Sigurnosne mjere dobavljača

Ove Sigurnosne mjere Dobavljača primjenjuju se na Dobavljača kada pruža robu, usluge ili softver društvu OpenAI i uključene su u mjerodavni ugovor između Dobavljača i društva OpenAI („Ugovor”). Pojmovi koji se ovdje upotrebljavaju, ali nisu ovdje definirani, definirani su u Ugovoru.

Dobavljač će održavati i provoditi Program sigurnosti informacija, koji će se preispitivati najmanje jednom godišnje, ili ranije ako to bude potrebno zbog sigurnosnog incidenta ili značajne promjene mjerodavnog prava. Nadzor nad Programom sigurnosti informacija bit će povjeren odgovarajuće kvalificiranom višem osoblju. 

Kako bi ispunio svoje obveze u pogledu sigurnosti i privatnosti prema Ugovoru, Program informacijske sigurnosti Dobavljača uključivat će sljedeće:

• Održavajte pisane pravilnike o sigurnosti informacija i pravilnike o zaštiti privatnosti usklađenima s Programom sigurnosti informacija i svim primjenjivim zakonima o zaštiti podataka. 
• Prenesite ove pravilnike i Kodeks ponašanja dobavljača svom relevantnom osoblju i zahtijevajte formalnu potvrdu.
• Pratite usklađenost i otklanjajte neusklađenost putem dokumentiranih postupaka; kršenja pravila/politika bit će riješena odgovarajućim disciplinskim mjerama.

• Održavajte i provodite program upravljanja rizicima koji uključuje redovite procjene rizika i kontrole za identifikaciju, analizu, praćenje, izvještavanje i poduzimanje korektivnih mjera u vezi s rizicima.
• Najmanje jednom godišnje provodite procjene rizika (bilo interno ili s ugovorenim, neovisnim resursima) kako bi se identificirali rizici za podatke organizacije OpenAI, rizici za poslovnu imovinu Dobavljača (primjerice, tehničku infrastrukturu), prijetnje tim elementima (unutarnje i vanjske), vjerojatnost pojave tih prijetnji i utjecaj na organizaciju.
• Klasificirajte sigurnosne rizike za podatke OpenAI i odredite prioritete sanacije.

• Održavajte i primjenjujte standardne prakse u industriji za provjeru, obuku i upravljanje osobljem.
• Provodite, u mjeri u kojoj je to zakonski dopušteno u jurisdikciji svakog radnika, provjere prošlosti prije zapošljavanja za svo osoblje koje će pristupati podacima OpenAI ili podržavati rad Dobavljača.
• Osigurajte godišnju obuku o sigurnosti i privatnosti za osoblje Dobavljača i dodatnu sigurnosnu obuku prema potrebi.
• Zahtijevajte od osoblja Dobavljača da sklopi ugovor o povjerljivosti ili osigurajte da osoblje Dobavljača podliježe obvezama povjerljivosti u skladu s obvezama kojima Dobavljač podliježe u vezi sa svojim radom za OpenAI, kao uvjet zaposlenja ili angažmana, te da slijedi politike zaštite podataka kupaca i drugih podataka trećih strana.
• Provjerite identitet svojih zaposlenika i privremenih radnika.
• Ne zapošljavati niti angažirati osoblje Dobavljača koje se nalazi u bilo kojoj zemlji ili na bilo kojem teritoriju: (a) koji je Ured za kontrolu strane imovine SAD-a (OFAC) označio kao podložan sveobuhvatnim sankcijama; (b) koji podliježe upozorenju 4. razine / Ne putovati Ministarstva vanjskih poslova SAD-a; ili (c) u regijama u kojima traje aktivni oružani sukob.
• Dopustite društvu OpenAI da provodi ad hoc sigurnosne provjere osoblja Dobavljača i odmah podijelite sve informacije koje OpenAI razumno zatraži radi podrške tim provjerama.
• OpenAI može provoditi dodatne sigurnosne provjere za osoblje Dobavljača koje radi na daljinu, pod uvjetom da OpenAI time ne ograničava niti isključuje obvezu Dobavljača da provede vlastitu provjeru prošlosti i identiteta u skladu s ovim Sigurnosnim mjerama ili Ugovorom.

