வழங்குநர் பாதுகாப்பு நடவடிக்கைகள்

இந்த வழங்குநர் பாதுகாப்பு நடவடிக்கைகள், OpenAI-க்கு பொருட்கள், சேவைகள் அல்லது மென்பொருளை வழங்கும் போது வழங்குநருக்குப் பொருந்தும், மேலும் அவை வழங்குநர் மற்றும் OpenAI இடையேயான பொருந்தக்கூடிய ஒப்பந்தத்தில் (“Agreement”) இணைக்கப்படுகின்றன. இங்கு பயன்படுத்தப்படுகின்ற, ஆனால் இங்கே வரையறுக்கப்படாத சொற்கள் ஒப்பந்தத்தில் வரையறுக்கப்பட்டுள்ளன.

வழங்குநர் ஒரு தகவல் பாதுகாப்புத் திட்டத்தை பராமரித்து இயக்குவார், இது குறைந்தபட்சம் ஆண்டுதோறும் மீளாய்வு செய்யப்படும், அல்லது பாதுகாப்புச் சம்பவம் அல்லது பொருந்தக்கூடிய சட்டத்தில் ஒரு பெரிய மாற்றத்தால் ப்ராம்ப்ட் செய்யப்பட்டால் முன்னதாகவே மீளாய்வு செய்யப்படும். தகவல் பாதுகாப்புத் திட்டத்தின் மேற்பார்வை பொருத்தமான தகுதி வாய்ந்த மூத்த பணியாளர்களிடம் ஒப்படைக்கப்படும். 

ஒப்பந்தத்தின் கீழ் அதன் பாதுகாப்பு மற்றும் தனியுரிமைக் கடமைகளை நிறைவேற்ற, வழங்குநரின் தகவல் பாதுகாப்புத் திட்டத்தில் பின்வருபவை உள்ளடங்கும்:

• தகவல் பாதுகாப்புத் திட்டத்துடனும் பொருந்துகின்ற அனைத்து தரவு பாதுகாப்புச் சட்டங்களுடனும் ஒத்திசைந்த எழுத்துப்பூர்வ தகவல்-பாதுகாப்பு மற்றும் பிரைவசி பாலிசிகளைப் பராமரிக்கவும். 
• இந்தக் கொள்கைகளையும் வழங்குநர் நடத்தை விதிகளையும் அனைத்து தொடர்புடைய பணியாளர்களுக்கும் தெரிவித்து, முறையான ஒப்புதலைப் பெற வேண்டும்.
• ஆவணப்படுத்தப்பட்ட செயல்முறைகள் மூலம் இணக்கத்தைக் கண்காணித்து, இணங்காதவற்றைச் சரிசெய்யவும்; கொள்கை மீறல்கள் பொருத்தமான ஒழுங்கு நடவடிக்கையுடன் தீர்க்கப்படும்.

• இடர் அடையாளம் காணல், பகுப்பாய்வு, கண்காணிப்பு, அறிக்கையிடல் மற்றும் சரிசெய்தல் நடவடிக்கைக்கான வழக்கமான இடர் மதிப்பீடுகள் மற்றும் கட்டுப்பாடுகளை உள்ளடக்கிய இடர் மேலாண்மைத் திட்டத்தை பராமரித்து இயக்கவும்.
• குறைந்தது ஆண்டுக்கு ஒருமுறை, OpenAI தரவுக்கான அபாயங்கள், வழங்குநரின் வணிகச் சொத்துக்களுக்கான அபாயங்கள் (எ.கா., தொழில்நுட்ப உள்கட்டமைப்பு), அந்தக் கூறுகளுக்கு எதிரான அச்சுறுத்தல்கள் (உள் மற்றும் வெளி), அந்த அச்சுறுத்தல்கள் ஏற்படுவதற்கான வாய்ப்பு மற்றும் நிறுவனத்தின் மீதான தாக்கத்தை அடையாளம் காண (நிறுவனத்திற்குள் அல்லது ஒப்பந்தம் செய்யப்பட்ட, சுயாதீன வளங்களுடன்) இடர் மதிப்பீடுகளைச் செய்தல் வேண்டும்.
• OpenAI தரவுக்கான பாதுகாப்பு அபாயங்களை வரிசைப்படுத்தி, அவற்றை சரிசெய்ய முன்னுரிமை அளிக்க வேண்டும்.

• பணியாளர்களைச் சரிபார்த்தல், பயிற்சி அளித்தல், நிர்வகித்தல் ஆகியவற்றிற்கான தொழில்துறை தரநிலை நடைமுறைகளைப் பராமரித்து இயக்கவும்.
• ஒவ்வொரு தொழிலாளியின் அதிகார வரம்பிலும் சட்டப்பூர்வமாக அனுமதிக்கப்பட்ட அளவிற்கு, OpenAI தரவை அணுகும் அல்லது வழங்குநரின் செயல்திறனை ஆதரிக்கும் அனைத்து பணியாளர்களுக்கும் வேலைவாய்ப்புக்கு முந்தைய பின்னணி சரிபார்ப்புகளை மேற்கொள்ளவும்.
• வழங்குநர் பணியாளர்களுக்கு வருடாந்திரப் பாதுகாப்பு மற்றும் தனியுரிமைப் பயிற்சியையும், பொருத்தமான துணைப் பாதுகாப்புப் பயிற்சியையும் வழங்கவும்.
• வழங்குநரின் பணியாளர்கள் இரகசியத்தன்மை ஒப்பந்தத்தை நிறைவேற்ற வேண்டும் அல்லது வேலைவாய்ப்பு அல்லது ஈடுபாட்டிற்கான நிபந்தனையாகவும், வாடிக்கையாளர் மற்றும் பிற மூன்றாம் தரப்புத் தரவுகளின் பாதுகாப்பு தொடர்பான கொள்கைகளைப் பின்பற்றவும், OpenAI-க்காக அதன் செயல்திறன் தொடர்பாக வழங்குநர் உட்பட்டிருக்கும் இரகசியத்தன்மைக் கடமைகளுக்கு இணங்கும் இரகசியத்தன்மைக் கடமைகளுக்கு வழங்குநரின் பணியாளர்கள் உட்பட்டிருப்பதை உறுதி செய்ய வேண்டும்.
• அதன் ஊழியர்கள் மற்றும் தற்செயல் தொழிலாளர்களின் அடையாளத்தைச் சரிபார்க்கவும்.
• பின்வரும் எந்த நாடு அல்லது பிராந்தியத்திலும் அமைந்துள்ள வழங்குநர் பணியாளர்களை பணியமர்த்தவோ அல்லது ஆதாரமாகப் பெறவோ கூடாது: (a) அமெரிக்க வெளிநாட்டு சொத்து கட்டுப்பாட்டு அலுவலகத்தால் (OFAC) முழுமையான தடைகள் விதிக்கப்பட்டதாக அறிவிக்கப்பட்டவை; (b) அமெரிக்க வெளியுறவுத் துறையால் நிலை 4 / பயணம் செய்ய வேண்டாம் என்ற அறிவுறுத்தலுக்கு உட்பட்டவை; அல்லது (c) செயலில் உள்ள ஆயுத மோதல்கள் நடைபெறும் பகுதிகள் ஆகியவை.
• வழங்குநரின் பணியாளர்களிடம் தேவைக்கேற்ப பாதுகாப்புச் சோதனைகளைச் செய்ய OpenAI-ஐ அனுமதிக்கவும், மேலும் இந்தச் சோதனைகளுக்கு ஆதரவாக OpenAI நியாயமான முறையில் கோரும் எந்தவொரு தகவலையும் உடனடியாகப் பகிரவும்.
• இந்தப் பாதுகாப்பு நடவடிக்கைகள் அல்லது ஒப்பந்தத்தின் கீழ் அதன் சொந்த பின்னணிச் சரிபார்ப்பு மற்றும் அடையாளச் சரிபார்ப்புகளை நடத்துவதற்கான வழங்குநரின் கடமையை OpenAI கட்டுப்படுத்துவதோ விலக்குவதோ இல்லை என்றால், OpenAI தொலைதூரத்தில் இருக்கும் வழங்குநரின் பணியாளர்களுக்கு கூடுதல் பாதுகாப்புச் சோதனைகளை நடத்தலாம்.

