Poniżej znajduje się opis głównych środków firmy Dlubal podjętych w celu przestrzegania przepisów o ochronie danych zgodnie z art. 32 RODO. Należy jednak zauważyć, że nie wszystkie środki bezpieczeństwa mogą zostać ujawnione; rezygnacja z poufnych i szczegółowych opisów jest raczej konieczna, szczególnie w interesie ochrony i bezpieczeństwa danych.
1 Poufność (Art. 32(1)(b) RODO) b DS-GVO)
1.1 Fizyczna kontrola dostępu
Odpowiednie środki zastosowane w celu odmowy dostępu osobom nieupoważnionym do systemów przetwarzania danych, w których dane osobowe są przetwarzane lub wykorzystywane:
- Dostęp do pomieszczeń biurowych jest możliwy tylko przez główne wejście. Obszary dostępu są monitorowane za pomocą kamery i zajmowane przez personel recepcji. W przypadku nieobecności pracowników recepcji, drzwi wejściowe są zamykane i zabezpieczane systemem alarmowym.
- Serwerownie są dodatkowo zamknięte na stałe i dostępne tylko dla upoważnionego personelu.
- W razie potrzeby rozwiązywanie problemów związanych z produktem Dlubal, w którym przechowywane są dane osobowe
- Ważne systemy serwerowe poza terenem biura są zabezpieczone w centrum danych za pomocą wielopoziomowej autoryzacji, nadzoru wideo połączonego z policją oraz przed atakami terrorystycznymi.
1.2 Elektroniczna kontrola dostępu
Odpowiednie środki mające na celu uniemożliwienie korzystania z systemów przetwarzania danych przez osoby nieuprawnione:
- Dane są dostępne tylko dla pracowników firmy Dlubal w niezbędnym zakresie za pośrednictwem systemu CRM opartego na rolach, zarządzanego za pomocą konfigurowalnych uprawnień.
- Pracownicy mają uprawnienia dostępu oparte na rolach.
- Komputery są chronione poprzez autoryzację przy użyciu nazwy użytkownika i hasła (Active Directory).
- Hasła o podwyższonym poziomie bezpieczeństwa (struktura, długość, data ważności).
- Systemy zewnętrzne są połączone za pomocą tuneli VPN. Tylko znane adresy mają dostęp do białej listy adresów IP. Cała komunikacja zewnętrzna jest szyfrowana.
- Systemy komputerowe są centralnie wyposażone w oprogramowanie antywirusowe.
- Sieci danych są zabezpieczone zaporami sieciowymi.
- Dostęp do systemów serwerowych mają tylko specjalnie upoważnione osoby.
1.3 Wewnętrzna kontrola dostępu
Środki, które zapewniają, że osoby upoważnione do korzystania z systemu przetwarzania danych mogą uzyskać dostęp do danych tylko w zakresie ich uprawnień dostępu oraz że dane osobowe nie mogą być odczytywane, kopiowane, zmieniane lub usuwane bez upoważnienia w trakcie przetwarzania, użytkowania i po przechowywaniu:
- Prawa: Wszystkie usługi korzystają z modelu dostępu "odmowa domyślna". Odpowiedni dostęp posiadają tylko upoważnione osoby. Macierz uprawnień dla każdej usługi jest monitorowana i można ją wyeksportować do panelu administratora dla każdej usługi *. Wszystkimi uprawnieniami zarządzają administratorzy systemu. Liczba administratorów systemu jest zredukowana do minimum.
- Pliki logów: Sieciowe serwery pamięci masowej posiadają ścieżki audytu wraz z historią wersji plików (CRUD). Serwer Active Directory rejestruje każde żądanie autoryzacji dla usług w sieci.
- System kontroli wersji: Wszystkie dane w sieci są zabezpieczone za pomocą migawek VSS i BTRFS. Bazy danych są zabezpieczane za pomocą migawek co godzinę.
1.4 Kontrola separacji
Środki, które zapewniają, że dane gromadzone do różnych celów mogą być przetwarzane oddzielnie:
- Fizycznie oddzielna pamięć masowa na oddzielnych systemach lub nośnikach danych
- Tworzenie koncepcji autoryzacji
- Szyfrowanie zbiorów danych, które są przetwarzane w tym samym celu
- Przypisanie atrybutów przeznaczenia/pól danych do zbiorów danych
- Ustanowienie praw do baz danych
- Logiczne rozdzielenie danych klienta według kompetencji i funkcji
1.5 Pseudonimizacja i szyfrowanie (Art. 32(1)(a) RODO; Art. 25(1) RODO) a DS-GVO; Art. 25 Abs. 1 DS-GVO)
Przetwarzanie danych osobowych w taki sposób, aby nie można było ich przyporządkować do konkretnej osoby bez zapoznania się z dodatkowymi informacjami, o ile te informacje są osobno przechowywane i podlegają odpowiednim środkom technicznym i organizacyjnym:
Jeśli jest to możliwe w przypadku odpowiedniego przetwarzania danych, podstawowe identyfikatory danych osobowych są usuwane i przechowywane oddzielnie w odpowiedniej aplikacji danych.