Dobavljač će osigurati sva korporativna prijenosna računala, mobilne uređaje, lokalne poslužitelje i ostali hardver koji obrađuje podatke OpenAI-ja na sljedeći način:

• Središnje upravljanje svakom krajnjom točkom i poslužiteljem – uključujući lokalnu infrastrukturu – putem odobrene platforme za upravljanje krajnjim točkama.
• Automatsko provođenje osnovnih sigurnosnih konfiguracija i pravovremenih zakrpa na operativnim sustavima, aplikacijama i firmveru na svim radnim postajama i poslužiteljima.
• Zahtijevanje šifriranja u mirovanju: šifriranje cijelog diska na prijenosnim računalima i radnim stanicama i šifriranje na razini volumena ili pohrane na poslužiteljima i uređajima za pohranu.
• Onemogućavanje ili stroga kontrola prijenosnih i izmjenjivih medija za svu imovinu.

• Održavajte i primjenjujte standardne prakse u industriji za identitet, provjeru autentičnosti i kontrolu upravljanja pristupom.
• Dokumentirajte pravilnike i postupke koji reguliraju upravljanje pristupom za osoblje Dobavljača i račune za usluge.
• Vodite točan i ažuran popis sveg osoblja Dobavljača s pristupom sustavima. 
• Onemogućite ili opozovite vjerodajnice u roku od jednog radnog dana od prijenosa ili raskida.
• Upotrijebite jedinstvenu prijavu (SSO) za sve interaktivne prijave na interne sustave i usluge trećih strana koje podržavaju pružanje Usluga.
• Nametnite višestruku provjeru autentičnosti putem pružatelja identiteta kao dio postupka jedinstvene prijave. 
• Implementirajte kontrolu pristupa temeljenu na ulogama (RBAC) u skladu s načelima najmanjih privilegija i razdvajanja dužnosti.
• Upotrijebite privilegirane račune („root”/„administrator”) samo kada je to tehnički potrebno prema odobrenim postupcima kontrole promjena; zabranite neprivilegiranim korisnicima izvršavanje privilegiranih funkcija.
• Zahtijevajte formalni pregled i odobrenje za svaki zahtjev za pristup sustavima koji pohranjuju podatke OpenAI-ja, kao i periodične (barem tromjesečne) revizije pristupa radi potvrde primjerenosti privilegija.
• Prije ponovnog postavljanja vjerodajnica ili izdavanja privremenih vjerodajnica, uspostavite postupke za prijavljivanje i opoziv kompromitiranih vjerodajnica (na primjer, lozinki i ključeva API-ja) te za provjeru identiteta korisnika.
• Za krajnje korisnike organizacije OpenAI, oslanjanje na uslugu upravljanja identitetom i pristupom treće strane; Dobavljač ne pohranjuje lozinke koje su dali korisnici.

• Održavajte i provodite plan odgovora na sigurnosne incidente za reagiranje i rješavanje događaja koji ugrožavaju povjerljivost, dostupnost ili integritet izvršavanja obveza Dobavljača ili podataka OpenAI.
• Nakon što saznate za stvarni ili sumnjivi sigurnosni incident, dostavite pisanu obavijest organizaciji OpenAI na adresu security@openai.com bez nepotrebnog odgađanja, a u svakom slučaju u roku od 48 sati od saznanja za sigurnosni incident. Gdje je to moguće, takva će obavijest sadržavati sve dostupne detalje potrebne prema propisima o zaštiti podataka kako bi OpenAI mogao ispuniti vlastite obveze obavještavanja nadležnih tijela ili pojedinaca pogođenih sigurnosnim incidentom.
• Poduzmite razumne mjere za ublažavanje rizika od daljnjih sigurnosnih incidenata. U slučaju da je Sigurnosni incident posljedica kršenja ovih Sigurnosnih mjera dobavljača od strane Dobavljača, Dobavljač će nadoknaditi (u skladu s ograničenjima odgovornosti uključenima u Ugovoru) društvu OpenAI stvarne troškove i izdatke sanacije iz vlastitih sredstava, nastale kao rezultat radnji koje je potrebno poduzeti prema Zakonima o zaštiti podataka ili koje su stranke dogovorile u vezi sa Sigurnosnim incidentom, uključujući, gdje je primjenjivo: (i) izradu i slanje zakonski obveznih obavijesti pogođenim osobama; (ii) podršku pozivnog centra za odgovor na upite; i (iii) zakonski obvezne usluge praćenja kreditne sposobnosti pogođenih osoba. OpenAI ima isključivo diskrecijsko pravo kontrolirati vrijeme, sadržaj i način bilo kakvih obavijesti dostavljenih prema ovom stavku.

