Öryggisráðstafanir fyrir birgja

Þessar öryggisráðstafanir birgja gilda fyrir birgja þegar hann veitir OpenAI vörur, þjónustu eða hugbúnað og eru hluti af viðeigandi samningi milli birgja og OpenAI („Samningurinn“). Hugtök sem notuð eru hér en ekki skilgreind eru skilgreind í samningnum.

Birgir skal viðhalda og reka upplýsingaöryggisáætlun sem verður endurskoðuð að minnsta kosti árlega, eða fyrr ef öryggisatvik eða veruleg breyting á gildandi lögum gefur tilefni til þess. Yfirumsjón með upplýsingaöryggisáætluninni verður falin hæfum háttsettum starfsmönnum. 

Til að uppfylla öryggis- og persónuverndarskyldur sínar samkvæmt samningnum mun upplýsingaöryggisáætlun birgis innihalda eftirfarandi:

• Viðhalda skriflegum upplýsingaöryggis- og persónuverndarstefnum í samræmi við upplýsingaöryggisáætlunina og öll viðeigandi persónuverndarlög. 
• Miðla þessum stefnum og siðareglum birgis til alls viðeigandi starfsfólks og krefjast formlegrar staðfestingar.
• Fylgjast með fylgni og bæta úr vanefndum í gegnum skjalfestar aðferðir; brot á stefnum verða meðhöndluð með viðeigandi refsiaðgerðum.

• Viðhalda og reka áhættustýringarkerfi sem felur í sér reglulegt áhættumat og eftirlit með áhættugreiningu, greiningu, vöktun, skýrslugerð og úrbótum.
• Framkvæma áhættumat að minnsta kosti árlega (annaðhvort innanhúss eða með aðkeyptum, óháðum aðilum) til að greina áhættu fyrir gögn OpenAI, áhættu fyrir rekstrareignir birgis (t.d. tæknilega innviði), ógnir gegn þessum þáttum (bæði innri og ytri), líkurnar á að þessar ógnir eigi sér stað og áhrifin á fyrirtækið.
• Forgangsraða öryggisáhættu fyrir gögn OpenAI og úrbótum þeirra.

• Viðhalda og reka iðnaðarstaðla fyrir könnun, þjálfun og stjórnun starfsfólks.
• Framkvæma, að því marki sem lög heimila í lögsögu hvers starfsmanns, bakgrunnsskoðanir fyrir ráðningu á öllum starfsmönnum sem fá aðgang að gögnum OpenAI eða styðja við framkvæmd birgjans.
• Veita árlega öryggis- og persónuverndarþjálfun fyrir starfsfólk birgis og viðbótaröryggisþjálfun eftir því sem við á.
• Krefjast þess að starfsfólk birgis undirriti trúnaðarsamning eða tryggja að starfsfólk birgis sé háð trúnaðarskyldum í samræmi við þær sem birgir er háður í tengslum við starfsemi sína fyrir OpenAI, sem skilyrði fyrir ráðningu eða þátttöku og að fylgja stefnum um vernd gagna viðskiptavina og annarra þriðju aðila.
• Staðfesta auðkenni starfsmanna sinna og verktaka.
• Ekki ráða eða útvega starfsfólk birgis sem staðsett er í landi eða á landsvæði: (a) sem skrifstofa bandaríska fjármálaráðuneytisins um eftirlit með erlendum eignum (OFAC) hefur skilgreint sem háð víðtækum viðskiptaþvingunum; (b) sem fellur undir ferðaviðvörun utanríkisráðuneytis Bandaríkjanna á 4. stigi („Do Not Travel“); eða (c) þar sem virk vopnuð átök eiga sér stað.
• Leyfa OpenAI að gera tilfallandi öryggisathuganir á starfsfólki birgis og deila tafarlaust öllum upplýsingum sem OpenAI óskar eftir að því tilskildu að beiðnin sé studd viðeigandi rökum.
• OpenAI getur gert viðbótaröryggisathuganir á starfsfólki birgis sem vinnur fjarvinnu, að því gefnu að slíkt takmarki ekki eða útiloki skyldu birgis til að gera eigin bakgrunnsskoðanir og auðkennisvottanir samkvæmt þessum öryggisráðstöfunum eða samningnum.

