69x
001631
2021-02-25

Załącznik nr 2 do Umowy o przetwarzaniu danych osobowych: Środki techniczne i organizacyjne

Poniżej znajduje się opis głównych środków firmy Dlubal podjętych w celu przestrzegania przepisów o ochronie danych zgodnie z art. 32 RODO. Należy jednak zauważyć, że nie wszystkie środki bezpieczeństwa mogą zostać ujawnione; rezygnacja z poufnych i szczegółowych opisów jest raczej konieczna, szczególnie w interesie ochrony i bezpieczeństwa danych.

1 Poufność (Art. 32(1)(b) RODO) b DS-GVO)

1.1 Fizyczna kontrola dostępu

Odpowiednie środki zastosowane w celu odmowy dostępu osobom nieupoważnionym do systemów przetwarzania danych, w których dane osobowe są przetwarzane lub wykorzystywane:

  • Dostęp do pomieszczeń biurowych jest możliwy tylko przez główne wejście. Obszary dostępu są monitorowane za pomocą kamery i zajmowane przez personel recepcji. W przypadku nieobecności pracowników recepcji, drzwi wejściowe są zamykane i zabezpieczane systemem alarmowym.
  • Serwerownie są dodatkowo zamknięte na stałe i dostępne tylko dla upoważnionego personelu.
  • W razie potrzeby rozwiązywanie problemów związanych z produktem Dlubal, w którym przechowywane są dane osobowe
  • Ważne systemy serwerowe poza terenem biura są zabezpieczone w centrum danych za pomocą wielopoziomowej autoryzacji, nadzoru wideo połączonego z policją oraz przed atakami terrorystycznymi.

1.2 Elektroniczna kontrola dostępu

Odpowiednie środki mające na celu uniemożliwienie korzystania z systemów przetwarzania danych przez osoby nieuprawnione:

  • Dane są dostępne tylko dla pracowników firmy Dlubal w niezbędnym zakresie za pośrednictwem systemu CRM opartego na rolach, zarządzanego za pomocą konfigurowalnych uprawnień.
  • Pracownicy mają uprawnienia dostępu oparte na rolach.
  • Komputery są chronione poprzez autoryzację przy użyciu nazwy użytkownika i hasła (Active Directory).
  • Hasła o podwyższonym poziomie bezpieczeństwa (struktura, długość, data ważności).
  • Systemy zewnętrzne są połączone za pomocą tuneli VPN. Tylko znane adresy mają dostęp do białej listy adresów IP. Cała komunikacja zewnętrzna jest szyfrowana.
  • Systemy komputerowe są centralnie wyposażone w oprogramowanie antywirusowe.
  • Sieci danych są zabezpieczone zaporami sieciowymi.
  • Dostęp do systemów serwerowych mają tylko specjalnie upoważnione osoby.

1.3 Wewnętrzna kontrola dostępu

Środki, które zapewniają, że osoby upoważnione do korzystania z systemu przetwarzania danych mogą uzyskać dostęp do danych tylko w zakresie ich uprawnień dostępu oraz że dane osobowe nie mogą być odczytywane, kopiowane, zmieniane lub usuwane bez upoważnienia w trakcie przetwarzania, użytkowania i po przechowywaniu:

  • Prawa: Wszystkie usługi korzystają z modelu dostępu "odmowa domyślna". Odpowiedni dostęp posiadają tylko upoważnione osoby. Macierz uprawnień dla każdej usługi jest monitorowana i można ją wyeksportować do panelu administratora dla każdej usługi *. Wszystkimi uprawnieniami zarządzają administratorzy systemu. Liczba administratorów systemu jest zredukowana do minimum.
  • Pliki logów: Sieciowe serwery pamięci masowej posiadają ścieżki audytu wraz z historią wersji plików (CRUD). Serwer Active Directory rejestruje każde żądanie autoryzacji dla usług w sieci.
  • System kontroli wersji: Wszystkie dane w sieci są zabezpieczone za pomocą migawek VSS i BTRFS. Bazy danych są zabezpieczane za pomocą migawek co godzinę.

1.4 Kontrola separacji

Środki, które zapewniają, że dane gromadzone do różnych celów mogą być przetwarzane oddzielnie:

  • Fizycznie oddzielna pamięć masowa na oddzielnych systemach lub nośnikach danych
  • Tworzenie koncepcji autoryzacji
  • Szyfrowanie zbiorów danych, które są przetwarzane w tym samym celu
  • Przypisanie atrybutów przeznaczenia/pól danych do zbiorów danych
  • Ustanowienie praw do baz danych
  • Logiczne rozdzielenie danych klienta według kompetencji i funkcji

1.5 Pseudonimizacja i szyfrowanie (Art. 32(1)(a) RODO; Art. 25(1) RODO) a DS-GVO; Art. 25 Abs. 1 DS-GVO)

Przetwarzanie danych osobowych w taki sposób, aby nie można było ich przyporządkować do konkretnej osoby bez zapoznania się z dodatkowymi informacjami, o ile te informacje są osobno przechowywane i podlegają odpowiednim środkom technicznym i organizacyjnym:

Jeśli jest to możliwe w przypadku odpowiedniego przetwarzania danych, podstawowe identyfikatory danych osobowych są usuwane i przechowywane oddzielnie w odpowiedniej aplikacji danych.