2 Integralność (Art. 32(1)(b) RODO) b DS-GVO)
2.1 Kontrola wprowadzania danych
Środki zapewniające możliwość późniejszego sprawdzenia i ustalenia, czy dane osobowe zostały wprowadzone, zmienione lub usunięte z systemów przetwarzania danych oraz przez kogo:
- Rejestracja wprowadzania, zmian i usuwania danych
- Możliwość śledzenia wprowadzania, zmian i usuwania danych za pomocą indywidualnych nazw użytkowników
- Przyznawanie uprawnień do wprowadzania, modyfikowania i usuwania danych w oparciu o koncepcję autoryzacji
- Zarządzanie dokumentami
2.2 Kontrola transferu danych
Środki zapewniające, że dane osobowe nie mogą być kopiowane, zmieniane lub usuwane bez zezwolenia w trakcie transmisji elektronicznej, podczas transportu lub przechowywania na nośnikach danych:
- Serwer pocztowy wykorzystuje Sender Policy Framework (SPF), aby zapobiec nieautoryzowanemu użyciu naszych domen. W ten sposób odbiorca wiadomości e-mail może sprawdzić, czy wiadomość pochodzi z autoryzowanego serwera.
- W celu zapewnienia autentyczności, wiadomości e-mail są podpisywane podpisami DKIM.
- Wrażliwe wiadomości e-mail mogą być dodatkowo zaszyfrowane metodą typu „end-to-end”.
- Usługi FTP i VPN działają z szyfrowaniem SSL/TLS.
3 Dostępność i odporność (Art. 32(1)(b) RODO) b DS-GVO)
3.1 Kontrola dostępności
Środki zapewniające ochronę danych osobowych przed przypadkowym zniszczeniem lub utratą:
- Koncepcja tworzenia kopii zapasowych i odzyskiwania danych
- Zasilacz awaryjny (UPS)
- Tworzenie kopii lustrzanej dysku twardego
- Korzystanie z systemów RAID
- Systemy danych BTRFS i ReFS do wykrywania i korygowania błędów oraz zapobiegania ukrytej utracie danych
- Klastry o wysokiej dostępności oraz dublowanie danych i usług w kilku lokalizacjach
- Tworzenie kopii zapasowych połączeń internetowych i routerów, aby zapobiec długotrwałym przestojom
- Pamięć ECC na wszystkich serwerach w celu wykrywania błędów pamięci, modyfikacji danych oraz utraty danych
- Agent Microsoft System Data Protection Manager zainstalowany na każdym serwerze
- Tworzenie kopii zapasowej za pomocą DPM Storage co najmniej raz dziennie
- Kopia zapasowa systemu Windows + iSCSI LUN
- Krytyczne usługi są monitorowane przez narzędzia sieciowe i zgłaszają awarie usług, przestoje, ataki DoS i DDosS.
- Zabezpieczona serwerownia
- Gniazda z ochroną przeciwprzepięciową w serwerowni
- Regularna kontrola urządzeń elektrycznych przez specjalistyczną firmę
- Sygnalizatory pożaru i dymu, sprzęt gaśniczy
- Plany awaryjne i zarządzanie kryzysowe
- Zapora sieciowa z funkcją antywirusową i wykrywaniem intruzów, ochroną i prewencją (AV/IDS/IDP, Zywall Security Gateway)
- ESET Mail Security for Exchange chroniący serwer pocztowy przed spamem, wirusami, oprogramowaniem ransomware, oszustwami itp.
- ESET Security Antivirus na wszystkich komputerach jako ochrona punktu końcowego użytkownika przy użyciu konsoli administracji zdalnej ESET.
- ClamAV Antywirus typu open source do ochrony serwerów sieciowych i pamięci masowych
- Okresowe aktualizacje systemu zarządzane przez WSUS
- Active Directory Group Policy dla wszystkich komputerów
3.2 Odzyskiwalność
Środki umożliwiające szybkie przywrócenie dostępności danych osobowych po incydencie fizycznym lub technicznym: Wszystkie dane są chronione przed utratą poprzez okresowe tworzenie kopii zapasowych. Różne narzędzia umożliwiają łatwe odzyskanie tych danych w przypadku awarii fizycznych lub technicznych. Konkretne środki to:
- Koncepcja tworzenia kopii zapasowych i odzyskiwania danych
- Tworzenie kopii zapasowej za pomocą DPM Storage co najmniej raz dziennie
- Kopia zapasowa systemu Windows + iSCSI LUN
4 Procedury kontroli okresowej, ocena i ewaluacja (Art. 32(1)(d) RODO; Art. 25(1) RODO) d DS-GVO; Art. 25 Abs. 1 DS-GVO)
4.1 Zarządzanie ochroną danych
- Szkolenia dla pracowników z zakresu ochrony danych
- Zobowiązanie pracowników do zachowania poufności danych osobowych
- Wyznaczenie inspektora ochrony danych
- Wytyczne dla pracowników dotyczące postępowania z danymi osobowymi
- Ewidencjonowanie czynności przetwarzania danych iSd Art. 30 ust. 1 i 2 RODO
- Wdrożenie systemu zarządzania ochroną danych
4.2 Kontrola przetwarzania
Środki, które zapewniają, że dane osobowe przetwarzane w zamówieniu mogą być przetwarzane wyłącznie zgodnie z instrukcjami klienta w rozumieniu art. 28 RODO:
- Przejrzysty model umowy
- Sformalizowane zarządzanie zamówieniami
- Wybór wykonawcy po starannym rozważeniu
- Pisemne instrukcje dla wykonawcy w ramach umowy o przetwarzaniu danych
- Zobowiązanie wykonawcy do zachowania tajemnicy
- Stały nadzór nad wykonawcą i jego działaniami