GUIDA ALL'ESTERNALIZZAZIONE APRA Prudential Standard CPS 234

15. Le entità regolamentate dall'APRA devono mantenere una funzionalità di sicurezza delle informazioni commisurata alla dimensione e alla portata delle minacce alle loro risorse informative, che consenta il funzionamento continuo e corretto delle entità

Questa è una considerazione del cliente. Consulta la riga 3 per informazioni sulle funzionalità di sicurezza di Atlassian.

16. Laddove le risorse informative siano gestite da una parte correlata o da una terza parte, le entità regolamentate dall'APRA devono valutare la funzionalità di sicurezza delle informazioni di tale parte, commisurata alle potenziali conseguenze di un imprevisto di sicurezza delle informazioni ai danni di tali risorse informative.

In qualità di fornitore di prodotti Cloud alle entità regolamentate dall'APRA, Atlassian mantiene un solido programma di sicurezza delle informazioni commisurato alle dimensioni e alla portata delle minacce affrontate. Atlassian ha reso disponibili diverse risorse contenenti dettagli sulla progettazione, l'implementazione e il funzionamento della sua funzionalità di sicurezza delle informazioni. In definitiva, spetta alle entità regolamentate dall'APRA utilizzare queste informazioni per valutare se i prodotti di Atlassian soddisfino i propri requisiti:

• Compliance Resource Center: una risorsa che fornisce informazioni dettagliate sulla sicurezza, sugli audit di terze parti e sulle certificazioni, tutti strumenti disponibili per supportare le esigenze di conformità dei nostri clienti
• Atlassian Trust Center: per scoprire come puoi usare Atlassian per accedere alle informazioni più recenti sulla sicurezza, sull'affidabilità, sulla privacy e sulla conformità dei nostri prodotti e servizi.
• Pagina sulle pratiche di sicurezza: per implementare un approccio efficace alla sicurezza occorre iniziare dalla propria azienda. Questa risorsa fornisce dettagli sulle procedure di:
  • creazione della sicurezza nella nostra architettura di rete
  • protezione dell'accesso alle nostre reti tramite ZeroTrust, che in parole povere significa "non fidarsi mai, verificare sempre"
  • protezione dell'accesso ai nostri sistemi e servizi
  • protezione dei dispositivi endpoint
  • creazione di processi di progettazione e test sicuri

• Incentiva i ricercatori esterni a individuare le vulnerabilità presenti nei suoi prodotti attraverso il programma Bug Bounty, che prevede riconoscimenti in denaro. Nell'ambito della nostra iniziativa di apertura e trasparenza, invitiamo chiunque a visitare la pagina del nostro programma Bug Bounty, a iscriversi e a condurre test per noi.
• Incoraggia i clienti a segnalare le vulnerabilità e mira a correggere le vulnerabilità di sicurezza all'interno degli obiettivi del livello di servizio (SLO) pertinenti delineati nella Policy di correzione dei bug di sicurezza.
• Assume regolarmente società di consulenza specializzate in sicurezza per condurre test di penetrazione su prodotti e infrastrutture ad alto rischio e inviare lettere di valutazione dei partner che eseguono i test di penetrazione nel documento Il nostro approccio ai test di sicurezza esterni. 
• Consente ai clienti di condurre valutazioni di sicurezza (test di penetrazione, valutazioni delle vulnerabilità) basate su determinate regole stilate per garantire la sicurezza dei prodotti per tutti i clienti.

17. Le entità regolamentate dall'APRA devono mantenere attivamente la propria funzionalità di sicurezza delle informazioni per quanto riguarda le variazioni delle vulnerabilità e delle minacce, comprese quelle derivanti dalle modifiche alle risorse informative o all'ambiente aziendale.

Le entità regolamentate dall'APRA possono utilizzare le risorse e le informazioni della riga 3 per valutare le nostre funzionalità di sicurezza delle informazioni in base alle loro risorse informative archiviate nei prodotti e nelle piattaforme Atlassian.

18. Le entità regolamentate dall'APRA devono mantenere un framework di policy di sicurezza delle informazioni commisurato alla propria esposizione alle vulnerabilità e alle minacce.

Questa è una considerazione del cliente. Da parte sua, Atlassian ha documentato un framework di policy di sicurezza delle informazioni strutturato in modo da includere i domini compresi sia nello standard ISO27001 che nella Cloud Controls Matrix (CCM) di Cloud Security Alliance (CSA).

Il nostro Policy Management Program (PMP) include gli obblighi relativi alla responsabilità, alla disponibilità e al ciclo di revisione e delinea i nostri obiettivi generali. Le nostre policy vengono riviste almeno una volta l'anno e sono approvate dai dirigenti. Ulteriori informazioni sul nostro PMP sono disponibili nell'Atlassian Trust Management System (ATMS).

