Bezpieczeństwo informacji
Rysunki, specyfikacje i dane Klientów chronimy systemowo
Rysunki, modele 3D i specyfikacje, które powierzają nam Klienci, są dla nas równie ważne jak wykonywane z nich wyroby. Dlatego bezpieczeństwo informacji traktujemy jak część jakości: ma swoją politykę, odpowiedzialne osoby, rejestry i regularne przeglądy. Na tej stronie opisujemy, co wdrożyliśmy — i jak zgłosić nam błąd w zabezpieczeniach.
Stan na 22 października 2026 r.
-
Wdrożyliśmy wymagania katalogu VDA ISA stosowanego w branży motoryzacyjnej.
-
Choć nie podlegamy ustawie o KSC, stosujemy dziesięć grup środków z art. 21 dyrektywy NIS2.
-
Znalazłeś lukę w zabezpieczeniach? Potwierdzimy zgłoszenie w ciągu 3 dni roboczych.
TISAX® – poziom oceny AL2
TISAX® (Trusted Information Security Assessment Exchange) to stosowany w branży motoryzacyjnej sposób oceny i wymiany wyników oceny bezpieczeństwa informacji. Opiera się na katalogu wymagań VDA ISA, a zarządza nim stowarzyszenie ENX Association. Dzięki temu wynik oceny może być uznawany przez wielu partnerów, zamiast powtarzać audyty u każdego Klienta.
SUNEKO wdrożyło wymagania TISAX® na poziomie oceny AL2 (Assessment Level 2). Na tym poziomie audytor z uprawnionej firmy sprawdza wiarygodność samooceny: ocenia dowody i przeprowadza wywiady z osobami odpowiedzialnymi za bezpieczeństwo.
Wynik oceny i jej zakres udostępniane są partnerom przez portal ENX. Jeśli Twoja organizacja potrzebuje potwierdzenia w procesie kwalifikacji dostawcy, napisz do nas — przekażemy informacje o zakresie i statusie oceny.
TISAX® jest zarejestrowanym znakiem towarowym stowarzyszenia ENX Association.
KSC i NIS2 – środki stosowane dobrowolnie
Ustawa o krajowym systemie cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, obejmuje podmioty z wybranych sektorów, które przekraczają progi wielkości. SUNEKO nie jest podmiotem kluczowym ani ważnym w rozumieniu tej ustawy. Mimo to stosujemy środki zarządzania ryzykiem z art. 21 ust. 2 dyrektywy NIS2 — dobrowolnie, bo dobre praktyki nie zależą od progu zatrudnienia, a bezpieczeństwo łańcucha dostaw jest ważne dla naszych Klientów.
-
Analiza ryzyka i polityki bezpieczeństwa (art. 21 ust. 2 lit. a)
Polityka bezpieczeństwa informacji SUN-ISMS-01 jest przeglądana co najmniej raz na 12 miesięcy oraz po istotnej zmianie lub incydencie. Zobowiązuje nas też do okresowej oceny skuteczności zabezpieczeń i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji.
-
Obsługa incydentów (art. 21 ust. 2 lit. b)
Incydenty i podejrzenia zgłasza się niezwłocznie. Prowadzimy rejestr incydentów z odliczaniem terminów 24 godzin, 72 godzin i miesiąca, a wnioski z incydentów wracają do doskonalenia zabezpieczeń.
-
Ciągłość działania i kopie zapasowe (art. 21 ust. 2 lit. c)
Codzienne zaszyfrowane kopie zapasowe z automatyczną kontrolą integralności oraz próbne odtwarzanie. Wyniki prób zapisujemy w rejestrze przeglądów.
-
Bezpieczeństwo łańcucha dostaw (art. 21 ust. 2 lit. d)
Zgodnie z polityką SUN-ISMS-01 uwzględniamy bezpieczeństwo przy zakupach i we współpracy z dostawcami. Strona korzysta z minimalnej liczby zewnętrznych komponentów programistycznych, a ich wykaz (SBOM) udostępniamy na życzenie. Mapa i film ładują się dopiero po Twojej zgodzie.
-
Bezpieczny rozwój i obsługa podatności (art. 21 ust. 2 lit. e)
Serwis ma zestaw automatycznych testów, który obejmuje m.in. logowanie z uwierzytelnianiem dwuskładnikowym, dziennik zdarzeń, szyfrowanie i formularze. Zgłoszone podatności przyjmujemy według procedury opisanej poniżej, a plik security.txt jest zgodny z RFC 9116.
-
Ocena skuteczności zabezpieczeń (art. 21 ust. 2 lit. f)
Codziennie automatycznie sprawdzamy integralność dziennika zdarzeń, a wybrane zdarzenia bezpieczeństwa (np. nowe konto administratora, reset 2FA, serie błędnych logowań, nieudana kopia) zgłaszają alerty e-mail wskazanym osobom. Okresowe przeglądy — konta, aktualizacje, kopie, dostawcy — zapisujemy w rejestrze.