வழங்குநர் அனைத்து நிறுவன லேப்டாப்கள், மொபைல் சாதனங்கள், வளாகத்தில் உள்ள சேவையகங்கள் மற்றும் OpenAI தரவைச் செயலாக்குகின்ற பிற வன்பொருள்களைப் பாதுகாப்பார்:

• அங்கீகரிக்கப்பட்ட எண்ட்பாயிண்ட்-மேலாண்மை தளத்தின் மூலம் – ஆன்-பிரேம் உள்கட்டமைப்பு உட்பட – ஒவ்வொரு எண்ட்பாயிண்ட் மற்றும் சர்வரையும் மையமாக நிர்வகிக்கவும்.
• பணிநிலையங்கள் மற்றும் சேவையகங்களில் உள்ள ஆப்பரேட்டிங் சிஸ்டம்கள், பயன்பாடுகள் மற்றும் ஃபெர்ம்வேர்களில் அடிப்படைப் பாதுகாப்பு உள்ளமைவுகளையும் சரியான நேரத்தில் பேட்ச்களையும் தானாகவே செயல்படுத்துதல்.
• சேமிப்பில் உள்ள தரவுக்கான குறியாக்கம் தேவை: லேப்டாப்கள் மற்றும் பணிநிலையங்களில் முழு-வட்டு குறியாக்கம், மற்றும் சேவையகங்கள் மற்றும் சேமிப்பகச் சாதனங்களில் கொள்ளளவு/வால்யூம் அல்லது சேமிப்பக-நிலைக் குறியாக்கம்.
• அனைத்து அசெட்களிலும் எடுத்துச் செல்லக்கூடிய மற்றும் நீக்கக்கூடிய ஊடகங்களை முடக்குதல் அல்லது கண்டிப்பாகக் கட்டுப்படுத்துதல்.

• அடையாளம், அங்கீகாரம், அணுகல்-மேலாண்மைக் கட்டுப்பாடு ஆகியவற்றிற்கான தொழில்துறைத் தரநிலை நடைமுறைகளைப் பராமரித்து இயக்கவும்.
• வழங்குநர் பணியாளர்கள் மற்றும் சேவைக் கணக்குகளுக்கான அணுகல் மேலாண்மையை நிர்வகிக்கும் கொள்கைகள் மற்றும் நடைமுறைகளை ஆவணப்படுத்துதல்.
• அமைப்புகளுக்கான அணுகல் உள்ள வழங்குநரின் பணியாளர்கள் அனைவரின் துல்லியமான மற்றும் தற்போதைய பட்டியலைப் பராமரிக்கவும். 
• இடமாற்றம் அல்லது பணிநீக்கம் செய்யப்பட்டதிலிருந்து ஒரு வணிக நாளுக்குள் ஆதாரச் சான்றுகளை முடக்கவும் அல்லது திரும்பப் பெறவும்.
• சேவைகளை வழங்குவதை ஆதரிக்கும் உள் அமைப்புகள் மற்றும் மூன்றாம் தரப்புச் சேவைகளுக்கான அனைத்து ஊடாடும் உள்நுழைவுகளுக்கும் ஒற்றை உள்நுழைவை (SSO) பயன்படுத்தவும்.
• SSO உள்நுழைவுப் பாய்வுகளின் ஒரு பகுதியாக, அடையாளம் வழங்குநர் மூலம் பல காரணி அங்கீகாரத்தைச் செயல்படுத்தவும். 
• குறைந்தபட்ச சலுகை மற்றும் கடமைகளைப் பிரித்தல் கொள்கைகளுடன் ரோல்-பேஸ்ட் ஆக்சஸ் கண்ட்ரோல் ஐ (RBAC) செயல்படுத்தவும்.
• அங்கீகரிக்கப்பட்ட மாற்றக் கட்டுப்பாட்டு நடைமுறைகளின் கீழ் தொழில்நுட்பரீதியாகத் தேவைப்படும்போது மட்டுமே சிறப்புரிமை பெற்ற (“root”/“administrator””) கணக்குகளைப் பயன்படுத்தவும்; சிறப்புரிமை பெறாத பயனர்கள் சிறப்புரிமை பெற்ற செயல்பாடுகளைச் செய்வதைத் தடை செய்யவும்.
• OpenAI தரவைச் சேமிக்கும் அமைப்புகளுக்கான எந்தவொரு அணுகல் கோரிக்கைக்கும் முறையான மதிப்பாய்வும் ஒப்புதலும் தேவை, அத்துடன் சிறப்புரிமைகளின் பொருத்தத்தை உறுதிப்படுத்த அவ்வப்போது (குறைந்தது காலாண்டுக்கு ஒருமுறை) அணுகல் தணிக்கைகளும் மேற்கொள்ளப்பட வேண்டும்.
• கடவுச்சொற்கள், API விசைகள் போன்ற பயனர் அடையாளச் சான்றுகள் (credentials) கசிந்துவிட்டால் அல்லது சமரசம் செய்யப்பட்டால், அவற்றை உடனடியாகப் புகாரளித்து ரத்து செய்வதற்கான நடைமுறைகளை உருவாக்க வேண்டும். மேலும், கடவுச்சொல் மீட்டமைப்பு அல்லது தற்காலிக உள்நுழைவு சான்றுகள் வழங்குவதற்கு முன், அந்தப் பயனரின் அடையாளத்தைச் சரிபார்க்க வேண்டும்.
• OpenAI இறுதிப் பயனர்களுக்கு, மூன்றாம் தரப்பு அடையாள மற்றும் அணுகல் மேலாண்மைச் சேவையை நம்பியிருத்தல்; வழங்குநர் பயனர் வழங்கிய கடவுச்சொற்களை சேமிப்பதில்லை.

