Meta Horizonin hallinnoitujen ratkaisujen tietoturvalisäys

Voimaantulopäivä: 13. marraskuuta 2023

Tämä tietoturvalisäys sisällytetään viittauksella Meta Horizonin hallinnoitujen ratkaisujen käyttöehtoihin, jotka sijaitsevat osoitteessa forwork.meta.com/legal/mfw-terms-of-service/ (”käyttöehdot”). Käytetyillä termeillä, joita ei määritellä tässä tietoturvalisäyksessä, on käyttöehdoissa annetut merkitykset.

1. Taustatiedot ja tarkoitus

   Tämä asiakirja kuvaa ne tietoturvan vähimmäisvaatimukset, joita sovelletaan siihen, miten Meta tarjoaa palvelut sinulle.

2. Tietoturvallisuuden hallintajärjestelmä

   Meta on perustanut tietoturvallisuuden hallintajärjestelmän (ISMS) ja ylläpitää sitä. Kyseinen järjestelmä on suunniteltu toteuttamaan alan standardin mukaisia tietoturvakäytäntöjä, joita sovelletaan siihen, miten Meta tarjoaa palvelut. Metan ISMS on suunniteltu suojaamaan asiakastietojen luvattomalta pääsyltä, luovuttamiselta, käytöltä, häviämiseltä tai muuttamiselta.

3. Riskienhallintaprosessi

   Tietojen ja tiedonkäsittelytilojen, kuten IT-infrastruktuurin ja fyysisten tilojen, turvallisuus perustuu riskiarvioon. Palvelujen riskiarviointi suoritetaan säännöllisin väliajoin.

4. Tietoturvallisuuden organisointi

   Meta on nimittänyt turvallisuusvastaavan, jolla on kattava vastuu organisaation turvallisuudesta. Meta on nimittänyt henkilöstöä, jotka ovat vastuussa palveluiden asiakastahosi turvallisuuden valvomisesta.

5. Fyysinen ja ympäristön turvallisuus

   Metan turvakeinoihin kuuluu hallintakeinoja, jotka on suunniteltu takaamaan kohtuuden rajoissa, että pääsy fyysisiin käsittelytiloihin on rajoitettu vain valtuutetuille henkilöille ja että käytössä on ympäristön hallintakeinoja, joiden avulla voidaan havaita, ehkäistä ja hallita ympäristöriskien aiheuttamia tuhoja. Näihin hallintakeinoihin kuuluvat seuraavat:

   • Menettelytavat, jotka edellyttävät kaikilta palveluiden parissa työskenteleviltä henkilöstön jäseniltä henkilökortin kaikkiin Metan tiloihin pääsemiseksi
   • Kaikkien tietojenkäsittelytilan työntekijöiden ja alihankkijoiden fyysisten kulku- ja pääsytietojen kirjaaminen ja tarkastaminen
   • Kameravalvontajärjestelmät tietojenkäsittelytilan kriittisissä sisääntulopisteissä
   • Järjestelmät, jotka valvovat ja hallinnoivat tietokonelaitteiston lämpötilaa ja kosteustasoa

   • Virtalähteet ja varageneraattorit.

   Meta käyttää alan standardin mukaisia toimenpiteitä poistaakseen ja hävittääkseen sähköisten laitteiden tietoja turvallisesti, käyttöehtojen mukaisesti.

6. Henkilöstö

   Koulutus Meta varmistaa, että kaikki asiakastietoihin pääsevät työntekijät saavat turvallisuuskoulutusta.

   Seulonta ja taustatarkistukset Meta:

   • antaa jokaiselle palvelun asiakastahosi kanssa työskentelevän henkilöstön jäsenelle henkilökohtaisen kuvallisen henkilökortin, johon työntekijän nimi on kirjoitettu. Kaikkiin Metan tiloihin pääsyyn vaaditaan henkilökorttia.
   • asettaa tarkistusprosessin, jolla varmistetaan palveluiden asiakastahosi kanssa työskentelevän henkilöstön henkilöllisyys.

   • asettaa taustatarkistusprosessin, jolla tarkistetaan palveluiden asiakastahosi kanssa työskentelevän henkilöstön taustat Metan käytäntöjen mukaisesti.

   Henkilöstön tietoturvaloukkaus Jos Metan henkilöstö käyttää tai katselee asiakastietoja luvattomasti tai ilman valtuutusta, Meta antaa siitä heille siitä lain salliman rangaistuksen, joka voi olla jopa irtisanominen.