Abbiamo anche pubblicato estratti e riepiloghi di ciascuna delle nostre principali policy di sicurezza e tecnologia nel documento Policy di sicurezza e tecnologia di Atlassian

19. Il framework di policy di sicurezza delle informazioni delle entità regolamentate dall'APRA deve fornire indicazioni sulle responsabilità di tutte le parti che hanno l'obbligo di mantenere la sicurezza delle informazioni.

La policy sulla sicurezza del personale stabilisce i principi e le linee guida generali per la sicurezza del personale in Atlassian. Sottolinea che le responsabilità di sicurezza verranno indicate nelle definizioni delle mansioni. Inoltre, ogni policy della nostra suite di policy di sicurezza copre aspetti più dettagliati delle responsabilità che si applicano a particolari mansioni o team.

Il white paper Responsabilità di sicurezza condivise di Atlassian Cloud delinea le responsabilità dei clienti e le decisioni che questi devono prendere sulla modalità di protezione dei propri dati.

20. Le entità regolamentate dall'APRA devono classificare le proprie risorse informative, comprese quelle gestite da parti correlate e terze parti, in base alla criticità e alla sensibilità. Questa classificazione deve riflettere il grado in cui un imprevisto di sicurezza delle informazioni ai danni delle risorse informative possa influire, finanziariamente o non finanziariamente, sulle entità o sugli interessi di depositanti, assicurati, beneficiari o altri clienti.

Poiché scelgono in prima persona quali prodotti Atlassian utilizzare e per quali scopi, è responsabilità dei clienti determinare quali risorse informative devono essere gestite da Atlassian e occuparsi della loro classificazione. Da parte sua, Atlassian gestisce la classificazione delle informazioni come segue e come descritto nel nostro standard di classificazione dei dati:

• I dati devono essere classificati in termini di requisiti legali, valore e criticità per Atlassian.
• I dati devono essere identificati, etichettati e tenuti aggiornati in una mappa del flusso di dati per garantirne una gestione appropriata
• Lo smaltimento dei supporti deve avvenire in modo sicuro.
• I supporti contenenti informazioni aziendali devono essere protetti da accessi non autorizzati, uso improprio o danneggiamento durante il trasporto.

21. Le entità regolamentate dall'APRA devono disporre di controlli della sicurezza delle informazioni per proteggere le proprie risorse informative, comprese quelle gestite da parti correlate e terze parti, che siano implementati tempestivamente e commisurati a: (a) vulnerabilità e minacce alle risorse informative; (b) criticità e sensibilità delle risorse informative; (c) fase del ciclo di vita delle risorse informative; e (d) potenziali conseguenze di un imprevisto di sicurezza delle informazioni

Le nostre pratiche di sicurezza descrivono l'approccio di Atlassian alla sicurezza. Forniamo dettagli sul nostro approccio tramite procedure di:

• integrazione della sicurezza nella nostra architettura di rete 
• protezione dell'accesso alle nostre reti tramite ZeroTrust, che in parole povere significa "non fidarsi mai, verificare sempre" 
• protezione dell'accesso ai nostri sistemi e servizi
• protezione dei dispositivi endpoint 
• protezione dei nostri prodotti 
• protezione dei dati

22. Laddove le risorse informative delle entità regolamentate dall'APRA siano gestite da una parte correlata o da una terza parte, le entità regolamentate dall'APRA devono valutare la struttura dei controlli della sicurezza delle informazioni di quella parte designata per la protezione delle proprie risorse informative.

Il programma di gestione delle vulnerabilità descrive l'approccio di Atlassian al rilevamento e alla gestione delle vulnerabilità di sicurezza nei suoi prodotti, compresi i controlli chiave in atto per proteggere le informazioni dei clienti.

Abbiamo anche descritto nei dettagli Il nostro approccio alla gestione degli imprevisti di sicurezza nel nostro sistema.

Insieme, queste risorse forniscono alle entità regolamentate dall'APRA informazioni dettagliate sulla struttura dei nostri controlli di sicurezza nelle aree chiave, in modo che queste entità possano determinare se i loro obblighi CPS 234 sono soddisfatti.

23. Le entità regolamentate dall'APRA devono disporre di meccanismi solidi per rilevare e rispondere agli imprevisti di sicurezza delle informazioni in modo tempestivo.

Sebbene gli obblighi relativi alla gestione degli imprevisti di sicurezza delineati nel CPS 234 siano imposti alle entità regolamentate dall'APRA, Atlassian riconosce che, laddove tali entità utilizzano i prodotti Atlassian per quanto riguarda alcune o tutte le proprie risorse informative, anche l'approccio di Atlassian alla gestione degli imprevisti di sicurezza è un elemento di importante considerazione.