• வழங்குநரின் செயல்திறன் அல்லது OpenAI தரவின் இரகசியத்தன்மை, கிடைக்கும்தன்மை அல்லது ஒருமைப்பாட்டை சமரசம் செய்யும் நிகழ்வுகளுக்கு பதிலளிப்பதற்கும் தீர்ப்பதற்கும் ஒரு பாதுகாப்புச் சம்பவ பதில்செயல் திட்டத்தைப் பராமரித்து இயக்கவும்.
• உண்மையான அல்லது சந்தேகிக்கப்படும் பாதுகாப்பு சம்பவம் (Security Incident) குறித்து அறிந்தவுடன், தேவையற்ற தாமதமின்றி எழுத்துப்பூர்வமான அறிவிப்பை OpenAI-க்கு security@openai.com என்ற மின்னஞ்சல் முகவரிக்கு வழங்க வேண்டும். எந்தச் சூழ்நிலையிலும், அந்த பாதுகாப்பு சம்பவம் குறித்து அறிந்த 48 மணி நேரத்திற்குள் அறிவிப்பு வழங்கப்பட வேண்டும். சாத்தியமான இடங்களில், அத்தகைய அறிவிப்பில், OpenAI தனது சொந்த அறிவிப்புக் கடமைகளை ஒழுங்குமுறை ஆணையங்கள் அல்லது பாதுகாப்புச் சம்பவத்தால் பாதிக்கப்பட்ட தனிநபர்களிடம் நிறைவேற்றுவதற்காக, தரவுப் பாதுகாப்புச் சட்டங்களின் கீழ் தேவைப்படும் அனைத்து கிடைக்கக்கூடிய விவரங்களும் அடங்கும்.
• மேற்கொண்டு பாதுகாப்புச் சம்பவங்கள் நிகழும் அபாயங்களைக் குறைக்க நியாயமான நடவடிக்கைகளை எடுக்கவும். பாதுகாப்புச் சம்பவமானது இந்த வழங்குநர் பாதுகாப்பு நடவடிக்கைகளை வழங்குநர் மீறியதால் ஏற்பட்டால், தரவுப் பாதுகாப்புச் சட்டங்களின் கீழ் எடுக்கப்பட வேண்டிய அல்லது பாதுகாப்புச் சம்பவம் தொடர்பாக தரப்பினரிடையே ஒப்புக் கொள்ளப்பட்ட நடவடிக்கைகளின் விளைவாக ஏற்படும் அதன் உண்மையான, சொந்தப் பணத்தில் செலுத்திய சரிசெய்தல் செலவுகள் மற்றும் கட்டணங்களுக்காக OpenAI க்கு வழங்குநர் (ஒப்பந்தத்தில் சேர்க்கப்பட்டுள்ள பொறுப்பு வரம்புகளுக்கு உட்பட்டு) திருப்பிச் செலுத்துவார்; இதில், பொருந்தும் இடங்களில், பின்வருவன அடங்கும்: (i) பாதிக்கப்பட்ட நபர்களுக்கு சட்டப்பூர்வமாகத் தேவையான அறிவிப்புகளை உருவாக்குதல் மற்றும் அனுப்புதல்; (ii) விசாரணைகளுக்கு பதிலளிக்க அழைப்பு மைய ஆதரவு; மற்றும் (iii) பாதிக்கப்பட்ட நபர்களுக்கு சட்டப்பூர்வமாகத் தேவைப்படும் கிரெடிட்/கடன் கண்காணிப்புச் சேவைகள். இந்தப் பத்தியின்கீழ் வழங்கப்படும் எந்தவொரு அறிவிப்பின் நேரம், உள்ளடக்கம் மற்றும் முறையைக் கட்டுப்படுத்த OpenAI-க்கு முழு விருப்புரிமை இருக்கும்.

• சேவைகளை வழங்கப் பயன்படுத்தப்படும் அனைத்து சிஸ்டம்கள், நெட்வொர்க்குகள் மற்றும் துணை உள்கட்டமைப்புகளுக்கான தணிக்கைப் பதிவுகளை உருவாக்கி தக்கவைத்துக்கொள்ளவும்; இதனால் சட்டவிரோத அல்லது அங்கீகரிக்கப்படாத செயல்பாட்டைக் கண்காணித்தல், பகுப்பாய்வு செய்தல், விசாரணை செய்தல் மற்றும் அறிக்கையிடுதல் ஆகியவை சாத்தியமாகும்.
• ஒவ்வொரு நிகழ்வையும் பெயரிடப்பட்ட தனிநபருடன் இணைக்கும் வகையில் அனைத்து சிறப்புரிமை பெற்ற செயல்களையும் பதிவு செய்யவும்.
• அங்கீகரிக்கப்படாத மாற்றங்கள் அல்லது கொள்கை மீறல்களைக் கண்டறிய, எண்ட்பாயிண்ட்கள், சர்வர்கள் மற்றும் துணை உள்கட்டமைப்பில் சிறப்புரிமை பெற்ற செயல்பாட்டைப் பதிவுசெய்து தொடர்ந்து கண்காணிக்கவும்.
• நெட்வொர்க் போக்குவரத்து மற்றும் சேவைப் பதிவுகள் உட்பட பாதுகாப்பு மற்றும் கிடைக்கும் தன்மையை தொடர்ந்து கண்காணித்து, ஏதேனும் எச்சரிக்கைகள் இருந்தால் உடனடியாகச் செயல்படவும். 
• சந்தேகத்திற்கிடமான செயல்பாடு, கொள்கை மீறல்கள் அல்லது OpenAI தரவின் இரகசியத்தன்மை, ஒருமைப்பாடு அல்லது கிடைக்கும் தன்மையைப் பாதிக்கக்கூடிய நிகழ்வுகளைக் கண்டறிய பாதுகாப்பு மற்றும் செயல்பாட்டுப் பதிவுகளைத் தொடர்ந்து மீளாய்வு செய்து பகுப்பாய்வு செய்யவும்.
• கோரிக்கையின் பேரில் தணிக்கைப் பதிவுகளை OpenAI-க்கு வழங்கவும்.

