Polityka bezpieczeństwa informacji F&F Filipowski sp.k.

Polityka bezpieczeństwa informacji

Zasady ochrony informacji w F&F Filipowski sp.k.

Siedziba: ul. Konstantynowska 79/81, 95-200 Pabianice, Polska

NIP: 731-000-53-14  ·  KRS: 0001018980  ·  REGON: 470625813

Strona firmy: www.fif.com.pl

Status: zatwierdzona

Właściciel dokumentu: F&F Filipowski

Zatwierdza: Prezes

Wersja i data: Wersja 1 · 19.03.2026

Cel i zakres polityki

Bezpieczeństwo informacji stanowi integralną część działalności F&F Filipowski sp.k.. Chronimy informacje powierzone nam przez klientów, partnerów i pracowników oraz informacje wytwarzane w naszej organizacji. Naszym celem jest zapewnienie ich poufności, integralności i dostępności, odpowiednio do znaczenia informacji oraz zidentyfikowanego ryzyka.

Polityka obejmuje wszystkie jednostki organizacyjne, działy i zespoły, a także lokalizacje, w których organizacja prowadzi działalność lub przetwarza informacje. Dotyczy procesów związanych z pozyskiwaniem, tworzeniem, przetwarzaniem, przechowywaniem, udostępnianiem i usuwaniem informacji, niezależnie od tego, czy są realizowane ręcznie, czy z wykorzystaniem systemów informatycznych. Obejmuje również zasoby organizacji, w szczególności dane, dokumentację, urządzenia, oprogramowanie, infrastrukturę techniczną, konta użytkowników oraz usługi chmurowe i zewnętrzne. Obowiązuje pracowników oraz współpracowników, w tym osoby świadczące usługi na podstawie umów B2B, w zakresie wykonywanych zadań i posiadanych dostępów. Odpowiednie wymagania bezpieczeństwa przekazujemy również dostawcom i partnerom.

Zakres obowiązków firmy dotyczących infrastruktury, systemów i informacji klientów oraz partnerów wynika z obowiązujących przepisów, zawartych umów i uzgodnionego podziału odpowiedzialności. Samo dostarczenie produktu lub udostępnienie kanału zgłoszeń nie oznacza przejęcia obowiązku zarządzania całym środowiskiem informatycznym klienta ani świadczenia nieuzgodnionych usług monitorowania, utrzymania lub reagowania na incydenty.

Zarządzanie bezpieczeństwem i ryzykiem

Kierownictwo zobowiązuje się do ustanowienia, utrzymywania i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymaganiami ISO/IEC 27001, a także do spełniania mających zastosowanie wymagań prawnych, umownych i innych przyjętych zobowiązań. Zapewnia zasoby, kompetencje i uprawnienia niezbędne do realizacji polityki oraz wyznacza mierzalne cele bezpieczeństwa, których realizacja podlega okresowej ocenie.

Podstawą doboru zabezpieczeń jest regularna ocena ryzyka. Obejmuje ona informacje, procesy, systemy, produkty oraz zależności od dostawców. Wyniki oceny służą do ustalania priorytetów, wdrażania zabezpieczeń i podejmowania decyzji o postępowaniu z ryzykiem. Skuteczność przyjętych rozwiązań jest okresowo weryfikowana.

Bezpieczeństwo produktów i dostawców

Bezpieczeństwo uwzględniamy na etapach projektowania, rozwoju, zakupów, dostarczania, eksploatacji i wycofywania naszych rozwiązań. W przypadku systemów automatyki i sterowania uwzględniamy właściwe dla danego rozwiązania wymagania serii IEC 62443, zgodnie z ustalonym zakresem i wymaganiami projektu. Deklaracje zgodności odnosimy wyłącznie do zakresu potwierdzonego odpowiednią weryfikacją.

Stosowane zabezpieczenia mają ograniczać prawdopodobieństwo i skutki incydentów, lecz nie stanowią gwarancji całkowitego wyeliminowania zagrożeń. Zabezpieczenia techniczne, w tym ustawienia domyślne, uprawnienia do zmiany konfiguracji, walidację parametrów oraz ostrzeganie i rejestrowanie zmian istotnych dla bezpieczeństwa, dobieramy odpowiednio do oceny ryzyka i mających zastosowanie wymagań.

Bezpieczeństwo naszych rozwiązań wymaga stosowania zabezpieczeń produktu oraz przestrzegania określonych w dokumentacji warunków jego integracji, konfiguracji i eksploatacji. W dokumentacji i uzgodnieniach z klientem określamy obowiązki użytkownika, administratora i integratora, wymagania dotyczące środowiska pracy, aktualizacji oraz skutki zmian ustawień istotnych dla bezpieczeństwa.

Odstępstwa od tych wymagań, w szczególności wyłączenie zabezpieczeń, udostępnienie interfejsów poza dopuszczonym środowiskiem lub nieautoryzowane modyfikacje, mogą ograniczyć skuteczność ochrony. Przy ocenie zdarzenia i zakresu odpowiedzialności uwzględniamy wpływ takich odstępstw na jego wystąpienie i skutki, zgodnie z obowiązującymi przepisami oraz umowami. Samo stwierdzenie konfiguracji lub użytkowania niezgodnego z dokumentacją nie stanowi podstawy do automatycznego odrzucenia zgłoszenia. Nie zwalnia również firmy z obowiązków dotyczących analizy i usuwania podatności produktu.