Disponiamo di una policy di risposta agli imprevisti di sicurezza documentata che include i seguenti principi chiave:

• Anticipare gli imprevisti di sicurezza e prepararsi per la risposta agli imprevisti.
• Contenere ed eliminare gli imprevisti, ed effettuare il ripristino dagli imprevisti.
• Investire nelle nostre persone, nei nostri processi e nelle nostre tecnologie per avere la certezza di essere in grado di rilevare e analizzare un imprevisto di sicurezza, qualora si verifichi.
• Adoperarsi affinché la protezione dei dati personali e dei dati dei clienti siano la massima priorità durante gli imprevisti di sicurezza.
• Condurre regolarmente il processo di risposta agli imprevisti di sicurezza.
• Acquisire informazioni dalla funzione di gestione degli imprevisti di sicurezza e migliorarla.
• Comunicare gli imprevisti di sicurezza critici alla leadership di Atlassian.

24. Le entità regolamentate dall'APRA devono mantenere attivi piani per rispondere agli imprevisti di sicurezza delle informazioni che ritengono possano plausibilmente verificarsi (piani di risposta alla sicurezza delle informazioni).

25. I piani di risposta alla sicurezza delle informazioni delle entità regolamentate dall'APRA devono includere meccanismi per (a) gestire tutte le fasi pertinenti di un imprevisto, dall'individuazione alla revisione post-imprevisto; e (b) l'escalation e la segnalazione degli imprevisti di sicurezza delle informazioni al Consiglio, agli altri organi direttivi e alle persone responsabili della gestione e della supervisione degli imprevisti di sicurezza delle informazioni, a seconda dei casi.

26. Le entità regolamentate dall'APRA devono rivedere e testare annualmente i propri piani di risposta alla sicurezza delle informazioni per assicurarsi che rimangano efficaci e adatti allo scopo.

27. Le entità regolamentate dall'APRA devono testare l'efficacia dei controlli della sicurezza delle informazioni attraverso un programma di test sistematico. La natura e la frequenza dei test sistematici devono essere commisurate: (a) alla velocità con cui cambiano le vulnerabilità e le minacce; (b) alla criticità e alla sensibilità delle risorse informative; (c) alle conseguenze di un imprevisto di sicurezza delle informazioni; (d) ai rischi associati all'esposizione ad ambienti in cui le entità regolamentate dall'APRA non sono in grado di applicare le proprie policy di sicurezza delle informazioni; ed e) alla rilevanza e alla frequenza delle modifiche apportate alle risorse informative

Per testare l'efficacia dei nostri controlli di sicurezza conduciamo molteplici audit e verifiche esterni. Sebbene ogni cliente sia responsabile della verifica dell'efficacia dei propri controlli della sicurezza delle informazioni e dell'escalation di eventuali carenze di tali controlli rilevate durante la revisione interna, Atlassian fornisce diverse risorse relative al programma di test proprietario per aiutare i clienti a determinare se i loro obblighi pertinenti al CPS 234 sono soddisfatti.

I nostri prodotti Cloud sono regolarmente sottoposti a una verifica indipendente dei relativi controlli di sicurezza, privacy e conformità, grazie alla quale ottengono certificazioni, attestazioni di conformità o report di audit basati su standard globali. I clienti possono accedere a queste attestazioni, certificazioni di conformità e report di audit (come SOC2 e ISO2700x) nel Compliance Resource Center per esaminarli come parte delle loro valutazioni del rischio. Ogni certificazione o report di audit pertinente contiene informazioni aggiuntive sulla parte che si occupa della certificazione o dell'audit.

Il nostro Compliance Resource Center contiene inoltre mappature di controllo rispetto a framework e leggi qualora le certificazioni o le attestazioni ufficiali non fossero richieste o applicabili.

Atlassian migliora continuamente l'idoneità, l'adeguatezza e l'efficacia del suo ISMS. L'Atlassian Trust Management System (ATMS) viene rivisto ogni anno, sia internamente che da terze parti, in modo che i clienti Atlassian possano fare affidamento sulla convalida di terze parti dell'efficacia di tale sistema ATMS. L'impegno nei confronti del miglioramento continuo è delineato internamente nella pagina di definizione dell'ATMS e serve a incoraggiarne l'evoluzione nel tempo e a colmare eventuali lacune.

Ulteriori informazioni e convalida del nostro approccio sono disponibili in diverse risorse del nostro Trust Center:

• Certificazione ISO 27001
• Certificazione SOC 2
• Tutte le attestazioni e certificazioni

28. Laddove le risorse informative delle entità regolamentate dall'APRA siano gestite da una parte correlata o da una terza parte e le entità regolamentate dall'APRA si affidino ai test di controllo della sicurezza delle informazioni di quella parte, tali entità devono valutare se la natura e la frequenza del test dei controlli relativamente a tali risorse informative sono commisurate ai paragrafi dal 27(a) al 27(e) del presente Prudential Standard.

