Środki Bezpieczeństwa

Środki ochrony danych

Sposób zabezpieczenia pomieszczenia

• Dokumenty papierowe zawierające dane osobowe przechowywane są w zamykanych niemetalowych szafkach, do których dostęp mają wyłącznie upoważnieni pracownicy.

• Wdrożono zasadę czystego biurka i czystego ekranu.

• Wdrożono i pouczono pracowników o zakazie zostawiania dokumentów bez nadzoru.

• Pomieszczenia, w którym przetwarzany jest zbiór danych osobowych wyposażone są w system alarmowy przeciwwłamaniowy.

• Dostęp do pomieszczeń, w których przetwarzane są dane osobowe, jest ograniczony do osób upoważnionych i realizowany za pomocą wielopoziomowego systemu kontroli dostępu (kontrola wejścia do budynku, dostęp do pięter oraz pomieszczeń biurowych na podstawie kart pracowniczych).

• Dostęp do pomieszczeń, w których przetwarzany jest zbiór danych osobowych, kontrolowany jest przez system monitoringu z zastosowaniem kamer przemysłowych.

• Wejście do biura, objęte jest systemem kontroli dostępu (identyfikacja kartą pracowniczą).

• Dostęp do pomieszczeń, w których przetwarzany jest zbiór danych osobowych, przez całą dobę jest nadzorowany przez służbę ochrony.

• Wydzielono jedno miejsce do drukowania i skanowania dokumentów. Drukarki znajdują się w strefie pracowniczej za bramkami, windą i wejściem do biura chronionym kartą magnetyczną.

• Wprowadzono i pouczono pracowników o zasadzie „no tailgating” + stosowanie drzwi samozamykających.

• Pomieszczenie, w którym przetwarzane są zbiory danych osobowych zabezpieczone jest przed skutkami pożaru za pomocą systemu przeciwpożarowego i/lub wolnostojącej gaśnicy.

• Dokumenty zawierające dane osobowe po ustaniu przydatności są niszczone przy użyciu niszczarek dokumentów (poziom P3).

• Recepcja oraz księga „wejść / wyjść” Gości.

Środki organizacyjne

• Osoby zatrudnione przy przetwarzaniu danych zostały zaznajomione z przepisami dotyczącymi ochrony danych osobowych.

• Przeszkolono osoby zatrudnione przy przetwarzaniu danych osobowych w zakresie zabezpieczeń systemu informatycznego.

• Osoby zatrudnione przy przetwarzaniu danych osobowych obowiązane zostały do zachowania ich w tajemnicy.

• Monitory komputerów, na których przetwarzane są dane osobowe, ustawione są w sposób uniemożliwiający wgląd osobom postronnym w przetwarzane dane.

• Dane osobowe nie są udostępniane przez pracowników osobom postronnym w trakcie wykonywania czynności (np. pobieranie danych osobowych do faktury VAT przy innym kliencie).

• Wprowadzono polityki i procedury w zakresie reagowania i dokumentowania incydentów.

• Wdrożono politykę ochrony danych osobowych oraz Instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych.

• Wdrożono Zintegrowany System Zarządzania ISO 27001, ISO 22301, ISO 27018 i związany z nimi system klasyfikacji informacji.

• Stosowana jest zasada rozliczalności działań mająca na celu wykazanie, że dokonywane są czynności administracyjne związane z zapewnieniem bezpieczeństwa.

• Prowadzona jest inwentaryzacja sprzętu przetwarzającego dane osobowe.

• Ewidencjonowane są incydenty dot. bezpieczeństwa danych osobowych.

• Prowadzony jest Rejestr Czynności Przetwarzania i Rejestr Wszystkich Kategorii Czynności Przetwarzania. Dodatkowo aktualizuje się Środki Techniczne i Organizacyjne w przypadku zmian. Imienne upoważnienie do przetwarzania danych zawiera zakres, systemy i kategorie przetwarzanych danych przez pracownika.

• Prowadzony jest rejestr upoważnień do przetwarzania różnych kategorii danych osobowych przez pracowników (aktualizowany na bieżąco).

• Przeprowadza się symulacje phishingowe, w celu zwiększenia świadomości pracowników.

• Przeprowadza się okresowy przegląd uprawnień osób upoważnionych do przetwarzania audytów wewnętrznych w zakresie funkcjonowania RODO w organizacji.