Birgir skal tryggja öryggi allra fartölva, farsíma, netþjóna á staðnum og annarra vélbúnaðareininga sem vinna með gögn OpenAI með því að:

• Stjórna miðlægt öllum endapunktum og netþjónum – þar með talið innviðum á staðnum – í gegnum samþykktan vettvang fyrir stjórnun endapunkta.
• Framfylgja sjálfkrafa grunnöryggisuppsetningum og tímanlegum öryggisuppfærslum á stýrikerfum, forritum og fastbúnaði á vinnustöðvum og netþjónum.
• Krefjast dulkóðunar í hvíld: fullrar dulkóðunar diska á fartölvum og vinnustöðvum og dulkóðunar á diskadeildar- eða geymslustigi á netþjónum og geymslutækjum.
• Gera óvirk eða stýra stranglega færanlegum og fjarlægjanlegum búnaði á öllum eignum.

• Viðhalda og nota iðnaðarstaðla fyrir auðkennis-, auðkenningar- og aðgangsstýringu.
• Skjalfesta stefnur og verklagsreglur sem stjórna aðgangsstýringu fyrir starfsfólk birgis og þjónustureikninga.
• Viðhalda nákvæmum og uppfærðum lista yfir allt starfsfólk birgis með kerfisaðgang. 
• Gera óvirkar eða afturkalla aðgangsheimildir innan eins viðskiptadags frá flutningi eða uppsögn.
• Nota staka innskráningu (SSO) fyrir allar gagnvirkar innskráningar í innri kerfi og þjónustu þriðja aðila sem styðja við veitingu þjónustunnar.
• Framfylgja fjölþættri sannvottun hjá auðkennisveitandanum sem hluta af SSO-innskráningarferlinu. 
• Innleiða hlutverkamiðaða aðgangsstýringu (RBAC) með meginreglum um lágmarksréttindi og aðskilnað skyldna.
• Aðeins nota stjórnendaaðganga („root“/„administrator“) þegar það er tæknilega nauðsynlegt samkvæmt samþykktum breytingastjórnunarferlum; banna notendum án réttinda að framkvæma stjórnendaaðgerðir.
• Krefjast formlegrar yfirferðar og samþykkis fyrir öllum aðgangsbeiðnum að kerfum sem geyma gögn OpenAI, auk reglubundinna (að minnsta kosti ársfjórðungslegra) aðgangsúttekta til að staðfesta viðeigandi réttindi.
• Koma á ferlum til að tilkynna og afturkalla stolnar aðgangsupplýsingar (t.d. lykilorð, API-lykla) og til að staðfesta auðkenni notanda áður en aðgangur er endurstilltur eða tímabundnar aðgangsupplýsingar eru gefnar.
• Fyrir notendur OpenAI er notast við auðkennis- og aðgangsstýringarþjónustu þriðja aðila; þjónustuveitan geymir ekki lykilorð sem notendur leggja fram.

• Viðhalda og nota viðbragðsáætlun vegna öryggisatvika til að bregðast við og leysa atvik sem ógna trúnaði, framboði eða heilleika frammistöðu birgis eða gagna OpenAI.
• Þegar birgir verður var við raunverulegt eða grunað öryggisatvik, skal hann gefa skriflega tilkynningu til OpenAI á security@openai.com sem fyrst og í öllum tilvikum innan 48 klukkustunda frá því að hann verður var við öryggisatvikið. Þar sem það er hægt mun slík tilkynning innihalda allar tiltækar upplýsingar sem krafist er samkvæmt persónuverndarlögum til að OpenAI geti uppfyllt eigin tilkynningarskyldur til eftirlitsyfirvalda eða einstaklinga sem öryggisatvikið hefur áhrif á.
• Grípa til hæfilegra ráðstafana til að draga úr hættu á frekari öryggisatvikum. Þegar öryggisatvik stafar af broti birgis á þessum öryggisráðstöfunum birgis mun birgir endurgreiða (með fyrirvara um takmörkun ábyrgðar sem felst í samningnum) OpenAI fyrir raunverulegan, útlagðan kostnað og útgjöld sem stofnað er til vegna aðgerða sem þarf að grípa til samkvæmt lögum um persónuvernd eða sem samið er um á milli aðila varðandi öryggisatvik, þar með talið, eftir því sem við á: (i) gerð og sending lögboðinna tilkynninga til einstaklinga sem verða fyrir áhrifum; (ii) þjónusta símavers til að svara fyrirspurnum; og (iii) lögboðið eftirlit með inneign fyrir einstaklinga sem verða fyrir áhrifum. OpenAI skal hafa fullt ákvörðunarvald yfir tímasetningu, innihaldi og aðferð við allar tilkynningar sem veittar eru samkvæmt þessari málsgrein.