Komponenty i dostawców kwalifikujemy na podstawie oceny ryzyka, wymagań bezpieczeństwa oraz mających zastosowanie wymagań prawnych i umownych. Ocena uwzględnia w szczególności identyfikowalność pochodzenia, autentyczność komponentów, wsparcie producenta, obsługę podatności, możliwość bezpiecznej aktualizacji, funkcje zdalnego dostępu, ciągłość dostaw oraz ryzyka związane z jurysdykcją i kontrolą właścicielską dostawcy. Ograniczenia dotyczące konkretnych producentów lub krajów pochodzenia stosujemy, gdy wynikają z obowiązujących wymagań albo zatwierdzonej oceny ryzyka. Wymagania wobec dostawców określamy w uzgodnieniach i umowach oraz weryfikujemy w zakresie adekwatnym do ryzyka.

Dostęp, odpowiedzialność i świadomość

Dostęp do informacji i systemów przyznajemy zgodnie z potrzebami wynikającymi z powierzonych zadań. Uprawnienia podlegają przeglądom, zmianie oraz odebraniu po ustaniu uzasadniającej je potrzeby. Informacje i zasoby chronimy przed nieuprawnionym dostępem, ujawnieniem, zmianą, utratą i zniszczeniem. Stosujemy zabezpieczenia wspierające ciągłość działania oraz możliwość odtworzenia kluczowych informacji i usług.

Kierownictwo przypisuje i komunikuje role, odpowiedzialności oraz uprawnienia dotyczące bezpieczeństwa informacji. Koordynację działań powierza Zespołowi ds. Cyberbezpieczeństwa. Funkcje te mogą pełnić pracownicy oraz współpracownicy posiadający odpowiednie kompetencje i umocowanie. Powierzenie zadań nie zwalnia kierownictwa z odpowiedzialności za skuteczność systemu zarządzania bezpieczeństwem informacji.

Każda osoba mająca dostęp do informacji firmy odpowiada za ich ochronę w zakresie swojej roli, przestrzeganie obowiązujących zasad oraz niezwłoczne zgłaszanie zauważonych zagrożeń, podatności i podejrzeń naruszenia bezpieczeństwa. Zapewniamy szkolenia i działania podnoszące świadomość, odpowiednie do wykonywanych zadań.

Zgłaszanie incydentów i podatności

Udostępniamy kanał do zgłaszania incydentów i podatności związanych z działalnością firmy, przetwarzanymi przez nią informacjami oraz dostarczanymi produktami i usługami. Docelowy proces zarządzania zgłoszeniami oraz wspierające go narzędzie informatyczne wdrażamy etapowo. Proces ten będzie obejmował rejestrację i kwalifikację zgłoszeń, przypisywanie odpowiedzialności, śledzenie działań oraz zasady zastępstwa i eskalacji.

Wdrożenie poszczególnych elementów procesu i narzędzia planujemy tak, aby osiągnąć gotowość do realizacji nowych obowiązków z wyprzedzeniem względem upływu mających zastosowanie terminów dostosowawczych lub rozpoczęcia stosowania odpowiednich przepisów prawa, w szczególności przepisów wdrażających dyrektywę NIS2 oraz rozporządzenia Cyber Resilience Act (CRA). Harmonogram uwzględnia również wiążące decyzje właściwych organów, wymagania norm przyjętych do stosowania oraz zobowiązania umowne.

Etapowe wdrożenie procesu i narzędzia nie odracza obowiązków prawnych ani umownych, które już mają zastosowanie do firmy. Do czasu uruchomienia docelowego procesu zgłoszenia wymagające działań na podstawie prawa lub umowy podlegają bieżącej ocenie i obsłudze z wykorzystaniem dostępnych środków, w terminach wynikających z tych obowiązków. Dokonanie wymaganych powiadomień nie jest uzależnione od uruchomienia docelowego narzędzia informatycznego.

Przyjęcie zgłoszenia ani podjęcie czynności wyjaśniających nie stanowi samo w sobie uznania odpowiedzialności za zdarzenie. Zgłoszenie może zostać zamknięte jako pozostające poza zakresem obowiązków firmy po udokumentowanej ocenie jego związku z działalnością firmy, wpływu zdarzenia na klientów oraz mających zastosowanie obowiązków prawnych i umownych, w tym obowiązków powiadomienia. Decyzja o zamknięciu wymaga uzasadnienia. W razie potrzeby zgłaszający jest kierowany do właściwego podmiotu, z zachowaniem poufności i zasad ochrony danych. Brak umowy serwisowej nie stanowi samodzielnej podstawy do odrzucenia zgłoszenia dotyczącego potencjalnej podatności naszego produktu. Ocena zakresu odpowiedzialności nie wstrzymuje działań ani powiadomień wymaganych prawem lub umową. Chronimy informacje zawarte w zgłoszeniach oraz wykorzystujemy wnioski z incydentów do doskonalenia zabezpieczeń.

Przeglądy i doskonalenie

Polityka jest komunikowana osobom objętym jej zakresem i udostępniana zainteresowanym stronom w odpowiednim zakresie. Podlega przeglądowi co najmniej raz w roku oraz po istotnych zmianach organizacyjnych, technologicznych, prawnych lub zmianach ryzyka. Wyniki przeglądów, audytów i analiz incydentów stanowią podstawę do jej aktualizacji oraz ciągłego doskonalenia bezpieczeństwa informacji.