Colours of Data Ltd.

Cyber and Information Security Policy

Purpose

The purpose of this policy is for the management of Colours of Data Ltd. (hereinafter the “Company”) to declare and approve the policy and strategic objectives in the area of cyber and information security, the scope and boundaries of the ISMS, and other rules and procedures related to the management of the ISMS.

Applicability

This policy applies to the whole of Colours of Data Ltd. and to all persons, processes and assets within the scope of the ISMS.

Responsibilities

  • ISMS review and review report: Cyber Security Manager in cooperation with other security roles
  • Discussion of the review report and corrective actions: Top Management
  • Implementation of a corrective action on time: person designated for the corrective action
  • Quarterly monitoring of corrective actions: Top Management
  • Policy review, at least once a year: Cyber Security Manager

Management Commitment

The Company’s management is committed to the establishment, management, control and support of a comprehensive and functional ISMS. The Company further commits to creating the conditions for obtaining the human, technical and financial resources necessary for the establishment, operation and continual improvement of the ISMS.

Objectives, Principles and Needs in the Area of Cyber and Information Security

The Company’s objectives are:

Competitiveness

  • long-term and sustainable development;
  • growth of competitiveness;
  • maintaining a high level of trust of all key interested parties, in particular customers and business partners.

Standards

  • ensuring compliance with legal regulations;
  • ensuring compliance with the ISO/IEC 27001 standard and TISAX.

Organisation and people

  • defining responsibilities;
  • ensuring adequate resources (human, technical and financial) for information security;
  • raising employees’ security awareness.

Activities and processes

  • regularly monitoring, evaluating and managing risks in the area of information and communication technologies and, based on these findings, adopting appropriate technical and organisational measures;
  • defining measurable objectives for ICT risk management, which are based on the results of the risk analysis and are subject to approval by top management;
  • implementing security technologies and continuously updating and modernising them;
  • ensuring the capability to handle security events and incidents;
  • ensuring an adequate level of confidentiality, integrity and availability;
  • purposeful formalisation of processes and procedures.

The objectives are regularly measured and evaluated according to internally defined metrics.

Scope and Boundaries of the Information Security Management System

The Company has decided to determine the scope of the ISMS on the basis of the services (hereinafter the “Services”) that are critical to the Company’s operations, based on a business impact analysis:

  • Provision of managed data services: Client Data Consulting Services, Data Engineering & Implementation Services, AI / ML Services, Bloomreach / MarTech Implementation Services, Projects Involving Client System Access
  • Acquisition: sales activities, marketing activities
  • HR and Operations: HR, financial management, IT and other operational activities

The scope of the ISMS includes:

Physical aspects of the scope

  • The physical perimeter covering all buildings and premises in which the Services are operated.
  • These buildings are located at: River Garden Office, 7th floor, Rohanské nábřeží 17, 186 00 Prague 8, Czech Republic.

Organisational and personnel aspects of the scope

  • All employees of the organisation and other persons who affect the security of the Services.
  • Suppliers (including subcontractors) who participate in the supply of primary and supporting assets, including in terms of the Services provided.

Technological aspects of the scope

  • Primary and supporting assets within the organisation that support the Services.
  • Primary and supporting assets managed or operated by suppliers that support the Services.

A specific list of primary and supporting assets is kept in the internal asset register.

Rules and Procedures for the Review of the Information Security Management System

A regular review of the Company’s ISMS takes place every year and includes an assessment of the current state, trends and opportunities for further development, and possibly the need for changes, so as to ensure the continuing suitability, adequacy and effectiveness of the system, including opportunities for improvement. The review is carried out by the Cyber Security Manager in cooperation with other security roles and interested parties, and the ISMS review report is subsequently discussed by top management.

