Common use of Controllo Accessi, Interventi, Trasferimenti e Separazione Clause in Contracts

Controllo Accessi, Interventi, Trasferimenti e Separazione. 4.1. Il Fornitore manterrà un'architettura di sicurezza documentata delle reti che gestisce durante l'operatività dei Servizi, la fornitura dei Materiali da Consegnare e la Gestione della Tecnologia Kyndryl. Il Fornitore verificherà separatamente tale architettura di rete ed adotterà misure per prevenire connessioni di rete non autorizzate a sistemi, applicazioni e dispositivi di rete, garantendo la conformità agli standard segmentazione sicura, isolamento e difesa. Il Fornitore non potrà utilizzare la tecnologia wireless per l'hosting e l'operatività di alcun Servizio Ospitato; il Fornitore potrà invece utilizzare la tecnologia di rete wireless per l'erogazione dei Servizi e dei Materiali da Consegnare e nella Gestione della Tecnologia Kyndryl, ma dovrà crittografare le comunicazioni e prevedere l'implementazione di un'autenticazione sicura su tali reti wireless. 4.2. Il Fornitore definirà e gestirà misure progettate allo scopo di separare logicamente i Materiali Kyndryl ed impedire che gli stessi siano esposti o accessibili a persone non autorizzate. Inoltre, il Fornitore manterrà un adeguato isolamento del proprio ambiente di produzione, non produzione e di altri ambienti e, nell'eventualità in cui del Materiale Kyndryl siano già presenti o vengano trasferiti in un ambiente non di produzione (ad esempio per riprodurre un errore), il Fornitore dovrà garantire che la sicurezza e la protezione della privacy nell'ambiente non di produzione siano uguali a quelle dell'ambiente di produzione. 4.3. Il Fornitore crittograferà i Materiali Kyndryl in transito e a riposo (a meno che il Fornitore non dimostri con ragionevole soddisfazione di Kyndryl che la crittografia del Materiale Kyndryl risulti tecnicamente impossibile). Il fornitore crittograferà anche tutti i supporti fisici, se presenti, quali ad esempio i supporti contenenti file di backup. Il Fornitore documenterà le procedure per la generazione, emissione, distribuzione, archiviazione, rotazione, revoca, ripristino, backup, distruzione, accesso e utilizzo di chiavi protette associate alla crittografia dei dati. Il Fornitore dovrà verificare che gli specifici metodi crittografici utilizzati per tale crittografia siano in linea con le Migliori Pratiche del Settore (come ad esempio NIST SP 800-131a). 4.4. Se il Fornitore richiede l'accesso al Materiale Kyndryl, il Fornitore vincolerà e limiterà tale accesso al livello minimo richiesto per l'erogazione e il supporto dei Servizi e dei Materiali da Consegnare. Il Fornitore dovrà richiedere che tale accesso, incluso l'accesso di amministratore a tutti i componenti sottostanti (ossia, accesso con privilegi), sia personale, basato sul ruolo e soggetto a convalida periodica da parte del personale del Fornitore autorizzato in base al principio della separazione dei compiti. Il Fornitore manterrà le misure per identificare e rimuovere account eccessivi e dormienti. Il Fornitore revocherà inoltre gli account con accesso privilegiato entro ventiquattro (24) ore dell'interruzione della collaborazione con il proprietario dell'account o dalla richiesta da parte di Kyndryl o di qualsiasi dipendente del Fornitore autorizzato, come ad esempio il manager del proprietario dell'account. 4.5. In conformità con le Migliori Pratiche del Settore, il Fornitore manterrà le misure tecniche applicando il timeout di sessioni inattive, il blocco degli account dopo molti tentativi di accesso sequenziali non riusciti, l'autenticazione complessa mediante password o passphrase e misure che richiedano un trasferimento protetto e la memorizzazione di tali password e passphrase. Inoltre, il Fornitore utilizzerà l'autenticazione a più fattori per tutti gli accessi privilegiati non basati su console a qualsiasi Materiale Kyndryl. 