Здесь и далее описано основные меры Dlubal для соблюдения нормативных актов о защите данных в соответствии со ст. 32 Dlubal Software. Однако следует отметить, что не все меры безопасности могут быть раскрыты; скорее, особенно в интересах защиты данных и безопасности данных, необходимо отказаться от конфиденциальных и подробных описаний.
1 Конфиденциальность (ст. 32 п. 1 лет. b Общего регламента по защите данных)
1.1 Физический контроль доступа
Меры, способные ограничить доступ неавторизованных лиц к системам обработки данных, с помощью которых обрабатываются или используются личные данные:
- В офисные помещения можно войти только через центральный вход. Зоны доступа затем контролируются с помощью камер и используются сотрудниками стойки регистрации. В случае, если в палате нет сотрудников стойки регистрации, входные двери закрыты и обеспечиваются с помощью системы безопасности.
- Кроме того, серверные залы находятся под постоянным замком и доступны только для авторизованных сотрудников.
- При необходимости Устранение неполадок в продукте Dlubal, в котором хранятся личные данные
- Важные серверные системы за пределами офисных помещений защищены в центре данных с помощью многофакторной авторизации пользователя, видеонаблюдения, связанного с полицией, и против терактов.
1.2 Электронный контроль доступа
Меры, необходимые для предотвращения неавторизованного использования систем обработки данных:
- Данные доступны только сотрудникам Dlubal в необходимом объеме через ролевую систему CRM, управляемую с настраиваемыми правами.
- Сотрудники имеют права доступа на основе функций.
- Компьютеры защищены авторизацией с помощью имени пользователя и пароля (Active каталог).
- Пароли с повышенной надёжностью (структура, длина, срок действия).
- Внешние системы соединяются через туннели VPN. Только известные адреса разрешён доступ через белый список IP-адресов. Вся внешняя связь шифруется.
- Все компьютерные системы обеспечивается централизованно антивирусными программами.
- Сети данных защищены с помощью брандмауэров.
- Только специально авторизованные пользователи имеют доступ к серверным системам.
1.3 Внутренний контроль доступа
Меры, обеспечивающие то, что люди, авторизованные для использования системы обработки данных, могут получить доступ к данным только в пределах их привилегий доступа, и что личные данные не могут быть прочитаны, скопированы, изменены или удалены без авторизации во время обработки, использования и после хранения :
- Права: Все службы используют модель доступа «запретить по умолчанию». Соответствующий доступ имеют только авторизованные пользователи и группы. Матрица прав каждой отдельной службы отслеживается и может быть экспортирована в панель администратора * каждой службы. Все права управляются системными администраторами. Количество системных администраторов сведено к минимуму.
- Файлы журналов: На сетевых серверах хранения имеются журналы проверок, включая историю версий файлов (CRUD). Сервер Активная директория протоколирует каждый запрос на авторизацию к службам в сети.
- Система контроля версий: Все данные в сети защищены с помощью моментальных копий VSS и BTRFS. Базы данных защищены с помощью почасовых моментальных копий.
1.4 Контроль разделения
Меры, обеспечивающие раздельную обработку данных, скомпилированных для различных целей:
- Физически отдельное хранилище в отдельных системах или носителях данных
- Создание концепции авторизации
- Шифрование наборов данных, которые обрабатываются с той же целью
- Придание атрибутов цели/полей данных блокам данных
- Создание прав на базу данных
- Логическое разделение данных о заказчике по компетентности и функции
1.5 Псевдонимизация и шифрование (ст. 32 (1) п. a Общий регламент по защите данных; Ст. 25 (1) DDS)
Обработка личных данных таким образом, что данные не могут быть отнесены к конкретному участнику данных без согласования с дополнительной информацией, если эта дополнительная информация хранится отдельно и в отношении них применяются соответствующие технические и организационные меры:
Если это возможно для соответствующей обработки данных, первичные идентифицирующие элементы личных данных удаляются из соответствующего приложения данных и сохраняются отдельно.