Inputs to the ISMS review:

  • Evaluation of actions from the previous ISMS review
  • Identification of changes and circumstances that may affect the ISMS
  • Feedback on ISMS performance: nonconformities and corrective actions, monitoring and measurement results, results of previous cyber security audits, fulfilment of ISMS objectives
  • Results of risk assessment and status of the risk treatment plan
  • Outputs from vulnerability scanning and penetration testing
  • Overview of cyber security events and cyber security incidents for the past period
  • Evaluation of the cyber security training plan
  • Internal audit

Outputs of the review:

  • Identification of opportunities for continual improvement
  • Recommendations of necessary decisions, determination of corrective actions and of persons responsible for carrying out individual activities

Rules and Procedures for Corrective Actions and Improvement of the ISMS

All corrective actions are based on the ISMS review report. These corrective actions are discussed by top management; for each corrective action, persons responsible for implementing it and for meeting its implementation deadline are designated.

Corrective actions are monitored quarterly as part of top management activities.

Review of the Cyber and Information Security Policy

The Cyber and Information Security Policy must be reviewed by the Cyber Security Manager at least once a year. Even if no changes are made, the date of review must be recorded for the version.

Colours of Data s.r.o.

Politika kybernetické a informační bezpečnosti

Účel

Účelem této politiky je deklarovat a schválit vedením společnosti Colours of Data s.r.o. (dále jen „společnost“) politiku a strategické cíle v oblasti kybernetické a informační bezpečnosti, rozsah a hranice ISMS a další pravidla a postupy související s řízením ISMS.

Působnost

Politika platí pro celou společnost Colours of Data s.r.o. a pro všechny osoby, procesy a aktiva v rozsahu ISMS.

Odpovědnosti

  • Přezkoumání ISMS a zpráva z přezkoumání: manažer kybernetické bezpečnosti ve spolupráci s dalšími bezpečnostními rolemi
  • Projednání zprávy z přezkoumání a nápravných opatření: vrcholové vedení
  • Zavedení nápravného opatření v termínu: osoba určená u nápravného opatření
  • Čtvrtletní sledování nápravných opatření: vrcholové vedení
  • Přezkum politiky, minimálně jednou ročně: manažer kybernetické bezpečnosti

Závazek vedení

Vedení společnosti se zavazuje ke vzniku, řízení, kontrole a podpoře uceleného a funkčního ISMS. Dále se společnost zavazuje k vytvoření podmínek pro získání lidských, technických a finančních zdrojů, které jsou nezbytné pro ustavení, fungování a neustálé zlepšování ISMS.

Cíle, principy a potřeby v oblasti kybernetické a informační bezpečnosti

Společnost si klade za cíl:

Konkurenceschopnost

  • dlouhodobý a udržitelný rozvoj;
  • růst konkurenceschopnosti;
  • udržení vysoké úrovně důvěry všech klíčových zainteresovaných stran, zejména zákazníků a obchodních partnerů.

Normy

  • zajištění souladu s právními předpisy;
  • zajištění souladu s normou ISO/IEC 27001 a TISAX.

Organizace a lidé

  • stanovení odpovědností;
  • zajištění odpovídajících zdrojů (personálních, technických i finančních) pro oblast bezpečnosti informací;
  • zvýšení úrovně bezpečnostního povědomí zaměstnanců.

Aktivity a procesy

  • pravidelně monitorovat, vyhodnocovat a řídit rizika v oblasti informačních a komunikačních technologií, a na základě těchto zjištění přijímat odpovídající technická a organizační opatření;
  • definovat měřitelné cíle v oblasti řízení ICT rizik, které vycházejí z výsledků analýzy rizik a podléhají schválení vrcholovým vedením;
  • implementace bezpečnostních technologií a jejich průběžná aktualizace a modernizace;
  • zajištění schopnosti zvládání bezpečnostních událostí a incidentů;
  • zajištění adekvátní úrovně důvěrnosti, integrity a dostupnosti;
  • účelná formalizace procesů a postupů.

Cíle se pravidelně měří a vyhodnocují dle interně stanovených metrik.

