Níže uvádíme hlavní opatření, která společnost Dlubal Software přijala v souladu s čl. 32 GDPR. Musíme zde upozornit, že nelze zveřejnit všechna bezpečnostní opatření; naopak spíše v zájmu ochrany a bezpečnosti údajů je třeba upustit od popisu vnitřních a podrobných opatření.
1 Zabezpečení zpracování (čl. 32 odst. 1 písm. b) GDPR)
1.1 Kontrola fyzického přístupu
Opatření, která brání neoprávněnému přístupu do systémů zpracování osobních údajů, kde se osobní údaje zpracovávají nebo používají:
- Do kanceláří se lze dostat pouze centrálním vchodem. Přístupové oblasti jsou monitorovány kamerovým systémem a obsluhovány recepčními. V případě, že zde není recepční, jsou vstupní dveře zamknuté a zabezpečené.
- Serverové místnosti jsou také trvale zamknuté a přístupné pouze oprávněným osobám.
- V případě potřeby řešení problémů s produkty Dlubal, v nichž jsou uloženy osobní údaje
- Důležité serverové systémy mimo kancelářské budovy jsou v datovém centru chráněny pomocí vícefaktorové autorizace, video dohledem s napojením na policii a proti teroristickým útokům.
1.2 Kontrola elektronického přístupu
Opatření, která mají zabránit používání systémů zpracování osobních údajů neoprávněnými osobami:
- Zaměstnanci společnosti Dlubal Software mají přístup k údajům pouze v nezbytném rozsahu pomocí CRM systému založeného na rolích, který lze spravovat pomocí konfigurovatelných práv.
- Zaměstnanci mají přístupová práva podle rolí.
- Počítače jsou chráněny ověřením pomocí uživatelského jména a hesla (Active Directory).
- Hesla se zvýšenou bezpečností (použité znaky, délka, doba použitelnosti).
- Externí systémy jsou propojeny VPN tunely. Přístup mají pouze povolené IP adresy. Veškerá vnější komunikace je šifrována.
- Počítačové systémy jsou centrálně vybaveny antivirovým softwarem.
- Datové sítě jsou zabezpečeny firewally.
- K serverovým systémům mají přístup pouze speciálně zmocněné osoby.
1.3 Kontrola interních přístupů
Opatření zajišťující, aby osoby oprávněné používat systém zpracování údajů měly přístup pouze k subjektu údajů, pro který jim jsou svěřena přístupová oprávnění, a aby osobní údaje nebylo možné číst, kopírovat, měnit nebo mazat během zpracování, používání a po uložení:
- Práva: Všechny služby používají přístupový model „Standardně zakázat“. Odpovídající přístup mají pouze autorizované osoby a skupiny. Matice práv pro každou jednotlivou službu je monitorována a lze ji exportovat pro každou * službu do správcovského panelu. Veškerá práva spravují správci systému. Počet správců systému je snížen na minimum.
- Protokoly: Síťové paměťové servery obsahují protokoly auditu včetně historie verzí souborů (CRUD). Server Active Directory zaznamenává každý požadavek na autorizaci ke službám v síti.
- Systém pro správu verzí: Všechna data v síti jsou zabezpečena pomocí implicitního sdílení VSS a BTRFS. Databáze jsou zálohovány obrazy jednou za hodinu.
1.4 Kontrola oddělení
Opatření umožňující, aby se údaje shromažďované pro různé účely mohly zpracovávat odděleně:
- Fyzicky oddělené ukládání na samostatných systémech nebo datových nosičích
- Vytvoření koncepce autorizace
- Šifrování datových sad, které se zpracovávají za stejným účelem
- Zaopatření datových sad účelovými atributy / datovými poli
- Definice databázových práv
- Logické oddělení zákaznických údajů podle odpovědnosti a funkce
1.5 Pseudonymizace a šifrování (čl. 32 odst. 1 písm. a) GDPR; čl. 25 odst. 1 GDPR)
Zpracování osobních údajů tak, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření:
Pokud je to možné pro příslušné zpracování údajů, primární identifikační znaky osobních údajů se v příslušné datové aplikaci odstraní a uloží odděleně.