• OpenAI-க்கு வழங்கும் மென்பொருள் அல்லது சேவைகளின் திட்டமிடல், குறியீட்டாக்கம், சோதனை, வரிசைப்படுத்தல், பராமரிப்பு ஆகியவற்றை உள்ளடக்கிய ஆவணப்படுத்தப்பட்ட பாதுகாப்பு மேம்பாடு / வடிவமைப்பிலேயே பாதுகாப்புச் செயல்முறையை பராமரித்து இயக்குதல்.
• குறியீடு உற்பத்திச் சூழலுக்கு வெளியிடப்படுவதற்கு முன்பு, SDLC-ஆனது அச்சுறுத்தல் மாதிரியாக்கம், குறியீடு மீளாய்வு, தானியங்கி சார்பு - vulnerability (பாதிப்பு) ஸ்கேனிங், பாதுகாப்புச் சோதனை (நிலையான, டைனமிக் மற்றும் கொள்கலன் அல்லது IaC ஸ்கேனிங்) ஆகியவற்றை உள்ளடக்கியிருக்க வேண்டும். 
• இந்த நடவடிக்கைகளின் முடிவுகள், அதிகம் ஆபத்துள்ள கண்டுபிடிப்புகளுக்கான சரிசெய்தல் சான்றுகளுடன், குறைந்தது 12 மாதங்களுக்கு தக்கவைக்கப்பட்டு, கோரிக்கையின் பேரில் OpenAI க்குக் கிடைக்கச் செய்யப்படும்.

• சூழல்களைப் பிரிக்கவும் – உற்பத்தி மற்றும் உற்பத்தி அல்லாத சூழல்களைத் தனித்தனியாக வைத்திருப்பதுடன், OpenAI தரவு உற்பத்திச் சூழல்களில் மட்டுமே இருப்பதை உறுதிசெய்யவும்.
• மற்ற அனைத்து வாடிக்கையாளர் தரவுகளிலிருந்தும் OpenAI தரவை தர்க்கரீதியாகப் பிரித்து, ஒவ்வொரு OpenAI வாடிக்கையாளர் நிறுவனத்திலும் தனித்துவமான பயனர்-நிலை எல்லைகளைச் செயல்படுத்தவும்.
• முக்கிய Backend வளங்கள் அனைத்தும் தனியார் நெட்வொர்க் கட்டுப்பாடுகளின் பின்னணியில் (VPN, Private Link அல்லது அதற்கு இணையான Zero-Trust கட்டமைப்பு) பயன்படுத்தப்பட்டு, பாதுகாக்கப்படுவதை உறுதி செய்ய வேண்டும்.
• முன்கூட்டியே வரையறுக்கப்பட்ட அனுமதிக்கப்பட்ட நெட்வொர்க் போக்குவரத்து வழித்தடங்களின் அடிப்படையில், குறைந்தபட்ச அனுமதி (Least Privilege) கொள்கையைப் பின்பற்றும் வகையில் நெட்வொர்க் பாதுகாப்புக் கொள்கைகளும் ஃபயர்வால்களும் கட்டமைக்கப்பட்டுள்ளன. 
• அனுமதிக்கப்படாத நெட்வொர்க் போக்குவரத்து வழித்தடங்கள் தடுக்கப்படுகின்றன.

• வழங்குநர் வழங்கும் சேவைகளைப் பாதிக்கும் குறைபாடுகளை ப்ராம்ப்ட் சரிசெய்வதை உறுதி செய்வதற்காக வடிவமைக்கப்பட்ட ஒரு தொழில்துறைத் தரநிலை குறைபாடு மேலாண்மை திட்டத்தைப் பராமரித்து இயக்கவும்.
• குறைபாடுகளை வழக்கமாக ஸ்கேன் செய்கின்ற, குறைபாடு அறிவிப்புச் சேவைக்கு குழுசேருகின்ற, அபாயத்தின் அடிப்படையில் சரிசெய்தலுக்கு முன்னுரிமை அளிக்கின்ற மற்றும் அபாய மதிப்பீட்டின் அடிப்படையில் சரிசெய்தல் காலக்கெடுவை நிறுவுகின்ற ஒரு குறைபாடு மேலாண்மைத் திட்டத்தை பராமரித்து செயல்படுத்துதல்.
• ஒரு பேட்ச் வெளியிடப்பட்டு, அதனுடன் தொடர்புடைய பாதுகாப்பு பாதிப்பின் பொருத்தம் மற்றும் முக்கியத்துவம் மதிப்பாய்வு செய்யப்பட்டு மதிப்பிடப்பட்டவுடன், சிஸ்டம்களுக்கு ஏற்படும் அபாயத்திற்கு ஏற்ற காலக்கெடுவுக்குள் அந்த பேட்ச் பயன்படுத்தப்பட்டு சரிபார்க்கப்படுகிறது.
• ஒரு பதிவு மேலாண்மை தீர்வைச் செயல்படுத்தி, ஊடுருவல் கண்டறிதல் அமைப்புகளால் உருவாக்கப்பட்ட பதிவுகளை குறைந்தபட்சம் ஓராண்டு காலத்திற்கு தக்கவைத்துக்கொள்ள வேண்டும்.