• Búa til og geyma úttektarskrár fyrir öll kerfi, net og stuðningsinnviði sem eru notuð til að veita þjónustuna, sem gerir kleift að fylgjast með, greina, rannsaka og tilkynna um ólöglega eða óheimila starfsemi.
• Skrá allar aðgerðir með sérstökum réttindum þannig að hægt sé að tengja hvert tilvik við nafngreindan einstakling.
• Skrá og fylgjast stöðugt með aðgerðum með sérstökum réttindum á endapunktum, netþjónum og stuðningsinnviðum til að greina óheimilar breytingar eða brot á reglum.
• Fylgjast stöðugt með öryggi og tiltækileika – þar á meðal netumferð og þjónustuskrár – og bregðast tafarlaust við öllum viðvörunum. 
• Fara yfir og greina öryggis- og rekstrarskrár reglulega til að greina grunsamlega starfsemi, brot á reglum eða atvik sem gætu haft áhrif á trúnað, heilleika eða framboð OpenAI gagna.
• Veita OpenAI aðgang að úttektarskrám samkvæmt beiðni.

• Viðhalda og nota skjalfest öruggt hönnunarferli / innbyggt öryggi sem nær yfir áætlanagerð, forritun, prófun, útfærslu og viðhald hugbúnaðar eða þjónustu sem veitt er OpenAI.
• SDLC verður að innihalda hættulíkan, kóðaendurskoðun, sjálfvirka skönnun á veikleikum í tengdum pökkum og öryggispróf (stöðug, virk og gáma- eða IaC-skönnun) áður en kóði er settur í framleiðslu. 
• Niðurstöður þessara aðgerða, ásamt úrbótasönnun fyrir niðurstöður með mikla áhættu, skulu geymdar í að minnsta kosti 12 mánuði og gerðar aðgengilegar OpenAI samkvæmt beiðni.

• Aðskilja umhverfi – halda framleiðslu- og hönnunarumhverfi aðskildu og tryggja að gögn OpenAI séu aðeins geymd í framleiðsluumhverfi.
• Aðskilja gögn OpenAI rökfræðilega frá öllum öðrum gögnum viðskiptavina og framfylgja skýrum notendamörkum innan hvers fyrirtækis viðskiptavina hjá OpenAI.
• Tryggja að aðalúrræði í bakenda séu sett upp á bak við einkanetsstýringar (VPN, einkatengingu eða sambærilegt lokað kerfi).
• Netöryggisstefnur og eldveggir eru stilltir fyrir lágmarksaðgang á grundvelli fyrirfram ákveðins leyfilegs gagnaflæðis. 
• Óleyfilegt umferðarflæði er stöðvað.

• Viðhalda og nota staðlað veikleikastjórnunarkerfi sem er hannað til að tryggja skjótar úrbætur á veikleikum sem hafa áhrif á þjónustuna sem birgirinn veitir.
• Viðhalda og innleiða veikleikastjórnunarkerfi sem framkvæmir reglulegar leitir að veikleikum, er skráð í tilkynningaþjónustu um veikleika, forgangsraðar úrbótum byggt á áhættumati og skilgreinir tímamörk fyrir úrbætur í samræmi við þá áhættu.
• Þegar öryggisviðgerð er gefin út og tengdur veikleiki hefur verið yfirfarinn og metinn með tilliti til nothæfis og mikilvægis, skal viðgerðin innleidd og staðfest innan tímaramma sem samsvarar áhættunni sem hún kann að valda kerfunum.
• Setja upp skráningarstjórnkerfi og varðveita innbrotaskrár í að minnsta kosti eitt ár.

