Політика Органу з сертифікації систем менеджменту ДержНДІ технологій кібербезпеки (ОССМ) щодо дотримання законодавчих вимог та вимог ДСТУ EN ISO/IEC 17021-1 стосовно конфіденційності полягає у забезпеченні конфіденційності інформації (власної чи отриманої з будь-яких джерел/ створеної під час виконання діяльності з сертифікації) на всіх рівнях організаційної структури ОССМ, включаючи зовнішніх осіб, що діють від імені ОССМ, та Комітет з питань оцінки відповідності систем управління інформаційною безпекою у складі Ради ООВ (надалі – Комітет ОССМ), з метою задовольнити сподівання замовника щодо цього аспекту діяльності ОССМ.

ОССМ вважає інформацію про конкретну особу або замовника (його систему менеджменту/управління, продукцію або послуги) конфіденційною та не розголошує її третій стороні за винятком випадків:

• є письмова згода замовника або особи, якої стосується інформація;
• законодавство України вимагає розголошення інформації третій стороні або є запит органів влади (замовник сповіщається відповідно до законодавства про те яка інформація буде надана);
• замовник заздалегідь поінформований та узгодив оприлюднення інформації, яку ОССМ має намір розмістити в загальному доступі;
• замовник сам оприлюднив певну інформацію (розмістив її у відкритому доступі).

Керівництво ОССМ зобов’язується забезпечувати виконання цієї політики, зокрема, шляхом впровадження наступних заходів:

• доступ до інформації, отриманої / створеної під час виконання діяльності з сертифікації, обмежується колом тих осіб, які безпосередньо виконують роботи щодо конкретної заявки або задіяні в процесах, що забезпечують функціонування процесів сертифікаційної діяльності;
• під час діяльності з сертифікації збирається тільки інформація, яка стосується об’єкта оцінювання та містить достатню кількість об’єктивних доказів відповідності /невідповідності встановленим вимогам;
• використовуються спеціальні засоби, які забезпечують безпеку при збереженні конфіденційної інформації, зокрема, програмні засоби обмеження доступу до даних на електронних носіях;
• відповідальність та повноваження щодо зберігання зареєстрованих даних чітко розподіляються;
• персоналом, який залучається (в. ч. членами Комітету ОССМ), підписується декларація, яка містить зобов’язання щодо забезпечення конфіденційності;
• посадові інструкції ОССМ містять вимоги щодо забезпечення конфіденційності інформації.