• OpenAI தரவு சேமிக்கப்படக்கூடிய அல்லது அணுகப்படக்கூடிய ஒவ்வொரு இடத்திலும் உடல் பாதுகாப்பைப் பராமரித்தல்.
• பேட்ஜ், பயோமெட்ரிக் அல்லது அதற்கு சமமான அங்கீகாரம் மூலம் அலுவலகங்கள் மற்றும் தரவு மையங்களுக்கான அணுகலைக் கட்டுப்படுத்துதல்.
• அனைத்து பார்வையாளர்களையும் பதிவு செய்து வழிநடத்துதல்.
• 24 × 7 வீடியோ கண்காணிப்பு மற்றும் அத்துமீறல் கண்டறிதலுக்கான இயல்/உடல் பாதுகாப்பு அமைப்புகளை தொடர்ந்து செயல்படுத்த வேண்டும்.
• இயற்பியல் தரவு ஊடகங்களை (Physical Media) பாதுகாப்பாக கையாளவும் அகற்றவும் வேண்டும். இதற்காக பூட்டப்பட்ட சேமிப்பிடம், கண்காணிக்கப்படும் பரிமாற்றங்கள் மற்றும் சான்றளிக்கப்பட்ட அழிப்பு முறைகள் பயன்படுத்தப்பட வேண்டும்.

சேவைகள் மற்றும் எந்தவொரு OpenAI தரவின் இரகசியத்தன்மை, முழுமைத்தன்மை மற்றும் கிடைப்புத்தன்மையை வழங்குநர் பின்வருவனவற்றின் மூலம் பாதுகாப்பார்:

• கிடைக்கும் மேலாண்மை
  • அமைப்பின் செயல்திறன் மற்றும் கிடைப்புத்தன்மையை தொடர்ந்து கண்காணிக்கவும், பகுப்பாய்வு செய்யவும் மற்றும் மதிப்பீடு செய்யவும்.
  • சரியான நேரத்தில் தவறுகளைக் கண்டறிந்து புகாரளிக்கவும், தடங்கலுக்குப் பிறகு சேவைகளை உடனடியாக மீட்டெடுக்கவும்.
  • சேவை இயக்க நேரம், சம்பவங்கள் மற்றும் ஒப்புக்கொள்ளப்பட்ட சேவை நிலை நோக்கங்களை கடைபிடிப்பதைக் கண்காணிக்கவும், சுயமாகச் சான்றளிக்கவும் மற்றும் ஆவணப்படுத்தவும்.
  • கோரிக்கையின் பேரில், சேவை நிலைகளுடன் இணக்கத்தை நிரூபிக்கும் தொடர்புடைய செயல்திறன் அளவீடுகளை OpenAI-க்கு வழங்கவும்.
• வணிகத் தொடர்ச்சி மற்றும் பேரிடர் மீட்பு (BC/DR)
  • அவசரநிலைகள் அல்லது சேவைகளைச் சீர்குலைக்கும் அல்லது OpenAI தரவை சமரசம் செய்யக்கூடிய பிற நிகழ்வுகளை நிவர்த்தி செய்யும் ஆவணப்படுத்தப்பட்ட BC/DR திட்டங்களைப் பராமரிக்கவும்.
  • BC/DR திட்டங்களுக்கு இணங்க ஒரு வழக்கமான அட்டவணையில் முக்கியமான அமைப்புகள் மற்றும் தரவைக் காப்புப்பிரதி எடுத்தல்.
  • குறைந்தபட்சம் ஆண்டுதோறும் BC/DR திட்டங்களைச் சோதித்து, அந்தச் சோதனையின்போது அடையாளம் காணப்பட்ட ஏதேனும் குறிப்பிடத்தக்க இடைவெளிகளைச் சரிசெய்தல்.
  • அந்தத் திட்டங்கள் வழங்கும் பாதுகாப்பைப் பெருமளவில் குறைக்கும் எந்தவொரு மாற்றத்தையும் செய்வதற்கு முன் OpenAI-இன் எழுத்துப்பூர்வ முன் ஒப்புதலைப் பெறவும், அந்த ஒப்புதல் நியாயமற்ற முறையில் நிறுத்தி வைக்கப்படாது.

• OpenAI தரவை அணுகக்கூடிய அல்லது மென்பொருள் அல்லது சேவைகளை ஆதரிக்கும் அனைத்து துணைச் செயலாக்கிகள், துணை ஒப்பந்ததாரர்கள் மற்றும் முக்கியமான துணை வழங்குநர்களுக்கான தொழில்துறை தரநிலையான இடர் மேலாண்மை திட்டத்தை பராமரித்து இயக்கவும்
• இந்த வழங்குநர் பாதுகாப்பு நடவடிக்கைகளில் உள்ளதைப் போலவே குறைந்தபட்சம் கடுமையான பாதுகாப்பு நடவடிக்கைகள் தேவைப்படும் எழுத்துப்பூர்வ ஒப்பந்தங்களை ஒவ்வொரு மூன்றாம் தரப்பினருடனும் செய்து கொள்ளவும்.
• மூன்றாம் தரப்பினரை இணைத்துக் கொள்வதற்கு முன்பும், அதன் பிறகு வழக்கமான இடைவெளிகளிலும் வழங்குநரின் முறையான பாதுகாப்பு மதிப்பீட்டு செயல்முறைக்கு உட்படுத்தி, அதன் விளைவாக வரும் ஆவணங்களைத் தக்க வைத்துக் கொள்ளவும்.
• OpenAI-இன் கோரிக்கையின் பேரில், ஒவ்வொரு முக்கிய துணை வழங்குநரையும், அவர் பிறந்த நாட்டையும், மற்றும் அந்த வழங்குநரின் செயல்திறனுக்குத் தொடர்புடைய முக்கிய சார்புநிலைகளையும் அடையாளம் காணவும்.
• ICT மற்றும் தயாரிப்பு விநியோகச் சங்கிலி அபாயங்களை மதிப்பிடும் செயல்முறைகளைப் பராமரிக்கவும் மற்றும் மென்பொருள், சேவைகள், வழங்குநரின் செயல்திறன் அல்லது OpenAI தரவின் இரகசியத்தன்மை, ஒருமைப்பாடு அல்லது கிடைக்கும் தன்மையை சமரசம் செய்யக்கூடிய எந்தவொரு இடையூறு, பாதிப்பு அல்லது வளர்ந்து வரும் அச்சுறுத்தலையும் OpenAI-க்கு உடனடியாகத் தெரிவிக்கவும்.