• Izradite i zadržite revizijske zapise za sve sustave, mreže i prateću infrastrukturu koji se upotrebljavaju za pružanje Usluga, omogućujući praćenje, analizu, istragu i izvještavanje o nezakonitim ili neovlaštenim aktivnostima.
• Zabilježite sve privilegirane radnje na način koji povezuje svaki događaj s imenovanom osobom.
• Bilježite i kontinuirano pratite privilegirane aktivnosti na krajnjim točkama, poslužiteljima i pratećoj infrastrukturi kako biste otkrili neovlaštene promjene ili kršenja pravila.
• Kontinuirano pratite sigurnost i dostupnost — uključujući mrežni promet i zapisnike usluga — i brzo reagirajte na sva upozorenja. 
• Redovito pregledavajte i analizirajte sigurnosne i operativne zapisnike kako biste otkrili sumnjive aktivnosti, kršenja pravila ili događaje koji bi mogli utjecati na povjerljivost, integritet ili dostupnost podataka OpenAI.
• Na zahtjev dostavite dnevnike revizije društvu OpenAI.

• Održavajte i provodite dokumentirani postupak sigurnog razvoja / sigurnosti po dizajnu koji obuhvaća planiranje, kodiranje, ispitivanje, implementaciju i održavanje softvera ili usluga koje pruža društvu OpenAI.
• SDLC mora obuhvaćati modeliranje prijetnji, pregled kôda, automatizirano skeniranje ranjivosti ovisnosti i sigurnosno testiranje (statičko i dinamičko testiranje te skeniranje kontejnera ili IaC-a) prije nego što se kôd uvede u proizvodnju. 
• Rezultati tih aktivnosti, zajedno s dokazima o sanaciji visokorizičnih nalaza, čuvaju se najmanje 12 mjeseci i stavljaju se na raspolaganje društvu OpenAI na zahtjev.

• Odvojite okruženja — proizvodna i neproizvodna okruženja držite odvojena i pobrinite se da se podaci OpenAI nalaze samo u proizvodnim okruženjima.
• Logički odvojite podatke OpenAI od svih ostalih korisničkih podataka i uvedite zasebne granice na razini korisnika unutar svake korisničke organizacije društva OpenAI.
• Pobrinite se da su primarni pozadinski resursi raspoređeni iza kontrola privatne mreže (VPN, privatna veza ili ekvivalentna arhitektura nultog povjerenja).
• Pravila mrežne sigurnosti i vatrozidi konfigurirani su za pristup s najmanjim privilegijama prema unaprijed utvrđenom skupu dopuštenih tokova prometa. 
• Nedozvoljeni tokovi prometa blokirani su.

• Održavajte i provodite program upravljanja ranjivostima koji je standard u industriji, a osmišljen je kako bi se osiguralo brzo otklanjanje ranjivosti koje utječu na usluge koje pruža Dobavljač.
• Održavajte i implementirajte program upravljanja ranjivostima koji redovito skenira ranjivosti, pretplaćuje se na uslugu obavještavanja o ranjivostima, daje prioritet sanaciji na temelju rizika i utvrđuje vremenske okvire za sanaciju na temelju ocjene rizika.
• Nakon što se objavi zakrpa te se pregleda i procijeni primjenjivost i važnost povezane sigurnosne ranjivosti, zakrpa se primjenjuje i provjerava u vremenskom okviru razmjernom riziku kojem su Sustavi izloženi.
• Implementirajte rješenje za upravljanje zapisnicima i čuvajte zapisnike koje stvaraju sustavi za detekciju upada najmanje godinu dana.