• Uregulowano zasady pracy zdalnej w formie odpowiedniego Regulaminu..Wdrożono politykę haseł, regulującą m.in. ich minimalną długość w systemach Vercom, oraz konieczność użycia znaków specjalnych.

Środki sprzętowe infrastruktury informatycznej i telekomunikacyjnej

• Zbiór danych osobowych przetwarzany jest przy użyciu komputera przenośnego, którego dysk dodatkowo jest szyfrowany.

• Komputer służący do przetwarzania danych osobowych jest połączony z lokalną siecią komputerową (VPN). Dodatkowo w zakresie komputerów przenośnych stosuje się MFA (CISCO DUO).

• Zastosowano urządzenia typu UPS, generator prądu i/lub wydzieloną sieć elektroenergetyczną, chroniące system informatyczny służący do przetwarzania danych osobowych przed skutkami awarii zasilania.

• Dostęp do systemu operacyjnego komputera, w którym przetwarzane są dane osobowe, zabezpieczony jest za pomocą procesu uwierzytelnienia z wykorzystaniem identyfikatora użytkownika oraz hasła.

• Zastosowano środki uniemożliwiające wykonywanie nieautoryzowanych kopii danych osobowych przetwarzanych przy użyciu systemów informatycznych.

• Zastosowano systemowe mechanizmy wymuszające okresową zmianę haseł.

• Zastosowano system rejestracji dostępu do systemu/zbioru danych osobowych.

• Zastosowano środki kryptograficznej ochrony danych dla danych osobowych przekazywanych drogą teletransmisji. Dostęp do środków teletransmisji zabezpieczono za pomocą mechanizmów uwierzytelnienia. Zastosowano macierz dyskową w celu ochrony danych osobowych przed skutkami awarii pamięci dyskowej.

• Zastosowano środki ochrony przed szkodliwym oprogramowaniem takim, jak np. robaki, wirusy, konie trojańskie, rootkity.

• Użyto system Firewall do ochrony dostępu do sieci komputerowej.

• Zastosowano mechanizm automatycznej blokady dostępu do systemu informatycznego służącego do przetwarzania danych osobowych w przypadku dłuższej nieaktywności pracy użytkownika.

• Zastosowano szyfrowanie nośników danych w tym w szczególności dysków w komputerach przenośnych.

• Wprowadzono zakaz BYOD/BYOAI w całej organizacji.

• Wdrożono separację VLAN - Oddzielna sieć „Guest Wi-Fi” od sieci firmowej.

• Wprowadzono zabezpieczenia WiFi (WPA 3, silne hasło).

• Wprowadzono procedurę w zakresie zagubienia/kradzież sprzętu służbowego i kart magnetycznych.

• Dane firmowe są backupowane i przechowywane w bezpiecznych centrach danych (patrz. niżej).

• Kopie zapasowe przechowywane są na innych serwerach niż wykorzystywane na produkcji do bieżącego funkcjonowania aplikacji. Dodatkowo przeprowadza się okresowo testy odtworzenia.

• Wprowadzono mechanizm monitorowania i zarządzania aktualizacjami systemów obecnych na urządzeniach przenośnych pracowników.

• Stosuje się blokady i ograniczenia w zakresie korzystania z urządzeń USB na urządzeniach przenośnych pracowników.

• Dostęp do folderów z danymi opiera się na uprawnieniach pracownika (np. dział HR nie ma dostępu do folderów działu Sales)

Środki ochrony w ramach narzędzi programowych i baz danych

• Zastosowano środki umożliwiające określenie praw dostępu do wskazanego zakresu danych w ramach przetwarzanego zbioru danych osobowych (podział ról).

• Dostęp do zbioru danych osobowych wymaga uwierzytelnienia z wykorzystaniem identyfikatora użytkownika oraz hasła.

• Zainstalowano wygaszacze ekranów na stanowiskach, na których przetwarzane są dane osobowe. (5 minut.)

• Wykonywane są kopie zapasowe przechowywane na serwerach Vercom S.A. w bezpiecznych Data Center (patrz. niżej).

• Wykonywana jest aktualizacja aplikacji i systemów operacyjnych.

• Przeprowadzane są wewnętrzne i zewnętrzne testy penetracyjne oraz automatyczne skany podatności (SIEM/Wazuh, integracja z CERT Polska).