• வலிமைமிக்க, தொழில்துறையால் அங்கீகரிக்கப்பட்ட கிரிப்டோகிராஃபிக் நெறிமுறைகளை (TLS 1.2 அல்லது அதற்கு மேற்பட்டவை, SSH 2, IPsec அல்லது அதற்கு சமமான) பயன்படுத்தி எந்தவொரு பொது அல்லது தனியார் நெட்வொர்க்கிலும் OpenAI தரவைப் பாதுகாத்தல். பழைய அல்லது பாதுகாப்பற்ற நெறிமுறைகள் (எ.கா., SSL v3, TLS 1.0/1.1) முடக்கப்பட்டிருக்க வேண்டும். 
• வலிமையான, தொழில்துறை-அங்கீகரிக்கப்பட்ட வழிமுறைகள் (எ.கா., AES-256 அல்லது அதற்கு சமமான) மற்றும் FIPS 140-2/3, ISO/IEC 19790 அல்லது ஒப்பிடக்கூடிய தரநிலைகளுக்கு சரிபார்க்கப்பட்ட கிரிப்டோகிராஃபிக் தொகுதிகளைப் பயன்படுத்தி – தரவுத்தளங்கள், தரவுச் சேமிப்பகம், கோப்பு சிஸ்டம்கள், எண்ட்பாயிண்ட் சாதனங்கள் மற்றும் காப்புப்பிரதிகள் உட்பட – எந்தவொரு நிலையான ஊடகத்திலும் சேமிக்கப்பட்டுள்ள அனைத்து OpenAI தரவையும் குறியாக்குதல். 
• பிரத்தியேக விசை மேலாண்மை அமைப்பைப் பயன்படுத்தி குறியாக்க விசைகளை நிர்வகித்தல்; விசைகளுக்கான அணுகல் அங்கீகரிக்கப்பட்ட பணியாளர்களுக்கு மட்டுமே கட்டுப்படுத்தப்பட வேண்டும் மற்றும் குறைந்தபட்சம் ஆண்டுதோறும் அல்லது சமரசம் ஏற்பட்டிருக்கலாம் எனச் சந்தேகிக்கப்படும் போது சுழற்சி முறையில் மாற்றப்படுதல். வழங்குநர், ஸ்னாப்ஷாட்கள், பிரதிகள் மற்றும் ஆஃப்லைன் காப்புப்பிரதிகள் ஒரே கட்டுப்பாடுகளின் கீழ் பாதுகாக்கப்படுவதை உறுதி செய்ய வேண்டும்.

ஒப்பந்தம் காலாவதியாகும்போது அல்லது முடிவுக்கு வரும்போது, வழங்குநர், OpenAI-இன் விருப்பப்படி, அனைத்து OpenAI தரவையும் நீக்குவார் அல்லது திருப்பி அனுப்புவார் (வழங்குநரின் தரவுத் தக்கவைப்பு அட்டவணையின்படி நீக்கப்படும் காப்புப்பிரதி அல்லது காப்பக நகல்களைத் தவிர), பொருந்தும் சட்டங்களின்கீழ் வழங்குநர் நகல்களைத் தக்கவைத்துக்கொள்ள வேண்டிய சந்தர்ப்பங்களில் தவிர, வழங்குநர் அந்த OpenAI தரவை பொருந்தும் சட்டங்களுக்குத் தேவைப்படும் அளவிற்குத் தவிர வேறு எந்த செயலாக்கத்திலிருந்தும் தனிமைப்படுத்திப் பாதுகாப்பார். வழங்குநர் வழங்கும் சேவைகளுக்குப் பொருந்தினால், தயாரிப்புக்குள் தரவுத் தக்கவைப்பு காலகட்டங்களை உள்ளமைக்கும் திறனை வழங்குநர் OpenAI-க்கு வழங்குவார்.

• OpenAI தரவைப் படிக்கவோ, மறுகட்டமைக்கவோ முடியாத வகையில், கிடைக்கின்ற தொழில்நுட்பத்தைக் கருத்தில் கொண்டு பொருந்துகின்ற சட்டத்தின்படி OpenAI தரவைப் பாதுகாப்பாக நீக்குவதை உறுதிசெய்ய வடிவமைக்கப்பட்ட கட்டுப்பாடுகளைச் செயல்படுத்துதல். 
• NIST SP 800-88 தரநிலையில் விவரிக்கப்பட்டுள்ள முறைகளைப் பயன்படுத்தி அல்லது அதற்கு சமமான முறைகளைப் பயன்படுத்தி, மேலெழுதுதல் அல்லது degaussing மூலம் தரவு அழிப்பு மூலம், அல்லது நீக்குவதற்கு அல்லது மற்றொரு அமைப்புக்கு மறுஒதுக்கீடு செய்வதற்கு முன், இயற்பியல்/உடல் ரீதியாக அழிக்கப்படுவதன் மூலம், மின்னணு ஊடகங்களை அப்புறப்படுத்துவதற்கு முன் பாதுகாப்பாக அழிக்கவும்.

• தானியங்கி ஸ்கேனிங், கைமுறை மீளாய்வுகள் மற்றும் கொள்கை இணக்க சோதனைகள் மூலம் அதன் பாதுகாப்புக் கட்டுப்பாடுகளின் செயல்திறனை, தொழில்துறை-தரக் கட்டமைப்புகள் மற்றும் அதன் சொந்தக் கொள்கைகளுக்கு எதிராக தொடர்ந்து மதிப்பிடவும். 
• OpenAI தரவின் இரகசியத்தன்மை, ஒருமைப்பாடு அல்லது கிடைக்கும் தன்மையை நியாயமாக பாதிக்கக்கூடிய அதன் உள்கட்டமைப்பு, கட்டமைப்பு, மூன்றாம் தரப்பு சார்புநிலைகள், தரவு ஓட்டங்கள் அல்லது பாதுகாப்பு நிலைப்பாடு ஆகியவற்றில் ஏதேனும் குறிப்பிடத்தக்க மாற்றம் குறித்து OpenAI-க்கு முன்கூட்டியே அறிவிக்கவும்.