• Viðhalda efnislegu öryggi á öllum stöðum þar sem OpenAI gögn kunna að vera geymd eða eru aðgengileg.
• Stjórna aðgangi að skrifstofum og gagnaverum með aðgangskortum, lífkennum eða sambærilegri auðkenningu.
• Skrá og fylgja öllum gestum.
• Starfrækja myndavélaeftirlit allan sólarhringinn og efnislegt innbrotavarnarkerfi.
• Meðhöndla og farga efnislegum miðlum á öruggan hátt með læstri geymslu, skráðum flutningum og vottaðri eyðingu.

Birgir skal tryggja trúnað, heilleika og aðgengi þjónustunnar og allra gagna OpenAI með eftirfarandi hætti:

• Stjórnun á framboði
  • Fylgjast stöðugt með, greina og meta afköst og aðgengi kerfa.
  • Greina bilanir tímanlega, tilkynna þær og endurvekja þjónustu eins fljótt og auðið er eftir truflun.
  • Fylgjast með, sjálfvotta og skrá uppitíma þjónustu, atvik og fylgni við samþykkt þjónustustigsmarkmið.
  • Veita OpenAI, sé þess óskað, viðeigandi frammistöðumælingar sem sýna fram á fylgni við þjónustustig.
• Framhald starfsemi og endurreisn eftir áfall (BC/DR)
  • Viðhalda skjalfestum BC/DR áætlunum sem taka á neyðartilfellum eða öðrum atburðum sem geta truflað þjónustuna eða stofnað gögnum OpenAI í hættu.
  • Taka öryggisafrit af mikilvægum kerfum og gögnum reglulega í samræmi við BC/DR áætlanirnar.
  • Prófa BC/DR-áætlanirnar að minnsta kosti árlega og bæta úr öllum verulegum göllum sem greinast við prófun.
  • Fá skriflegt samþykki OpenAI fyrirfram áður en gerðar eru breytingar sem myndu draga verulega úr þeirri vernd sem þessar áætlanir veita og slíku samþykki verður ekki haldið aftur án gildra ástæðna.

• Viðhalda og starfrækja staðlað áhættustjórnunarkerfi fyrir alla undirvinnsluaðila, undirverktaka og mikilvæga undirbirgja sem hafa aðgang að gögnum OpenAI eða sem styðja við hugbúnaðinn eða þjónustuna
• Ganga frá skriflegum samningum við hvern þriðja aðila sem krefjast öryggisráðstafana sem eru að minnsta kosti jafn strangar og þær sem fram koma í þessum öryggisráðstöfunum birgjans.
• Láta alla þriðju aðila gangast undir formlegt öryggismat birgis áður en þeir eru teknir inn og með reglulegu millibili eftir það og geyma þau skjöl sem eru gerð út frá því.
• Tilgreina, að beiðni OpenAI, alla mikilvæga undirbirgja, upprunaland þeirra og allar lykilháðar breytur sem skipta máli fyrir starfsemi birgis.
• Viðhalda ferlum sem meta áhættur í upplýsinga- og samskiptatækni og vörubirgðakeðju og tilkynna OpenAI tafarlaust um hvers kyns truflanir, veikleika eða nýjar ógnir sem gætu stofnað trúnaði, heilleika eða aðgengi hugbúnaðarins, þjónustunnar, frammistöðu birgis eða gagna OpenAI í hættu.

• Vernda gögn OpenAI í flutningi um hvers kyns opinbert net eða einkanet með því að nota öflugar, iðnaðarviðurkenndar dulkóðunarreglur (TLS 1.2 eða nýrri, SSH 2, IPsec eða sambærilegt). Úreltar eða óöruggar reglur (t.d. SSL v3, TLS 1.0/1.1) verða að vera óvirkar. 
• Dulkóða öll gögn OpenAI sem geymd eru á varanlegum miðlum—þar með talið gagnagrunnum, hlutageymslum, skráakerfum, endapunktum og öryggisafritum—með því að nota öflug, iðnaðarviðurkennd reiknirit (t.d. AES-256 eða sambærilegt) og staðfestar dulritunareiningar samkvæmt FIPS 140-2/3, ISO/IEC 19790 eða sambærilegum stöðlum. 
• Stjórna dulkóðunarlyklum með sérstöku lyklastjórnunarkerfi; aðgangur að lyklum skal takmarkast við heimilað starfsfólk og þeim skal skipt út að minnsta kosti árlega eða ef grunur leikur á að þeir hafi komist í hendur óviðkomandi aðila. Birgir skal tryggja að skyndimyndir, afrit og ótengd öryggisafrit séu vernduð með sömu öryggisráðstöfunum.