• Przeprowadzane jest regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych (audyt).

• Wprowadzono zakaz współdzielenia kont administracyjnych.

• Wprowadzono szyfrowanie „in transit” (TLS) dla usług, poczty, portali klienta.

• Wprowadzono szyfrowanie załączników/danych wrażliwych jak hasła/DO przy wysyłce mailem (polityka + narzędzia – Kleopatra, klucze PGP).

• Obowiązuje zakaz wysyłania danych firmowych przez pracowników na ich prywatne skrzynki pocztowe.

• Wprowadzono DLP w zakresie maili i załączników.

Dostęp

• VERCOM przeprowadza analizę ryzyka i wdrożyć odpowiednie kontrole w swoich systemach przed uzyskaniem dostępu do danych. Kontrole te obejmują połączenie warstw prawnych, technicznych, fizycznych, proceduralnych i ludzkich, w celu zapobiegania nieuprawnionemu nadużyciu, zniszczeniu, ujawnieniu lub modyfikacji danych.

• Obszar pomieszczeń i obiektów lub budynków, w których znajdują się informacje, systemy informatyczne lub inna infrastruktura sieciowa, jest chroniony w sposób fizycznie trwały oraz za pomocą odpowiednich zabezpieczeń zorientowanych na ryzyko.

• Wprowadzono formalne procedury przyznawania dostępu do danych.

• Dostęp do danych ma tylko upoważniony pracownik.

• Dostęp jest przyznawany w oparciu o tzw. zasadę ograniczonego dostępu, minimalizując niezbędny i uzasadniony dostęp, który wynika bezpośrednio z zakresu obowiązków pracownika.

• Dostęp do danych może być przyznany jedynie zidentyfikowanej osobie fizycznej z powiązanymi indywidualnymi kontami użytkowników, a zapisy audytowe tych działań muszą być rejestrowane i udostępniane na żądanie. Korzystanie z uprzywilejowanych praw dostępu i kont nieosobistych jest ograniczone i kontrolowane.

• Dane są udostępniane na zasadzie ""ograniczonego dostępu"". Użytkownicy lub klienci (zewnętrzni lub wewnętrzni) nie mogą mieć możliwości uzyskania dostępu do danych, które ich nie dotyczą.

• Nośniki przenośne są zabezpieczone poprzez szyfrowanie i odpowiednio oznakowane.

• Uwierzytelnianie wieloczynnikowe jest wdrażane dla wszystkich uprawnionych dostępów.

• Co najmniej raz w roku dokonuje się okresowego przeglądu dostępu.

Odpowiedzialność

• Za każdy dostęp do danych Klienta jest odpowiedzialna możliwa do zidentyfikowania osoba lub zautomatyzowany proces.

• Formalne procesy, które udzielają, usuwają lub modyfikują dostęp do danych są wprowadzone. Wszelkie tego typu działania są rejestrowane.

• Systemy, sprzęty i oprogramowanie wykorzystywane do przetwarzania danych są utrzymywane zgodnie z tymi wymogami bezpieczeństwa.

Reagowanie na incydenty i raportowanie

• Wszystkie wykryte incydenty bezpieczeństwa i naruszenia danych mające wpływ na dane Klienta lub usługi świadczone na rzecz Klienta, muszą być zgłaszane przez VERCOM bez zbędnej zwłoki, zgodnie z Procedurą Incydentów.

• Zgłoszenie naruszenia ochrony danych osobowych zawiera co najmniej następujące informacje:

  • Charakter naruszenia danych osobowych,

  • Charakter danych osobowych, których to dotyczy,

  • Kategorie i liczbę osób, których dane dotyczą,

  • Liczba rekordów danych osobowych, których to dotyczy,

  • Środki podjęte w celu zaradzenia naruszeniu danych,

  • Możliwe konsekwencje i negatywny wpływ naruszenia danych, oraz

  • Wszelkie inne informacje, które Klient jest zobowiązany zgłosić odpowiedniemu organowi regulacyjnemu lub podmiotowi danych.

Employment screening

• VERCOM stosuje employment screening pracowników, który obejmują referencje dotyczące zatrudnienia i odpowiednie kwalifikacje oraz następujące kwestie:

  • Dokument potwierdzający tożsamość osoby (np. paszport).