{}2 Целостность (ст. 32 п. 1 лет. b Общего регламента по защите данных)
2.1 Контроль ввода
Меры, обеспечивающие возможность обратной проверки и определения того, были ли личные данные введены, изменены или удалены в системах обработки данных и кем:
- Журнал ввода, изменения и удаления данных
- Отслеживание ввода, изменения и удаления данных по отдельным именам пользователей
- Распределение прав на ввод, изменение и удаление данных на основе концепции авторизации
- Управление документами
2.2 Контроль передачи данных
Меры, направленные на обеспечение того, чтобы личные данные не могли быть скопированы, изменены или удалены без авторизации в ходе электронной передачи, или во время их перемещения или хранения на носителях данных:
- Например, для предотвращения несанкционированного использования наших доменов, сервер электронной почты использует систему Sender Политики (SPF). Таким образом, получатель электронной почты может проверить, исходит ли оно от авторизованного сервера.
- Электронные письма подписываются с помощью подписи DKIM для обеспечения конфиденциальности.
- Конфиденциальные электронные письма могут быть дополнительно закодированы с помощью смежного редактирования.
- Службы HTTP и VPN работают с шифрованием TLS/SSL.
{}3 Готовность и устойчивость (ст. 32 (1) лет. b Общего регламента по защите данных)
3.1 Контроль наличия данных
Меры, обеспечивающие защиту личных данных от случайного разрушения или потери:
- Концепция резервного копирования и восстановления
- Источник надежности (UPS)
- Зеркальное отображение жесткого диска
- Использование массивовRAIje
- Системы данных BTRFS и ReFS для обнаружения и исправления ошибок, а также для предотвращения скрытой потери данных
- Кластеры высокой надежности и зеркалирование данных и сервисов в нескольких офисах
- Резервирование интернет-соединений и шлюзов для предотвращения длительных простоев
- Память ECC на всех серверах для обнаружения ошибок памяти, изменений данных или потери данных
- Аддон Microsoft System Data Защита данных установлен на каждом сервере
- Резервное копирование через DPM хранилище хотя бы раз в день
- Резервирование Windows + iSCSI LUN
- Важные сервисы отслеживаются сетевыми инструментами и сообщают о сбоях в работе, простоях, DoS и DDoS-атаках.
- Охраняемая серверная
- Защитные щиты в серверной
- Регулярные проверки электроустановок, осуществляемые специализированной компанией
- Пожарная безопасность, пожарная безопасность, пожарное оборудование
- Планы на случай чрезвычайной ситуации и антикризисное управление
- Брандмауэр с функцией обнаружения, защиты и предотвращения вторжений (AV/IDS/IDP, Zywallняный шлюз)
- Eset mail безопасности для обмена данными для защиты почтового сервера от спама, вирусов, программ-вымогателей, мошеннических действий и т.д.
- Антивирус Eset Безопасность на всех компьютерах для защиты конечных точек с помощью консоли удаленного администрирования Eset
- Антивирус GlamAV с открытым исходным кодом для защиты сетевых серверов и хранилищ
- Периодические системные обновления, управляемые через WSUS
- Групповая политика Активный каталог для всех компьютеров
3.2 Возможность восстановления
Меры, которые позволяют иметь личные данные и доступ к ним для быстрого восстановления после сбоя или техподдержки: Все данные защищены от потери с помощью периодического резервного копирования. Различные инструменты позволяют с минимальными усилиями восстановить эти данные в случае физических или технических чрезвычайных ситуаций. Конкретными мероприятиями являются:
- Концепция резервного копирования и восстановления
- Резервное копирование через DPM хранилище хотя бы раз в день
- Резервирование Windows + iSCSI LUN
4 Процедуры периодического анализа, оценки и оценки (ст. 32 (1) лет. d Общий регламент по защите данных; Ст. 25 (1) DDS)
4.1 Управление конфиденциальностью
- Обучающие курсы для сотрудников по защите данных
- Обязанность сотрудников конфиденциальной обработки личных данных
- Номинация ответственного за защиту данных
- Руководство для сотрудников по работе с личными данными
- Ведение учета обработки iSd Статья 30 (1) и (2) DDS
- Внедрение системы управления защитой данных
4.2 Контроль приложений
меры, обеспечивающие то, что личные данные, которые обрабатываются по заказу, могут быть обработаны только в соответствии с инструкциями клиента по значению ст. 28 Общего регламента по защите данных:
- Чёткий расчет договора
- Формализованное управление заказами
- Выбор подрядчика тщательно обдуман
- Письменные инструкции для подрядчика посредством договора об обработке данных
- Обязанность подрядчика сохранять конфиденциальность
- Постоянный надзор за подрядчиком и его действиями