Við lok eða uppsögn samningsins mun birgir, að vali OpenAI, eyða eða skila öllum gögnum OpenAI (að undanskildum öryggisafritum eða skjalasafnsafritum sem skal eytt í samræmi við gagnageymslutíma birgis), nema þar sem birgir er skyldugur til að halda afritum samkvæmt gildandi lögum, en í slíkum tilvikum mun birgir einangra og vernda þau gögn OpenAI frá frekari vinnslu nema að því marki sem krafist er samkvæmt gildandi lögum. Birgir mun veita OpenAI möguleika á að stilla gagnageymslutímabil innan vörunnar, ef það á við um þjónustuna sem birgir veitir.

• Innleiða stýringar sem hannaðar eru til að tryggja örugga förgun gagna OpenAI í samræmi við gildandi lög með tilliti til fáanlegrar tækni þannig að ekki sé hægt að lesa eða endurbyggja gögn OpenAI. 
• Eyða skal rafrænum miðlum á öruggan hátt fyrir förgun með aðferðum sem lýst er í NIST SP 800-88 staðlinum, eða sambærilegum aðferðum,svo sem með yfirskrift, afsegulun, eða eyðileggja þá efnislega áður en miðlarnir eru annað hvort fjarlægðir eða úthlutaðir til annars kerfis.

• Meta reglulega skilvirkni öryggisráðstafana sinna—með sjálfvirkri skönnun, handvirkri yfirferð og athugun á stefnufylgni—gagnvart iðnaðarstöðlum og eigin stefnum. 
• Tilkynna OpenAI fyrirfram um allar verulegar breytingar á innviðum sínum, uppbyggingu, tengslum við þriðja aðila, gagnaflæði eða öryggisástandi sem gætu með sanngjörnum hætti haft áhrif á trúnað, heilleika eða aðgengi gagna OpenAI.

Að minnsta kosti árlega mun birgir:

• Ráða hæfan, óháðan endurskoðanda til að yfirfara öryggisráðstafanir sínar gagnvart viðurkenndum iðnaðarstaðli (t.d. SOC 2 Type 2 eða ISO 27001 eftirlit / endurvottun).  
• Veita samantekt eða fullar skýrslur (eftir því sem við á) til OpenAI samkvæmt beiðni.

Ef birgir veitir hýsta þjónustu eða netþjónustu mun birgir:

• Skipuleggja árlegar smokurprófun þriðja aðila sem ná yfir: (i) hýstu þjónustuna eða þjónusturnar; (ii) allan netjaðarinn sem snýr að internetinu; og (iii) innra fyrirtækjanet birgis.
• Deila sönnun þess að prófin hafi farið fram, auk samantektar á niðurstöðum, undir trúnaðarsamningi. 
• Lagfæra veikleika með alvarlegasta eða hátt alvarleikastig sem hafa áhrif á gögn OpenAI innan 60 daga frá uppgötvun eða upplýsa OpenAI tafarlaust um mótvægisaðgerðir og eftirstæða áhættu.

• Á samningstímanum og í eitt ár eftir það getur OpenAI (eða tilnefndur endurskoðandi þess) með hæfilegum fyrirvara yfirfarið viðeigandi bækur, skrár og aðstöðu til að staðfesta fylgni við þessar öryggisráðstafanir birgis. Yfirferðir verða takmarkaðar við upplýsingar sem eru með sanngjörnum hætti nauðsynlegar í þeim tilgangi og fara fram samkvæmt trúnaðarskyldu. 
• Birgir mun einnig gera viðskiptalega eðlilegar tilraunir til að ljúka við öryggiskannanir sem OpenAI kann að leggja fram af og til.

Birgir viðurkennir að lokareglan um framkvæmd forsetatilskipunar 14117, sem gefin var út af bandaríska dómsmálaráðuneytinu bannar eða takmarkar aðgang að umfangsmiklum vernduðum gögnum til áhættulanda eða verndaðra einstaklinga (eins og slík hugtök og önnur hugtök sem eru notuð í þessari málsgrein eru skilgreind í lokareglunum).