4.6. Il Fornitore monitorerà l'utilizzo dell'accesso con privilegi e manterrà le informazioni sulla sicurezza e le misure di gestione degli eventi progettate per 1) identificare accessi e attività non autorizzati, 2) agevolare una risposta tempestiva e appropriata a tali accessi e attività e 3) abilitare i controlli della conformità alle policy documentate del Fornitore da parte del Fornitore, di Kyndryl (ai sensi dei propri diritti di verifica contenuti nei presenti Termini e dei diritti di revisione contabile presenti nel Documento d'Ordine o nell'accordo base associato o in altro accordo correlato tra le parti) e di altri. 4.7. Il Fornitore conserverà i log, in conformità con le Migliori Pratiche del Settore, in cui registrerà tutti gli accessi o le attività amministrative, utente o di altro tipo in relazione ai sistemi utilizzati nell'erogazione di Servizi o Materiali da Consegnare e nella Gestione della Tecnologia Kyndryl (e su richiesta fornirà tali registri a Kyndryl). Il Fornitore manterrà le misure progettate per proteggere da accessi non autorizzati, modifica e distruzione accidentale o deliberata di tali log. 4.8. Il Fornitore manterrà le protezioni informatiche per i sistemi che possiede o gestisce, compresi i sistemi degli utenti finali, e che utilizza nella fornitura di Servizi o Materiali da Consegnare o nella Gestione della Tecnologia Kyndryl, con tali protezioni che includono: firewall endpoint, crittografia completa del disco, tecnologie di rilevamento e risposta degli endpoint basate su firma e non firma per affrontare malware e minacce persistenti avanzate, blocchi dello schermo basati sul tempo e soluzioni di gestione degli endpoint che applicano requisiti di configurazione della sicurezza e patch. Inoltre, il Fornitore implementerà controlli tecnici e operativi che garantiranno che solo i sistemi di utenti finali noti e affidabili possano utilizzare le reti del Fornitore. 4.9. Coerentemente con le Migliori Pratiche del Settore, il Fornitore gestirà la protezione degli ambienti dei data center in cui sono presenti o viene elaborato il Materiali Kyndryl, con protezioni quali: rilevazione e prevenzione delle intrusioni e contromisure e mitigazione degli attacchi di tipo Denial of Service.

Controllo Accessi, Interventi, Trasferimenti e Separazione. 4.1. 4.1 Il Fornitore manterrà un'architettura di sicurezza documentata delle reti che gestisce durante l'operatività dei Servizi, la fornitura dei Materiali da Consegnare e la Gestione della Tecnologia Kyndryl. Il Fornitore verificherà separatamente tale architettura di rete ed adotterà misure per prevenire connessioni di rete non autorizzate a sistemi, applicazioni e dispositivi di rete, garantendo la conformità agli standard di segmentazione sicura, isolamento e difesa. Il Fornitore non potrà utilizzare la tecnologia wireless per l'hosting e l'operatività di alcun Servizio Ospitato; il Fornitore potrà invece utilizzare la tecnologia di rete wireless per l'erogazione dei Servizi e dei Materiali da Consegnare e nella Gestione della Tecnologia Kyndryl, ma dovrà crittografare le comunicazioni e prevedere l'implementazione di un'autenticazione sicura su tali reti wireless. 4.2. 4.2 Il Fornitore definirà e gestirà misure progettate allo scopo di separare logicamente i Materiali Kyndryl ed impedire che gli stessi siano esposti o accessibili a persone non autorizzate. Inoltre, il Fornitore manterrà un adeguato isolamento del proprio ambiente di produzione, non produzione e di altri ambienti e, nell'eventualità in cui del Materiale Materiali Kyndryl siano già presenti o vengano trasferiti in un ambiente non di produzione (ad esempio per riprodurre un errore), il Fornitore dovrà garantire che la sicurezza e la protezione della privacy nell'ambiente non di produzione siano uguali a quelle dell'ambiente di produzione. 4.3. 4.3 Il Fornitore crittograferà i Materiali Kyndryl in transito e a riposo (a meno che il Fornitore non dimostri con ragionevole soddisfazione di Kyndryl che la crittografia del Materiale Kyndryl risulti tecnicamente impossibile). Il fornitore crittograferà anche tutti i supporti fisici, se presenti, quali ad esempio i supporti contenenti file di backup. Il Fornitore documenterà le procedure per la generazione, emissione, distribuzione, archiviazione, rotazione, revoca, ripristino, backup, distruzione, accesso e utilizzo di chiavi protette associate alla crittografia dei dati. Il Fornitore dovrà verificare che gli specifici metodi crittografici utilizzati per tale crittografia siano in linea con le Migliori Pratiche del Settore (come ad esempio NIST SP 800-131a). 