7. Turvallisuuden testaaminen

   Meta suorittaa säännöllisin väliajoin turvallisuutta ja mahdollisia tietoturva-aukkoja analysoivia testejä arvioidakseen, käytetäänkö keskeisiä hallintakeinoja oikein ja tehokkaasti.

8. Pääsyn hallinta

   Käyttäjän salasanan hallinnointi. Metalla on käytössään käyttäjän salasanan hallinnointiprosessi, joka on suunniteltu varmistamaan, että salasanat ovat henkilökohtaisia ja valtuuttamattomien henkilöiden pääsyn ulottumattomissa. Vähimmillään tähän kuuluu:

   • Salasanan varaaminen, sisältäen käyttäjän henkilöllisyyden varmistamisen ennen uutta, korvaavaa tai tilapäistä salasanaa.
   • Kaikkien salasanojen salakirjoittaminen, kun ne säilötään tietokonejärjestelmissä tai kun niitä siirretään verkon välityksellä.
   • Toimittajilta ja myyjiltä saatujen oletussalasanojen muuttaminen.
   • Vahvat salasanat suhteessa käyttötarkoitukseensa.

   • Käyttäjien tietoisuus ja koulutus.

   Käyttäjien pääsyn hallinta Meta käyttää prosessia, jolla pääsyoikeudet ja käyttäjätunnukset voidaan vaihtaa ja/tai kumota ilman aiheettomia viiveitä. Metalla on menettelytapoja, joilla vaarantuneista pääsy- ja kirjautumistiedoista (salasanat, tunnukset ja niin edelleen) voidaan tehdä ilmoituksia ja niitä voidaan kumota kaikkina aikoina. Meta käyttää asianmukaisia turvallisuuslokeja, kuten käyttäjätunnuksia ja aikaleimoja tarpeen mukaan. Kello on synkronoitu NTP-protokollan kanssa.

   Seuraavat käyttäjän pääsyn hallinnoimisen minimitapahtumat kirjataan:

   • Valtuutuksen muutokset
   • Epäonnistuneet ja onnistuneet todennukset ja pääsy-yritykset

   • Luku- ja kirjoitusoperaatiot.

9. Viestinnän turvallisuus

   Verkon turvallisuus Meta käyttää alan standardien mukaista teknologiaa verkkojen erotteluun. Verkon etäyhteys edellyttää salakirjoitettua viestintää turvattuja protokollia käyttämällä sekä monivaiheista todentamista.

   Siirrettävien tietojen turvaaminen Meta valvoo ja varmistaa, että käytössä on asianmukaiset protokollat, jotka on suunniteltu turvaamaan julkisten verkkojen välityksellä siirrettävien tietojen luottamuksellisuus.

10. Toiminnallinen turvallisuus

    Meta perustaa palveluille tietoturva-aukkojen hallintaohjelman ja ylläpitää sitä. Ohjelmaan kuuluu roolien ja vastuualueiden määrittäminen, tietoturva-aukkojen valvonnalle omistautuminen, tietoturva-aukkojen riskiarviot sekä päivitysten julkaiseminen.

11. Tietoturvahäiriöiden hallinta

    Meta luo ja ylläpitää tietoturvahäiriöiden toimintasuunnitelmaa palveluihin vaikuttavien mahdollisten tietoturvahäiriöiden valvomiseksi, havaitsemiseksi ja hoitamiseksi. Tietoturvahäiriöiden toimintasuunnitelma sisältää vähimmillään roolien ja vastuualueiden määrittämisen sekä viestinnän ja post mortem -tarkistukset, joihin kuuluu ongelman aiheuttaneen syyn analysointi ja korjaussuunnitelmat.

    Meta valvoo palveluita tietoturvaloukkausten ja haitallisen toiminnan varalta. Valvontaprosessi ja havaitsemistekniikat on suunniteltu havaitsemaan palveluihin vaikuttavat tietoturvahäiriöt. Niiden havaitsemiseen käytetään tietoja, jotka koskevat olennaisia uhkia ja jatkuvia uhkia.

12. Liiketoiminnan yhtäjaksoisuus

    Meta ylläpitää liiketoiminnan yhtäjaksoisuuden toimintasuunnitelmaa, jolla vastataan hätätilanteisiin tai muihin kriittisiin tilanteisiin, jotka saattavat vahingoittaa palveluita. Meta tarkistaa liiketoiminnan yhtäjaksoisuutta koskevan toimintasuunnitelmansa muodollisesti vähintään kerran vuodessa.