• Održavajte fizičku sigurnost na svakoj lokaciji na kojoj se podaci društva OpenAI mogu pohraniti ili kojima se može pristupiti.
• Kontrolirajte pristup uredima i podatkovnim centrima putem identifikacijske značke, biometrijske provjere autentičnosti ili ekvivalentne provjere autentičnosti.
• Zabilježite i ispratite sve posjetitelje.
• Upravljajte video nadzorom 24 × 7 i fizičkim sustavima za detekciju upada.
• Sigurno rukujte fizičkim medijima i zbrinite ih uz pohranu u zaključanom prostoru, praćenje prijenosa i certificirano uništavanje.

Dobavljač će štititi povjerljivost, cjelovitost i dostupnost Usluga i svih podataka organizacije OpenAI na sljedeće načine:

• Upravljanje dostupnošću
  • Kontinuirano pratite, analizirajte i procjenjujte izvedbu i dostupnost sustava.
  • Pravovremeno otkrijte i prijavljujte kvarove i odmah vraćajte usluge nakon prekida.
  • Pratite, samostalno ovjeravajte i dokumentirajte vrijeme rada usluge, incidente i pridržavanje dogovorenih ciljeva razine usluge.
  • Na zahtjev, društvu OpenAI dostavite relevantne metrike izvedbi koje pokazuju usklađenost s razinama usluge.
• Kontinuitet poslovanja i oporavak od katastrofe (BC/DR)
  • Vodite dokumentirane planove BC/DR koji se bave hitnim slučajevima ili drugim događajima koji mogu poremetiti Usluge ili ugroziti podatke OpenAI.
  • Redovito izrađujte sigurnosne kopije kritičnih sustava i podataka u skladu s planovima BC/DR.
  • Ispitajte planove BC/DR barem jednom godišnje i ispravite sve važne nedostatke utvrđene tijekom ispitivanja.
  • Prije bilo kakve promjene koja bi značajno smanjila zaštitu koju ti planovi pružaju, pribavite prethodnu pisanu suglasnost društva OpenAI, a ta suglasnost neće biti nerazumno uskraćena.

• Održavajte i provodite program upravljanja rizicima koji je industrijski standard za sve podizvršitelje obrade, podizvođače i ključne poddobavljače koji imaju pristup podacima OpenAI-ja ili podržavaju softver ili usluge
• Sklopite pisane ugovore sa svakom trećom stranom koji zahtijevaju sigurnosne mjere barem jednako stroge kao one u ovim Sigurnosnim mjerama dobavljača.
• Podvrgnite sve treće strane formalnom postupku sigurnosne procjene Dobavljača prije uključivanja i u redovitim intervalima nakon toga, čuvajući nastalu dokumentaciju.
• Na zahtjev društva OpenAI identificirajte svakog ključnog poddobavljača, njegovu zemlju podrijetla i svaku ključnu ovisnost relevantnu za izvršavanje obveza dobavljača.
• Održavajte postupke koji procjenjuju rizike IKT-a i lanca opskrbe proizvodima te odmah obavještavajte društvo OpenAI o svim poremećajima, ranjivostima ili novim prijetnjama koje bi mogle ugroziti povjerljivost, integritet ili dostupnost softvera, usluga, izvedbe Dobavljača ili podataka OpenAI-ja.

• Zaštitite podatke OpenAI-ja tijekom prijenosa kroz bilo koju javnu ili privatnu mrežu koristeći se snažnim, industrijski priznatim kriptografskim protokolima (TLS 1.2 ili noviji, SSH 2, IPsec ili ekvivalentni protokol). Zastarjeli ili nesigurni protokoli (na primjer, SSL v3, TLS 1.0/1.1) moraju biti onemogućeni. 
• Šifrirajte sve podatke OpenAI pohranjene na bilo kojem trajnom mediju – uključujući baze podataka, spremišta objekata, sustave datoteka, uređaje krajnje točke i sigurnosne kopije – koristeći se snažnim, industrijski priznatim algoritmima (primjerice, AES-256 ili ekvivalentnim) i kriptografskim modulima validiranim prema FIPS 140-2/3, ISO/IEC 19790 ili usporedivim standardima. 
• Upravljajte ključevima za šifriranje pomoću namjenskog sustava za upravljanje ključevima; pristup ključevima mora biti ograničen na ovlašteno osoblje, a ključevi se moraju rotirati najmanje jednom godišnje ili u slučaju sumnje na narušavanje sigurnosti. Dobavljač mora jamčiti da su snimke, replike i izvanmrežne sigurnosne kopije zaštićene istim kontrolama.