2 Integralność (Art. 32(1)(b) RODO) b DS-GVO)

2.1 Kontrola wprowadzania danych

Środki zapewniające możliwość późniejszego sprawdzenia i ustalenia, czy dane osobowe zostały wprowadzone, zmienione lub usunięte z systemów przetwarzania danych oraz przez kogo:

  • Rejestracja wprowadzania, zmian i usuwania danych
  • Możliwość śledzenia wprowadzania, zmian i usuwania danych za pomocą indywidualnych nazw użytkowników
  • Przyznawanie uprawnień do wprowadzania, modyfikowania i usuwania danych w oparciu o koncepcję autoryzacji
  • Zarządzanie dokumentami

2.2 Kontrola transferu danych

Środki zapewniające, że dane osobowe nie mogą być kopiowane, zmieniane lub usuwane bez zezwolenia w trakcie transmisji elektronicznej, podczas transportu lub przechowywania na nośnikach danych:

  • Serwer pocztowy wykorzystuje Sender Policy Framework (SPF), aby zapobiec nieautoryzowanemu użyciu naszych domen. W ten sposób odbiorca wiadomości e-mail może sprawdzić, czy wiadomość pochodzi z autoryzowanego serwera.
  • W celu zapewnienia autentyczności, wiadomości e-mail są podpisywane podpisami DKIM.
  • Wrażliwe wiadomości e-mail mogą być dodatkowo zaszyfrowane metodą typu „end-to-end”.
  • Usługi FTP i VPN działają z szyfrowaniem SSL/TLS.

3 Dostępność i odporność (Art. 32(1)(b) RODO) b DS-GVO)

3.1 Kontrola dostępności

Środki zapewniające ochronę danych osobowych przed przypadkowym zniszczeniem lub utratą:

  • Koncepcja tworzenia kopii zapasowych i odzyskiwania danych
  • Zasilacz awaryjny (UPS)
  • Tworzenie kopii lustrzanej dysku twardego
  • Korzystanie z systemów RAID
  • Systemy danych BTRFS i ReFS do wykrywania i korygowania błędów oraz zapobiegania ukrytej utracie danych
  • Klastry o wysokiej dostępności oraz dublowanie danych i usług w kilku lokalizacjach
  • Tworzenie kopii zapasowych połączeń internetowych i routerów, aby zapobiec długotrwałym przestojom
  • Pamięć ECC na wszystkich serwerach w celu wykrywania błędów pamięci, modyfikacji danych oraz utraty danych
  • Agent Microsoft System Data Protection Manager zainstalowany na każdym serwerze
  • Tworzenie kopii zapasowej za pomocą DPM Storage co najmniej raz dziennie
  • Kopia zapasowa systemu Windows + iSCSI LUN
  • Krytyczne usługi są monitorowane przez narzędzia sieciowe i zgłaszają awarie usług, przestoje, ataki DoS i DDosS.
  • Zabezpieczona serwerownia
  • Gniazda z ochroną przeciwprzepięciową w serwerowni
  • Regularna kontrola urządzeń elektrycznych przez specjalistyczną firmę
  • Sygnalizatory pożaru i dymu, sprzęt gaśniczy
  • Plany awaryjne i zarządzanie kryzysowe
  • Zapora sieciowa z funkcją antywirusową i wykrywaniem intruzów, ochroną i prewencją (AV/IDS/IDP, Zywall Security Gateway)
  • ESET Mail Security for Exchange chroniący serwer pocztowy przed spamem, wirusami, oprogramowaniem ransomware, oszustwami itp.
  • ESET Security Antivirus na wszystkich komputerach jako ochrona punktu końcowego użytkownika przy użyciu konsoli administracji zdalnej ESET.
  • ClamAV Antywirus typu open source do ochrony serwerów sieciowych i pamięci masowych
  • Okresowe aktualizacje systemu zarządzane przez WSUS
  • Active Directory Group Policy dla wszystkich komputerów

3.2 Odzyskiwalność

Środki umożliwiające szybkie przywrócenie dostępności danych osobowych po incydencie fizycznym lub technicznym: Wszystkie dane są chronione przed utratą poprzez okresowe tworzenie kopii zapasowych. Różne narzędzia umożliwiają łatwe odzyskanie tych danych w przypadku awarii fizycznych lub technicznych. Konkretne środki to:

  • Koncepcja tworzenia kopii zapasowych i odzyskiwania danych
  • Tworzenie kopii zapasowej za pomocą DPM Storage co najmniej raz dziennie
  • Kopia zapasowa systemu Windows + iSCSI LUN

4 Procedury kontroli okresowej, ocena i ewaluacja (Art. 32(1)(d) RODO; Art. 25(1) RODO) d DS-GVO; Art. 25 Abs. 1 DS-GVO)

4.1 Zarządzanie ochroną danych

  • Szkolenia dla pracowników z zakresu ochrony danych
  • Zobowiązanie pracowników do zachowania poufności danych osobowych
  • Wyznaczenie inspektora ochrony danych
  • Wytyczne dla pracowników dotyczące postępowania z danymi osobowymi
  • Ewidencjonowanie czynności przetwarzania danych iSd Art. 30 ust. 1 i 2 RODO
  • Wdrożenie systemu zarządzania ochroną danych

4.2 Kontrola przetwarzania

Środki, które zapewniają, że dane osobowe przetwarzane w zamówieniu mogą być przetwarzane wyłącznie zgodnie z instrukcjami klienta w rozumieniu art. 28 RODO:

  • Przejrzysty model umowy
  • Sformalizowane zarządzanie zamówieniami
  • Wybór wykonawcy po starannym rozważeniu
  • Pisemne instrukcje dla wykonawcy w ramach umowy o przetwarzaniu danych
  • Zobowiązanie wykonawcy do zachowania tajemnicy
  • Stały nadzór nad wykonawcą i jego działaniami