-
Higiena cyfrowa i szkolenia (art. 21 ust. 2 lit. g)
Hasła co najmniej 12-znakowe, odrzucane, gdy są oczywiste (lista popularnych haseł, fragment adresu e-mail), blokada po błędnych próbach logowania i automatyczne wylogowanie po bezczynności. Polityka SUN-ISMS-01 zobowiązuje nas do systematycznego szkolenia personelu.
-
Kryptografia i szyfrowanie (art. 21 ust. 2 lit. h)
Połączenie szyfrowane protokołem TLS z wymuszeniem HTTPS (HSTS). Treść zgłoszeń, załączniki i kopie zapasowe szyfrujemy algorytmem AES-256, a hasła kont w panelu przechowujemy wyłącznie jako skróty.
-
Kadry, kontrola dostępu i zasoby (art. 21 ust. 2 lit. i)
Dostęp według zasady niezbędnej wiedzy i najmniejszych uprawnień: konta imienne, role, zapis w dzienniku przy otwarciu szczegółów zgłoszenia, pobraniu załącznika i eksporcie oraz wykrywanie kont nieużywanych.
-
Uwierzytelnianie wieloskładnikowe (art. 21 ust. 2 lit. j)
Każde konto w panelu administracyjnym wymaga drugiego składnika (kod z aplikacji). Sesje wygasają po bezczynności, a dostęp do panelu można ograniczyć do wybranych adresów IP.
Opis ma charakter informacyjny: nie jest opinią prawną ani deklaracją zgodności z ustawą o KSC. Środki techniczne dotyczą tej strony internetowej i jej panelu administracyjnego, a zasady organizacyjne wynikają z systemu zarządzania bezpieczeństwem informacji firmy.
Twoje dane w formularzach
Zapytanie ofertowe, kontakt, zgłoszenie czy aplikacja — każdy formularz działa według tych samych zasad:
- Treść zgłoszeń i załączniki przechowujemy w panelu w postaci zaszyfrowanej (AES-256); kopia zgłoszenia trafia też do biura e-mailem.
- Pliki przyjmujemy tylko w wybranych formatach i sprawdzamy ich zawartość przed zapisem.
- Do zgłoszeń w panelu mają dostęp tylko upoważnione osoby, z obowiązkowym uwierzytelnianiem dwuskładnikowym; otwarcie szczegółów, pobranie załącznika i eksport zapisują się w dzienniku zdarzeń.
- Dane w panelu usuwamy automatycznie po okresach podanych w klauzulach informacyjnych; okresy dla kopii powiadomień e-mail i kopii zapasowych opisuje Polityka prywatności.
- W zgłoszeniach adres IP zapisujemy wyłącznie jako skrót, a w zgłoszeniach anonimowych nie zapisujemy nawet tego. Adres IP może pojawiać się w dziennikach technicznych serwera.
- Statystyki i treści zewnętrzne (mapa, film, Facebook) włączają się wyłącznie za Twoją zgodą.
Rysunki lub dokumentacja objęte tajemnicą? Zaznacz w zapytaniu pole „Dokumentacja poufna” i nie dołączaj plików — skontaktujemy się w sprawie umowy o poufności (NDA) i uzgodnionego kanału przekazu.
Zgłaszanie podatności
Jeśli znalazłeś lukę w zabezpieczeniach tej strony lub naszych systemów, prosimy o kontakt. Doceniamy odpowiedzialne ujawnienie i traktujemy je poważnie.
Prosimy o
- Opisz problem, wskaż stronę lub zasób oraz kroki prowadzące do jego odtworzenia.
- Nie pobieraj, nie zmieniaj ani nie usuwaj danych innych osób — wystarczy dowód, że luka istnieje.
- Nie przeprowadzaj ataków zakłócających działanie strony (np. przeciążających) ani nie stosuj socjotechniki wobec naszych pracowników.
- Daj nam rozsądny czas na naprawę, zanim ujawnisz szczegóły publicznie.
Co dzieje się po zgłoszeniu
-
Potwierdzamy
Potwierdzamy otrzymanie zgłoszenia w ciągu 3 dni roboczych.
-
Oceniamy i naprawiamy
Weryfikujemy zgłoszenie, oceniamy zagrożenie i usuwamy przyczynę. Informujemy Cię o postępach.
-
Dziękujemy
Po naprawie dajemy znać i dziękujemy. Nie podejmujemy kroków prawnych wobec osób, które działają w dobrej wierze i zgodnie z tymi zasadami.
Nie prowadzimy programu nagród za zgłoszenia podatności.
Masz pytania o bezpieczeństwo informacji?
W procesie kwalifikacji dostawcy chętnie odpowiemy na pytania, wypełnimy kwestionariusz i udostępnimy potrzebne informacje.
Wolisz zadzwonić? 33 482 30 10