2 Integrita (čl. 32 odst. 1 písm. b) GDPR)
2.1 Kontrola zadání
Opatření zajišťující, že je možné dodatečně zkontrolovat a stanovit, zda a kým byly osobní údaje vloženy, změněny nebo odstraněny v systémech zpracování údajů:
- Protokolování zadávání, změn a mazání údajů
- Sledovatelnost zadání, změn a mazání údajů podle jednotlivých uživatelských jmen
- Přidělení oprávnění pro zadávání, změnu a mazání údajů na základě autorizačního konceptu
- Správa dokumentů
2.2 Kontrola předávání
Opatření k zajištění toho, aby osobní údaje nemohly být neoprávněně čteny, kopírovány, měněny nebo mazány během elektronického přenosu, migrace nebo ukládání na nosiče dat:
- E-mailový server používá k ochraně před neoprávněným použitím našich domén Sender Policy Framework (SPF). Příjemce e-mailu tak může zkontrolovat, zda e-mail pochází z autorizovaného serveru.
- E-maily jsou pro zajištění pravosti podepsány podpisem DKIM.
- Citlivé e-maily lze navíc šifrovat pomocí end-to-end šifrování.
- Služby FTP a VPN fungují se šifrováním SSL/TLS.
3 Dostupnost a odolnost systémů (čl. 32 odst. 1 písm. b) GDPR)
3.1 Kontrola dostupnosti
Opatření k zajištění ochrany osobních údajů proti náhodnému zničení nebo ztrátě:
- Koncept zálohování a obnovení
- Záložní zdroj (UPS)
- Zrcadlení disku
- Použití systémů RAID
- Souborové systémy BTRFS a ReFS pro detekci a opravu chyb a zamezení skryté ztrátě dat
- High Availability Clustery a zrcadlení dat a služeb na více místech
- Zálohování připojení k internetu a routerů, aby se zamezilo dlouhým odstávkám
- Paměť ECC na všech serverech pro detekci chyb v paměti, změn dat a ztráty dat
- Na každém serveru je nainstalován agent Microsoft System Data Protection Manager
- Alespoň každodenní zálohování přes DPM Storage
- Windows Backup + iSCSI LUNs
- Důležité služby jsou monitorovány síťovými nástroji a hlásí nefunkční služby, výpadky, DoS a DDosS útoky
- Zabezpečená serverovna
- Zásuvky s přepěťovou ochranou v serverovně
- Pravidelná kontrola elektrických zařízení odbornou firmou
- Požární a kouřové hlásiče, hasicí přístroje
- Nouzové plány a krizový management
- Firewall s antivirovou ochranou a ochranou proti průnikům (AV/IDS/IDP, Zywall Security Gateway)
- ESET Mail Security for Exchange pro ochranu e-mailového serveru před nevyžádanou poštou, viry, ransomware, scam atd.
- ESET Security Antivirus na všech počítačích jako uživatelská ochrana koncových bodů pomocí ESET Remote Administration Console
- ClamAV open-source antivirový program pro ochranu síťových serverů a úložiště
- Pravidelné aktualizace systému spravované WSUS
- Active Directory Group Policy pro všechny počítače
3.2 Obnovitelnost
Opatření pro rychlé obnovení dostupnosti osobních údajů a přístupu k nim po fyzické nebo technické události: Všechna data jsou zajištěna proti ztrátě pravidelným zálohováním. Různé nástroje umožňují s minimálním úsilím tyto údaje obnovit v případě fyzických nebo technických mimořádných událostí. Konkrétní opatření, která je třeba zmínit, jsou:
- Koncept zálohování a obnovení
- Alespoň každodenní zálohování přes DPM Storage
- Windows Backup + iSCSI LUNs
4 Postupy pro pravidelné testování, posuzování a hodnocení účinnosti opatření (čl. 32 odst. 1 písm. d) GDPR; čl. 25 odst. 1 GDPR)
4.1 Správa ochrany osobních údajů
- Školení zaměstnanců v oblasti ochrany osobních údajů
- Povinnost zaměstnanců nakládat s osobními údaji jako s důvěrnými
- Jmenování pověřence pro ochranu osobních údajů
- Pravidla pro zaměstnance k nakládání s osobními údaji
- Vedení záznamu o činnostech zpracování ve smyslu čl. 30 odst. 1 a 2 GDPR
- Implementace systému správy ochrany osobních údajů
4.2 Kontrola dohody
Opatření k zajištění toho, aby osobní údaje zpracované jménem objednavatele mohly být zpracovány pouze v souladu s pokyny objednavatele ve smyslu čl. 28 GDPR:
- Jednoznačný návrh zakázky
- Formalizovaná správa zakázky
- Svědomitý výběr dodavatele
- Písemné pokyny dodavateli prostřednictvím smlouvy o zpracování údajů
- Povinnost dodavatele zachovávat mlčenlivost
- Průběžná kontrola dodavatele a jeho činnosti