  • Dokument potwierdzający zdobyte wykształcenie (np. świadectwa).

  • Dokument potwierdzający doświadczenie zawodowe (np. życiorys/CV i referencje).

  • Podpisywanie przez pracownika oświadczenia o niekaralności.

Ciągłość działania oraz kopie zapasowe

• VERCOM posiada plan ciągłości działania zawierający odpowiednie sekcje dotyczące zarządzania incydentami i sytuacjami kryzysowymi, odpornością, kopiami zapasowymi i procedurami odzyskiwania danych po awarii, które podlegają przeglądowi i testom co najmniej raz w roku • VERCOM bezpiecznie przechowuje kopie aktualnego, niezbędnego oprogramowania systemowego, obrazów, danych i dokumentacji, aby zapewnić szybkie i kontrolowane odzyskiwanie zasobów informacyjnych

Integralność danych, zarządzanie zmianami i podatnością

• Wszystkie dane dostarczone przez użytkownika i dane wprowadzone przez użytkownika muszą być zatwierdzone w celu zachowania integralności danych • Wprowadzono sformalizowany proces zarządzania zmianą • Wprowadzono zarządzanie podatnością na zagrożenia i poprawkami z uwzględnieniem regularnych aktualizacji w celu zapewnienia ciągłej integralności systemu i terminowego łagodzenia nowych zagrożeń bezpieczeństwa • Wymagana jest ścisła separacja danych środowisk produkcyjnych od środowisk rozwojowych (deweloperskich) lub testowych. Nie dopuszcza się przechowywania danych produkcyjnych w żadnym środowisku nieprodukcyjnym, takim jak środowisko rozwojowe (deweloperskie) czy testowe. • Testy penetracyjne są wykonywane co najmniej raz w roku, a podsumowanie wyników dostarczone Klientowi na żądanie.

Szyfrowanie

Dane w ruchu są szyfrowane za pomocą protokołu SSL. Długoterminowe przechowywanie danych w formie backupu jest w pełni szyfrowane. Dane operacyjne nie są szyfrowane ze względów optymalizacyjnych.

Ochrona antywirusowa

• VERCOM ustawicznie podnosi świadomość użytkowników i wdrażać stosowne kontrole i polityki dotyczące wykrywania, zapobiegania i odzyskiwania danych w przypadku złośliwego oprogramowania (wirusy, złośliwy kod) • VERCOM przeprowadza okresowe szkolenia pracowników w tym zakresie.

Odpowiedzialność prawna

• Należy w pełni przestrzegać przepisów RODO oraz innych obowiązujących przepisów, regulacji i zobowiązań umownych

Szkolenie z zakresu bezpieczeństwa

• Wszyscy pracownicy mający dostęp do danych lub informacji, muszą odbyć odpowiednie szkolenie w zakresie bezpieczeństwa • Vercom sprawdza poziom wiedzy pracowników po szkoleniach

Własność aktywów

• Wszystkie zasoby informacyjne (dane, systemy, procesy itp.) mają obowiązkowo określonego odpowiedzialnego właściciela wewnątrz firmy VERCOM • Po zakończeniu czynności zleconych lub gdy dane nie są już potrzebne do realizacji czynności przetwarzania, zostaną zwrócone Klientowi i bezpiecznie zniszczone.

Niezaprzeczalność

• Należy wprowadzić kontrole w celu zapewnienia, że działania i zdarzenia będą miały skutek prawny i nie będą mogły zostać zakwestionowane lub zanegowane przez VERCOM oraz że działania spełniają wymogi odpowiedzialnych osób z VERCOM, w tym pełnomocnika i IOD. Przegląd okresowy • Vercom przeprowadza okresowy przegląd dostępu, kontroli zabezpieczeń i ryzyka, co najmniej raz w roku, aby zagwarantować, że bezpieczeństwo aktywów nie zostanie naruszone.

Prawo do audytu

• Klient i jego podmioty stowarzyszone mają prawo w okresie obowiązywania umowy z VERCOM do przeprowadzenia oceny bezpieczeństwa w uzgodnionym terminie i zakresie, w celu zapewnienia odpowiedniego poziomu ochrony danych. Ta ochrona bezpieczeństwa będzie obejmować środki związane z technicznymi, fizycznymi, proceduralnymi i ludzkimi środkami i kontrolami.