Po isteku ili raskidu Ugovora, Dobavljač će, po izboru društva OpenAI, izbrisati ili vratiti sve podatke OpenAI-ju (isključujući sve sigurnosne kopije ili arhivske kopije koje će biti izbrisane u skladu s rasporedom čuvanja podataka Dobavljača), osim u slučajevima kada je Dobavljač dužan zadržati kopije prema važećim zakonima, u kojem slučaju će Dobavljač izolirati i zaštititi te podatke OpenAI od bilo kakve daljnje obrade osim u mjeri u kojoj to zahtijevaju važeći zakoni. Dobavljač će društvu OpenAI omogućiti konfiguriranje razdoblja čuvanja podataka unutar proizvoda, ako je primjenjivo na usluge koje Dobavljač pruža.

• Provodi kontrole osmišljene kako bi se jamčilo sigurno odlaganje podataka OpenAI-a u skladu s važećim zakonom, uzimajući u obzir dostupnu tehnologiju kako se podaci OpenAI-ja ne bi mogli čitati ili rekonstruirati. 
• Sigurno obrišite elektroničke medije prije odlaganja koristeći se metodama opisanim u standardu NIST SP 800-88 ili ekvivalentnom standardu, prepisivanjem ili demagnetiziranjem, ili ih fizički uništite prije odlaganja ili prenamjene u drugi sustav.

• Redovito procjenjujte učinkovitost svojih sigurnosnih kontrola — putem automatiziranog skeniranja, ručnih pregleda i provjera usklađenosti s pravilima — u odnosu na okvire industrijskih standarda i vlastite pravilnike. 
• Unaprijed obavijestite društvo OpenAI o svakoj materijalnoj promjeni svoje infrastrukture, arhitekture, ovisnosti o trećim stranama, tijekovima podataka ili sigurnosnom položaju, koja bi razumno mogla utjecati na povjerljivost, integritet ili dostupnost podataka OpenAI.

Dobavljač će najmanje jednom godišnje:

• Angažirati kvalificiranog, neovisnog revizora da pregleda sigurnosne kontrole u skladu s priznatim industrijskim standardom (primjerice, SOC 2 tipa 2 ili ISO 27001 – nadzorni pregled / ponovna certifikacija).  
• Na zahtjev dostaviti sažetak ili potpuna izvješća (prema potrebi) organizaciji OpenAI.

Ako Dobavljač pruža usluge domaćina (hostiranja) ili mrežne usluge, Dobavljač će:

• Organizirati godišnja penetracijska testiranja koja provode treće strane, a koja obuhvaćaju: (i) Hostirane usluge ili usluge; (ii) cjelokupni perimetar izložen internetu; i (iii) internu korporativnu mrežu Dobavljača.
• Podijelite dokaze da su ispitivanja provedena, kao i sažetke nalaza za rukovodstvo, uz ugovor o povjerljivosti (NDA). 
• U roku od 60 dana od otkrivanja otklonite kritične i ranjivosti visoke ozbiljnosti koje utječu na podatke OpenAI ili odmah obavijestite društvo OpenAI o kompenzacijskim kontrolama i preostalom riziku.

• Tijekom trajanja Ugovora i godinu dana nakon toga, društvo OpenAI (ili njegov imenovani revizor) može, uz prethodnu obavijest u razumnom vremenu, pregledati relevantne knjige, zapise i objekte kako bi potvrdio usklađenost s ovim Sigurnosnim mjerama dobavljača. Pregledi će biti ograničeni na informacije koje su razumno potrebne za tu svrhu i provedeni uz obveze povjerljivosti. 
• Dobavljač će također uložiti komercijalno razumne napore kako bi ispunio sigurnosne upitnike koje društvo OpenAI može s vremena na vrijeme poslati.

Dobavljač potvrđuje da Konačno pravilo kojim se provodi Izvršna uredba 14117, koje je izdalo Ministarstvo pravosuđa SAD-a, zabranjuje ili ograničava Pristup skupnim Pokrivenim podacima Predmetnim zemljama ili Pokrivenim osobama (kako su ti pojmovi i drugi pojmovi pisani velikim slovom koji se upotrebljavaju u ovom stavku definirani u Konačnom pravilu).

