जानकारीको विशिष्ट व्यवस्थापनबारे गोपनीयता नीति मा उल्लेख गरिएको छ।

6. ठेकेदार पक्षको व्यवस्थापन

कामको पूरै वा आंशिक हिस्सा बाहिर दिँदा सम्बन्धित पक्षको सूचना सुरक्षा उपायको अवस्था पुष्टि गरेपछि छनोट गरिन्छ, गोपनीयता दायित्वसहितको सम्झौता गरिन्छ र आवश्यक तथा उपयुक्त निगरानी गरिन्छ।

7. घटना भएमा गरिने प्रतिकार्य

सूचना सुरक्षासम्बन्धी घटना वा त्यसको आशङ्का देखिएमा प्रयोग गर्न कम्पनीले आपत्कालीन सम्पर्क संरचना र प्रतिकार्य प्रक्रिया तयार राख्दछ। घटना भएमा क्षति फैलिन नदिनुलाई पहिलो प्राथमिकता दिइन्छ, सम्बन्धित ग्राहक, व्यापारिक साझेदार र नियामक निकायलाई तुरुन्तै जानकारी गराइन्छ, कारण पत्ता लगाइन्छ र पुन: नदोहोरिने उपाय अपनाइन्छ।

8. निरन्तर पुनरावलोकन

कम्पनीले यो नीतिको कार्यान्वयन अवस्था वर्षमा कम्तीमा एक पटक जाँच्दछ र व्यवसायको परिवर्तन तथा नयाँ खतराको उदयअनुसार यो नीति र सम्बन्धित आन्तरिक नियमहरू पुनरावलोकन गरी निरन्तर सुधार गर्दछ।

※यो नीति जापानको सूचना प्रविधि प्रवर्द्धन एजेन्सी (IPA) को “साना तथा मझौला उद्यमका लागि सूचना सुरक्षा उपाय निर्देशिका (चौथो संस्करण)” र त्यसको अनुसूची “५ मिनेटमै सकिने! सूचना सुरक्षा स्वमूल्याङ्कन” लाई सन्दर्भ मानी तयार गरिएको हो।