29. Le entità regolamentate dall'APRA devono eseguire l'escalation e segnalare al Consiglio o ai dirigenti qualsiasi risultato dei test che identifichi carenze del controllo della sicurezza delle informazioni che non possono essere risolte in modo tempestivo.

30. Le entità regolamentate dall'APRA devono garantire che i test siano condotti da specialisti adeguatamente qualificati e funzionalmente indipendenti.

31. Le entità regolamentate dall'APRA devono esaminare l'adeguatezza del programma di test almeno una volta l'anno o in caso di modifiche sostanziali alle risorse informative o all'ambiente aziendale.

32. Le attività di audit interno delle entità regolamentate dall'APRA devono includere una revisione della struttura e dell'efficacia operativa dei controlli della sicurezza delle informazioni, compresi quelli gestiti dalle parti correlate e da terze parti (garanzia del controllo di sicurezza delle informazioni).

33. Le entità regolamentate dall'APRA devono assicurare che la garanzia del controllo della sicurezza delle informazioni sia fornita da personale adeguatamente qualificato

34. La funzione di audit interno delle entità regolamentate dall'APRA deve valutare la garanzia del controllo della sicurezza delle informazioni fornita da una parte correlata o da una terza parte laddove: (a) un imprevisto di sicurezza delle informazioni ai danni delle risorse informative possa influire materialmente, finanziariamente o non finanziariamente, sulle entità o sugli interessi di depositanti, assicurati, beneficiari o altri clienti; e (b) l'audit interno intenda fare affidamento sulla garanzia di controllo della sicurezza delle informazioni fornita dalla parte correlata o dalla terza parte.

35. Le entità regolamentate dall'APRA devono informare l'APRA il prima possibile e, in ogni caso, non oltre 72 ore, di essere venute a conoscenza di un imprevisto di sicurezza delle informazioni che: (a) ha influito, o avrebbe potuto influire, materialmente, finanziariamente o non finanziariamente, sulle entità o sugli interessi di depositanti, assicurati, beneficiari o altri clienti; o (b) è stato notificato ad altre autorità di regolamentazione, in Australia o altre giurisdizioni.

Atlassian capisce quanto sia importante per te essere informato tempestivamente di qualsiasi violazione dei dati. Ecco perché ha creato un team e un processo interfunzionali completi per gestire gli imprevisti di sicurezza come descritto nella pagina Gestione degli imprevisti di sicurezza.

Atlassian ha una solida esperienza nella notifica tempestiva e proattiva degli imprevisti e nella collaborazione con i suoi clienti su tutte le mitigazioni necessarie. Atlassian si impegna nel suo Addendum al trattamento dei dati e in altri termini legali a notificare ai clienti gli imprevisti di sicurezza senza indebito ritardo. Nella misura in cui i clienti abbiano bisogno di questa notifica per motivi di conformità, li incoraggiamo a firmare e inviare il DPA disponibile qui. Una volta essere stato informato di un imprevisto da Atlassian, il cliente è responsabile di determinare se è necessario notificare l'imprevisto all'APRA ai sensi del paragrafo 35 del CPS 234 e, in caso affermativo, di procedere entro 72 ore a partire dal momento in cui riceve l'avviso da parte di Atlassian.

Atlassian gestisce il programma pubblico Bug Bounty per i propri prodotti, tramite il partner Bugcrowd, per aiutare i clienti a monitorare le vulnerabilità che potrebbero avere un impatto sui suoi prodotti. Gli aggiornamenti dei materiali sono forniti ai clienti tramite Statuspage. Inoltre, se un cliente sceglie di acquistare un piano "Premium" o "Enterprise" di Jira Software Cloud, Jira Service Management Cloud o Confluence Cloud, riceverà come vantaggio aggiuntivo la nostra garanzia avanzata sulle prestazioni, in cui assicuriamo di non ridurre materialmente la funzionalità o la sicurezza complessiva del prodotto Cloud durante il periodo di abbonamento applicabile. Se riceviamo una richiesta di espansione della garanzia sulle prestazioni da parte di un cliente relativa alla sicurezza di un prodotto Cloud e non possiamo correggere la mancata conformità, ne informeremo il cliente. Una volta ricevuta questa notifica, il cliente è responsabile di determinare se è necessario informare l'APRA ai sensi del paragrafo 36 del CPS 234 e, in caso affermativo, di procedere entro il periodo di 10 giorni lavorativi, a partire dal momento in cui riceve l'avviso da parte di Atlassian.

36. Le entità regolamentate dall'APRA devono informare l'APRA il prima possibile e, in ogni caso, non oltre 10 giorni lavorativi, di essere venute a conoscenza di una grave carenza del controllo della sicurezza delle informazioni a cui prevedono di non essere in grado di porre rimedio tempestivamente.