Rozsah a hranice systému řízení bezpečnosti informací

Společnost se rozhodla určit rozsah ISMS na základě služeb (dále jen „Služby“), které jsou kritické pro chod společnosti, a to na základě analýzy dopadů na činnosti:

  • Poskytování řízených datových služeb: Client Data Consulting Services, Data Engineering & Implementation Services, AI / ML Services, Bloomreach / MarTech Implementation Services, Projects Involving Client System Access
  • Akvizice: obchodní činnosti, marketingové činnosti
  • HR a provoz: HR, řízení financí, IT a ostatní provozní činnosti

Rozsah ISMS zahrnuje:

Fyzické aspekty rozsahu

  • Fyzický perimetr, který pokrývá všechny objekty a prostory, ve kterých jsou služby provozovány.
  • Tyto objekty se nacházejí na adrese: River Garden Office, 7th floor, Rohanské nábřeží 17, 186 00 Praha 8, Česká republika.

Organizační a personální aspekty rozsahu

  • Všichni zaměstnanci organizace a další osoby, které ovlivňují bezpečnost Služeb.
  • Dodavatelé (včetně subdodavatelů), kteří participují na dodávkách primárních a podpůrných aktiv i ve smyslu poskytovaných Služeb.

Technologické aspekty rozsahu

  • Primární a podpůrná aktiva v rámci organizace, která podporují Služby.
  • Primární a podpůrná aktiva spravovaná nebo provozovaná dodavateli, která podporují Služby.

Konkrétní výčet primárních a podpůrných aktiv je vypsán v interní evidenci aktiv.

Pravidla a postupy pro přezkoumání systému řízení bezpečnosti informací

Pravidelné přezkoumání ISMS společnosti probíhá každý rok a obsahuje hodnocení současného stavu, trendů a příležitostí pro další rozvoj, eventuálně nutnost případných změn tak, aby byla zajištěna trvalá vhodnost, přiměřenost a efektivnost systému, včetně příležitostí pro zlepšení. Přezkoumání provádí manažer kybernetické bezpečnosti v součinnosti s dalšími bezpečnostními rolemi a zainteresovanými stranami a následně je zpráva z přezkoumání ISMS projednána vrcholovým vedením.

Vstupy do přezkoumání ISMS:

  • Vyhodnocení opatření z předchozího přezkoumání ISMS
  • Identifikace změn a okolností, které mohou mít vliv na ISMS
  • Zpětná vazba o výkonnosti ISMS: neshody a nápravná opatření, výsledky monitorování a měření, výsledky předchozích auditů kybernetické bezpečnosti, naplnění cílů ISMS
  • Výsledky hodnocení rizik a stav plnění plánu zvládání rizik
  • Výstupy ze skenování zranitelností a penetračního testování
  • Přehled kybernetických bezpečnostních událostí a kybernetických bezpečnostních incidentů za uplynulé období
  • Vyhodnocení plánu vzdělávání v oblasti kybernetické bezpečnosti
  • Interní audit

Výstupy z přezkoumání:

  • Identifikace možností pro neustálé zlepšování
  • Doporučení potřebných rozhodnutí, stanovení nápravných opatření a osob zajišťujících výkon jednotlivých činností

Pravidla a postupy pro nápravná opatření a zlepšování ISMS

Veškerá nápravná opatření vychází ze zprávy z přezkoumání ISMS. Tato nápravná opatření jsou projednána vrcholovým vedením, k jednotlivým nápravným opatřením jsou stanoveny osoby odpovědné za zavedení nápravných opatření a dodržení termínu zavedení nápravného opatření.

Nápravná opatření jsou čtvrtletně sledována v rámci činnosti vrcholového vedení.

Přezkum Politiky kybernetické a informační bezpečnosti

Politika kybernetické a informační bezpečnosti musí být přezkoumána manažerem kybernetické bezpečnosti minimálně 1x za rok. I v případě, že nedojde k žádným změnám, musí být u verze uvedeno datum přezkoumání.