குறைந்தபட்சம் ஆண்டுதோறும், வழங்குநர் பின்வருவனவற்றை செய்தல் வேண்டும்:

• அங்கீகரிக்கப்பட்ட தொழில்துறை தரநிலைக்கு (எ.கா., SOC 2 வகை 2 அல்லது ISO 27001 கண்காணிப்பு / மறுசான்றிதழ்) எதிராக அதன் பாதுகாப்புக் கட்டுப்பாடுகளை மீளாய்வு செய்ய ஒரு தகுதிவாய்ந்த, சுயாதீன தணிக்கையாளரை ஈடுபடுத்துதல்.  
• கோரிக்கையின் பேரில் OpenAI-க்கு ஒரு சுருக்கவுரை அல்லது முழு அறிக்கைகளை (பொருத்தமானால்) வழங்குதல்.

வழங்குநர், ஹோஸ்ட் செய்யப்பட்ட சேவைகள் அல்லது ஆன்லைன் சேவைகளை வழங்கினால், வழங்குநர்:

• ஒவ்வொரு ஆண்டும் மூன்றாம் தரப்பு மூலம் பாதுகாப்பு ஊடுருவல் சோதனைகளை நடத்த ஏற்பாடு செய்ய வேண்டும். அந்த சோதனைகள் பின்வருவனவற்றை உள்ளடக்கியிருக்க வேண்டும்: (i) வழங்கப்பட்ட சேவைகள் அல்லது ஹோஸ்ட் செய்யப்பட்ட சேவைகள்; (ii) முழுமையான இணையத்திலிருந்து அணுகக்கூடிய எல்லைகள்; மற்றும் (iii) வழங்குநரின் உள்நாட்டு நிறுவன நெட்வொர்க் முழுவதும்.
• சோதனைகள் நடைபெற்றதற்கான ஆதாரங்களையும், அவற்றின் முடிவுகளின் சுருக்கங்களையும் இரகசிய ஒப்பந்தத்தின் கீழ் பகிரவும். 
• OpenAI தரவைப் பாதிக்கும் முக்கியமான மற்றும் அதிகம் பாதிப்புகள் கண்டறியப்பட்ட 60 நாட்களுக்குள் சரிசெய்ய வேண்டும் அல்லது ஈடுசெய்யும் கட்டுப்பாடுகள் மற்றும் மீதமுள்ள அபாயம் குறித்து OpenAI-க்கு உடனடியாகத் தெரிவிக்க வேண்டும்.

• ஒப்பந்தக் காலத்திலும் அதன் பின்னர் ஓராண்டிற்கும், OpenAI (அல்லது அதன் நியமிக்கப்பட்ட தணிக்கையாளர்) இந்த வழங்குநர் பாதுகாப்பு நடவடிக்கைகளுக்கு இணங்குவதை உறுதிப்படுத்த, நியாயமான அறிவிப்புடன், தொடர்புடைய புத்தகங்கள், பதிவுகள் மற்றும் வசதிகளை மீளாய்வு செய்யலாம். மீளாய்வுகள் அந்த நோக்கத்திற்காக நியாயமான முறையில் தேவையான தகவல்களுக்கு மட்டுப்படுத்தப்படும் மற்றும் இரகசியத்தன்மைக் கடமைகளின் கீழ் நடத்தப்படும். 
• OpenAI அவ்வப்போது சமர்ப்பிக்கக்கூடிய பாதுகாப்புக் கேள்வித்தாள்களை நிரப்ப வழங்குநர் வணிக முறையில் நியாயமான முயற்சிகளை மேற்கொள்வார்.

அமெரிக்க நீதித் துறை வெளியிட்ட, நிர்வாக ஆணை 14117-ஐ செயல்படுத்தும் இறுதி விதி, கவலைக்குரிய நாடுகள் அல்லது உள்ளடக்கப்பட்ட நபர்களுக்கு பெருமளவு உள்ளடக்கப்பட்ட தரவுக்கான அணுகலைத் தடைசெய்கிறது அல்லது கட்டுப்படுத்துகிறது என்பதை வழங்குநர் ஒப்புக்கொள்கிறார் (இந்தப் பத்தியில் பயன்படுத்தப்படும் அத்தகைய சொற்கள் மற்றும் பிற பெரிய எழுத்துகளில் தொடங்கும் சொற்கள் இறுதி விதியில் வரையறுக்கப்பட்டுள்ளபடி).

• வழங்குநர் வழங்கும் சேவைகள் OpenAI அல்லது அதன் துணை நிறுவனங்களின் உள்ளடக்கப்பட்ட தரவை அணுகுவதை உள்ளடக்கியிருந்தால், வழங்குநர் பின்வருவனவற்றைப் பிரதிநிதித்துவப்படுத்தி உத்தரவாதம் அளிக்கிறார்: (i) வழங்குநரோ அல்லது அதன் எந்தவொரு துணை நிறுவனமோ கவலைக்குரிய நாட்டில் அமைக்கப்பட்டதாகவோ அல்லது அங்கு சாசனப்படுத்தப்பட்டதாகவோ இல்லை அல்லது இருக்காது, கவலைக்குரிய நாட்டில் அதன் முதன்மை வணிக இடத்தைக் கொண்டிருக்கவில்லை அல்லது கொண்டிருக்காது, அல்லது ஒன்று அல்லது அதற்கு மேற்பட்ட கவலைக்குரிய நாடுகள் அல்லது உள்ளடக்கப்பட்ட நபர்களால் நேரடியாகவோ, மறைமுகமாகவோ, தனித்தனியாகவோ அல்லது மொத்தமாகவோ 50% அல்லது அதற்கு மேல் சொந்தமாகக் கொண்டிருக்கப்படவில்லை அல்லது கொண்டிருக்கப்படாது; மற்றும் (ii) வழங்குநரோ, அதன் எந்தவொரு துணை நிறுவனமோ, அல்லது அத்தகைய உள்ளடக்கப்பட்ட தரவை அணுகக்கூடிய வழங்குநரின் எந்தவொரு பணியாளரோ அல்லது ஒப்பந்ததாரரோ கவலைக்குரிய நாட்டில் இல்லை அல்லது இருக்கமாட்டார், U.S. Attorney General-ஆல் உள்ளடக்கப்பட்ட நபர் எனத் தீர்மானிக்கப்படவில்லை அல்லது தீர்மானிக்கப்படமாட்டார், அல்லது வேறுவிதமாக உள்ளடக்கப்பட்ட நபராகத் தகுதி பெறவில்லை அல்லது பெறமாட்டார். (a) அல்லது (b) மாறினால், சப்ளையர் உடனடியாக OpenAI-க்கு அறிவிப்பார்.
• வழங்குநர் மற்றும் அதன் துணை நிறுவனங்கள், கவலைக்குரிய நாடு அல்லது பாதுகாப்பு அளிக்கப்பட்ட நபருடன் OpenAI -இன் பாதுகாப்பு அளிக்கப்பட்ட தரவை உள்ளடக்கிய எந்தவொரு பாதுகாப்பு அளிக்கப்பட்ட தரவுப் பரிவர்த்தனையிலும் ஈடுபட மாட்டார்கள். OpenAI -இன் பாதுகாப்பு அளிக்கப்பட்ட தரவு தொடர்பான வரையறுக்கப்பட்ட பரிவர்த்தனையில் வழங்குநர் ஈடுபட்டால், இறுதி விதியின் தேவைகளுக்கு இணங்க OpenAIக்குத் தேவையான எந்தவொரு தகவலையும் வழங்குநர் OpenAIக்கு வழங்குவார்.