4.4. 4.4 Se il Fornitore richiede l'accesso al Materiale Kyndryl, il Fornitore vincolerà e limiterà tale accesso al livello minimo richiesto per l'erogazione e il supporto dei Servizi e dei Materiali da Consegnare. Il Fornitore dovrà richiedere che tale accesso, incluso l'accesso di amministratore a tutti i componenti sottostanti (ossia, accesso con privilegi), sia personale, basato sul ruolo e soggetto a convalida periodica da parte del personale del Fornitore autorizzato in base al principio della separazione dei compiti. Il Fornitore manterrà le misure per identificare e rimuovere account eccessivi ridondanti e dormienti. Il Fornitore revocherà inoltre gli account con accesso privilegiato entro ventiquattro (24) ore dell'interruzione della collaborazione con il proprietario dell'account o dalla richiesta da parte di Kyndryl o di qualsiasi dipendente del Fornitore autorizzato, come ad esempio il manager del proprietario dell'account. 4.5. 4.5 In conformità con le Migliori Pratiche del Settore, il Fornitore manterrà le misure tecniche applicando il timeout di sessioni inattive, il blocco degli account dopo molti tentativi di accesso sequenziali non riusciti, l'autenticazione complessa mediante password o passphrase e misure che richiedano un trasferimento protetto e la memorizzazione di tali password e passphrase. Inoltre, il Fornitore utilizzerà l'autenticazione a più fattori per tutti gli accessi privilegiati non basati su console a qualsiasi Materiale Kyndryl. 4.6. 4.6 Il Fornitore monitorerà l'utilizzo dell'accesso con privilegi e manterrà le informazioni sulla sicurezza e le misure di gestione degli eventi progettate per 1definite per: a) identificare accessi e attività non autorizzati, 2b) agevolare una risposta tempestiva e appropriata a tali accessi e attività e 3c) abilitare i controlli della conformità alle policy documentate del Fornitore da parte del Fornitore, di Kyndryl (ai sensi dei propri diritti di verifica contenuti nei presenti Termini e dei diritti di revisione contabile presenti nel Documento d'Ordine o nell'accordo base associato o in altro accordo correlato tra le parti) e di altri. 4.7. 4.7 Il Fornitore conserverà i log, in conformità con le Migliori Pratiche del Settore, in cui registrerà tutti gli accessi o le attività amministrative, utente o di altro tipo in relazione ai sistemi utilizzati nell'erogazione di Servizi o Materiali da Consegnare e nella Gestione della Tecnologia Kyndryl (e su richiesta fornirà tali registri a Kyndryl). Il Fornitore manterrà le misure progettate per proteggere da accessi non autorizzati, modifica e distruzione accidentale o deliberata di tali log. 4.8. 4.8 Il Fornitore manterrà le protezioni informatiche per i sistemi che possiede o gestisce, compresi i sistemi degli utenti finali, e che utilizza nella fornitura di Servizi o Materiali da Consegnare o nella Gestione della Tecnologia Kyndryl, con tali protezioni che includono: firewall endpoint, crittografia completa del disco, tecnologie di rilevamento e risposta degli endpoint basate su firma e non firma per affrontare malware e minacce persistenti avanzate, blocchi dello schermo basati sul tempo e soluzioni di gestione degli endpoint che applicano requisiti di configurazione della sicurezza e patch. Inoltre, il Fornitore implementerà controlli tecnici e operativi che garantiranno che solo i sistemi di utenti finali noti e affidabili possano utilizzare le reti del Fornitore. 4.9. 4.9 Coerentemente con le Migliori Pratiche del Settore, il Fornitore gestirà la protezione degli ambienti dei data center in cui sono presenti o viene elaborato il Materiali Kyndryl, con protezioni quali: rilevazione e prevenzione delle intrusioni e contromisure e mitigazione degli attacchi di tipo Denial of Service.