• Ef þjónustan sem birgir veitir felur í sér aðgang að vernduðum gögnum OpenAI eða hlutdeildarfélaga þess, þá lýsir birgir yfir og ábyrgist að: (i) hvorki hann né nokkurt hlutdeildarfélag hans er eða verður skipulagt eða skráð í áhættulandi, hefur eða mun hafa aðalstarfsstöð í áhættulandi, eða er eða verður 50% eða meira í eigu, beint eða óbeint, einstaklingsbundið eða samanlagt, eins eða fleiri áhættulanda eða verndaðra einstaklinga; og (ii) hvorki birgir, né nokkurt hlutdeildarfélag hans, né starfsmaður eða verktaki með aðgang að slíkum gögnum sé staðsettur í áhættulandi eða teljist, né verði, verndaður einstaklingur samkvæmt skilgreiningu bandaríska dómsmálaráðherrans eða telst að öðru leyti eða mun teljast verndaður einstaklingur. Ef (a) eða (b) breytist mun birgir tilkynna OpenAI tafarlaust um það.
• Birgir og hlutdeildarfélög hans munu ekki taka þátt í neinum vernduðum gagnafærslum sem fela í sér vernduð gögn OpenAI með áhættulandi eða vernduðum einstaklingi. Ef birgir tekur þátt í takmarkaðri færslu tengdri vernduðum gögnum OpenAI mun birgir veita OpenAI allar nauðsynlegar upplýsingar til að OpenAI geti uppfyllt kröfur lokareglunnar.

• Vernduð gögn merkir umfangsmikil viðkvæm gögn Bandaríkjanna eða gögn tengd bandaríska ríkinu, eins og þetta kann að vera nánar skilgreint samkvæmt lokareglu sem innleiðir framkvæmdatilskipun 14117 gefin út af bandaríska sem dómsmálaráðuneyti Bandaríkjanna gaf út.
• Persónuverndarlög merkir öll persónuverndarlög sem eiga við um starfsemi birgis samkvæmt samningnum.
• Hýst þjónusta merkir hugbúnað sem þjónustu, vettvang sem þjónustu eða hvers kyns sambærilega hýsta eða netþjónustu sem birgir veitir OpenAI.
• Upplýsingaöryggisáætlun merkir skipulagt kerfi stefna, verkferla og eftirlits sem felur í sér stjórnunarleg, tæknileg og efnisleg stjórntæki í samræmi við iðnaðarstaðla, allt hannað til að vernda trúnað, heilleika og aðgengi að OpenAI gögnum.
• Gögn OpenAI merkir upplýsingar sem birgir hefur móttekið eða safnað frá eða fyrir hönd OpenAI í tengslum við starfsemi birgis fyrir OpenAI. Gögn OpenAI innihalda meðal annars persónuupplýsingar. 
• Persónuupplýsingar hafa þá merkingu sem hugtakið „persónuupplýsingar“ eða „persónuleg gögn“ hefur samkvæmt viðeigandi persónuverndarlögum.
• Vinnsla merkir hvers konar aðgerð sem framkvæmd er á gögnum, hvort sem er með sjálfvirkum hætti eða ekki, þar með talið söfnun, skráning, skipulagning, geymsla, notkun, birting eða eyðing.
• Öryggisatvik merkir hvers konar raunverulegan eða grunaðan atburð sem felur í sér óheimilan aðgang, notkun, birtingu, breytingu eða eyðingu á gögnum OpenAI eða truflun á aðgengi þeirra eða heilleika, innan kerfa birgis eða undirvinnsluaðila.
• Siðareglur birgja merkir siðareglur OpenAI fyrir birgja sem má finna á: https://openai.com/policies/supplier-code/.⁠
• Starfsfólk birgis merkir allt starfsfólk sem framkvæmir einhvern þátt af frammistöðu birgis í samstarfi við OpenAI, og felur í sér starfsmenn, verktaka, lausráðna starfsmenn og undirverktaka.
• Kerfi merkir upplýsingakerfi sem birgir eða undirvinnsluaðilar hans nota til að vinna, senda eða geyma OpenAI gögn. Þetta felur í sér samþættan vélbúnað, hugbúnað, starfsfólk og verkferla sem styðja þessa virkni.