• Ako usluge koje Dobavljač pruža uključuju Pristup Pokrivenim podacima društva OpenAI ili njegovih povezanih društava, Dobavljač izjavljuje i jamči da: (i) ni on ni bilo koje od njegovih povezanih društava nije niti će biti osnovano ili registrirano u Predmetnoj zemlji, nema niti će imati glavno mjesto poslovanja u Predmetnoj zemlji niti je ili će biti u izravnom ili neizravnom, pojedinačnom ili skupnom vlasništvu od 50 % ili više jedne ili više Predmetnih zemalja ili Pokrivenih osoba; i (ii) ni Dobavljač, ni bilo koje od njegovih povezanih društava, niti bilo koji zaposlenik ili ugovaratelj Dobavljača koji ima Pristup takvim Pokrivenim podacima nije niti će se nalaziti u Predmetnoj zemlji, nije utvrđen kao Pokrivena osoba od strane glavnog državnog odvjetnika SAD-a niti na drugi način ispunjava ili će ispunjavati uvjete da bude Pokrivena osoba. Ako se (a) ili (b) promijeni, Dobavljač će odmah obavijestiti OpenAI.
• Dobavljač i njegova društva neće sudjelovati ni u jednoj Transakciji Pokrivenih podataka koja uključuje Pokrivene podatke društva OpenAI s Predmetnom zemljom ili obuhvaćenom osobom. Ako Dobavljač sudjeluje u Ograničenoj transakciji povezanoj s Pokrivenim podacima društva OpenAI, Dobavljač će društvu OpenAI dostaviti sve informacije potrebne kako bi OpenAI ispunio zahtjeve Konačnog pravila.

• Pokriveni podaci znače velike količine osjetljivih podataka iz SAD-a ili podatke povezane s vladom SAD-a, kako se to može dodatno definirati u skladu s Konačnim pravilom kojim se provodi Izvršna uredba 14117, a koje je izdalo Ministarstvo pravosuđa SAD-a.
• Zakoni o zaštiti podataka označavaju sve zakone o zaštiti podataka koji se primjenjuju na izvršenje Ugovora od strane Dobavljača.
• Hostirana usluga označava softver kao uslugu, platformu kao uslugu ili bilo koju sličnu hostiranu ili mrežnu uslugu koju Dobavljač pruža društvu OpenAI.
• Program informacijske sigurnosti označava strukturirani okvir politika, postupaka i kontrola koji obuhvaća administrativne, tehničke i fizičke kontrole usklađene s industrijskim standardima, a sve je osmišljeno za zaštitu povjerljivosti, integriteta i dostupnosti podataka OpenAI.
• Podaci OpenAI označavaju podatke koje je Dobavljač primio ili prikupio od ili u ime društva OpenAI u vezi s Dobavljačevim radom za društvo OpenAI. Podaci OpenAI uključuju, ali nisu ograničeni na osobne podatke. 
• Osobni podaci imaju značenje dodijeljeno pojmu „osobni podaci” ili „osobne informacije” prema važećim zakonima o zaštiti podataka.
• Obrada označava bilo koju radnju izvršenu nad podacima, bilo automatiziranim sredstvima ili ne, uključujući prikupljanje, bilježenje, organiziranje, pohranu, uporabu, otkrivanje ili uništavanje.
• Sigurnosni incident označava svaki stvarni ili sumnjivi događaj koji uključuje neovlašteni pristup, uporabu, otkrivanje, izmjenu ili uništavanje podataka OpenAI ili poremećaj njihove dostupnosti ili integriteta unutar sustava Dobavljača ili podobrađivača.
• Kodeks ponašanja dobavljača označava Kodeks ponašanja dobavljača društva OpenAI dostupan na: https://openai.com/policies/supplier-code/.⁠
• Osoblje dobavljača znači sve osoblje koje obavlja bilo koji aspekt izvršavanja obveza Dobavljača u njegovom odnosu s organizacijom OpenAI, uključujući zaposlenike, ugovorne suradnike, privremene radnike i podizvođače.
• Sustavi označavaju informacijske sustave koje upotrebljavaju Dobavljač ili njegovi podobrađivači za obradu, prijenos ili pohranu podataka organizacije OpenAI. To obuhvaća integrirani hardver, softver, osoblje i postupke koji podržavaju te funkcije.