• உள்ளடக்கப்பட்ட தரவு என்பது, அமெரிக்க நீதித்துறையால் வெளியிடப்பட்ட நிர்வாக ஆணை 14117-ஐ செயல்படுத்தும் இறுதி விதியின் கீழ் மேலும் வரையறுக்கப்படக்கூடியவாறு, பெருமளவிலான அமெரிக்க உணர்திறன் வாய்ந்த தரவு அல்லது அமெரிக்க அரசு தொடர்பான தரவைக் குறிப்பதாகும்.
• தரவுப் பாதுகாப்புச் சட்டங்கள் என்பது ஒப்பந்தத்தின் கீழ் வழங்குநரின் செயல்பாட்டிற்குப் பொருந்தக்கூடிய அனைத்து தரவுப் பாதுகாப்புச் சட்டங்களையும் குறிக்கிறது.
• ஹோஸ்ட் செய்யப்பட்ட சேவை என்பது ஒரு சேவையாக மென்பொருள், ஒரு சேவையாக தளம் அல்லது OpenAI க்கு வழங்குநர் வழங்கும் ஏதேனும் ஒத்த ஹோஸ்ட் செய்யப்பட்ட அல்லது ஆன்லைன் சேவைகளைக் குறிக்கிறது.
• தகவல் பாதுகாப்புத் திட்டம் என்பது தொழில்துறை தரநிலைகளுடன் இணைந்த நிர்வாக, தொழில்நுட்ப மற்றும் இயற்பியல் கட்டுப்பாடுகளை உள்ளடக்கிய கொள்கைகள், நடைமுறைகள் மற்றும் கட்டுப்பாடுகளின் ஒழுங்கமைக்கப்பட்ட கட்டமைப்பாகும், இவை அனைத்தும் OpenAI தரவின் இரகசியத்தன்மை, ஒருமைப்பாடு மற்றும் கிடைக்கும் தன்மையைப் பாதுகாக்க வடிவமைக்கப்பட்டுள்ளன.
• OpenAI தரவு என்பது OpenAI க்கான வழங்குநரின் செயல்திறன் தொடர்பாக OpenAIயிடமிருந்து அல்லது அதன் சார்பாக வழங்குநர் பெற்ற அல்லது சேகரித்த தகவலைக் குறிக்கிறது. OpenAI தரவு, தனிப்பட்ட தரவு மட்டுமல்லாமல் இன்னும் பலவற்றையும் உள்ளடக்கியது. 
• தனிப்பட்ட தரவு என்பது பொருந்தக்கூடிய தரவுப் பாதுகாப்புச் சட்டங்களின் கீழ் “தனிப்பட்ட தரவு” அல்லது “தனிப்பட்ட தகவல்” என்ற சொல்லுக்கு ஒதுக்கப்பட்ட பொருளைக் கொண்டுள்ளது.
• Processing (தரவு செயலாக்கம்) என்பது தரவின் மீது தானியங்கி முறையிலோ அல்லது தானியங்கி அல்லாத முறையிலோ மேற்கொள்ளப்படும் எந்தவொரு செயல்பாட்டையும் குறிக்கும்.இதில் பின்வருவன அடங்கும்:தரவை சேகரித்தல், பதிவு செய்தல் ஒழுங்குபடுத்துதல், சேமித்தல், பயன்படுத்துதல் ,வெளிப்படுத்துதல் / பகிர்தல்,அழித்தல்.
• பாதுகாப்புச் சம்பவம் என்பது வழங்குநர் அல்லது துணை செயலாக்கி சிஸ்டம்களுக்குள் OpenAI தரவை அங்கீகரிக்கப்படாத அணுகல், பயன்பாடு, வெளிப்படுத்தல், மாற்றம் அல்லது அழித்தல் அல்லது அதன் கிடைக்கும் தன்மை அல்லது ஒருமைப்பாட்டை சீர்குலைப்பது தொடர்பான எந்தவொரு உண்மையான அல்லது சந்தேகிக்கப்படும் நிகழ்வையும் குறிக்கிறது.
• வழங்குநர் நடத்தை விதிகள் என்பது பின்வருவதில் உள்ள OpenAI வழங்குநர் நடத்தை விதிகளைக் குறிக்கிறது: https://openai.com/policies/supplier-code/.⁠
• வழங்குநரின் பணியாளர்கள் என்பது OpenAI உடனான ஈடுபாட்டில் வழங்குநர் ஆற்றும் பணியின் எந்தவொரு அம்சத்தையும் மேற்கொள்ளும் அனைத்து பணியாளர்களையும் குறிக்கிறது, இதில் ஊழியர்கள், ஒப்பந்ததாரர்கள், தற்செயல் தொழிலாளர்கள் மற்றும் துணை ஒப்பந்ததாரர்கள் அடங்குவர்.
• அமைப்புகள் என்பது OpenAI தரவைச் செயலாக்க, அனுப்ப அல்லது சேமிக்க வழங்குநர் அல்லது அதன் துணை செயலாக்கிகளால் பயன்படுத்தப்படும் தகவல் அமைப்புகளைக் குறிக்கிறது. இதில் ஒருங்கிணைந்த வன்பொருள், மென்பொருள், பணியாளர்கள் மற்றும் அந்த செயல்பாடுகளை ஆதரிக்கும் நடைமுறைகள் உள்ளன.