Środki techniczne i organizacyjne
Opis technicznych i organizacyjnych środków bezpieczeństwa wdrożonych przez Podmiot przetwarzający w celu ochrony danych osobowych przetwarzanych w imieniu Administratora.
Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania, a także ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym w stosownym przypadku:
01
Pseudonimizacja i szyfrowanie danych osobowych.
02
Zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania.
03
Zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego.
04
Regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
16 środków opisanych w niniejszym załączniku
Środki techniczne i organizacyjne wdrożone przez Podmiot przetwarzający obejmują poniższe.
W przypadku stosowania pseudonimizacji Podmiot przetwarzający wdraża odpowiednie środki w celu oddzielenia informacji identyfikujących od danych spseudonimizowanych oraz ochrony dodatkowych informacji niezbędnych do przypisania danych spseudonimizowanych do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej przed nieuprawnionym dostępem, ujawnieniem, zmianą lub utratą.
Podmiot przetwarzający wdraża odpowiednie środki bezpieczeństwa fizycznego w odniesieniu do swoich biur oraz komputerów, laptopów, urządzeń mobilnych i innego sprzętu wykorzystywanego przez personel do przetwarzania danych osobowych. Środki te mają na celu zapobieganie nieuprawnionemu dostępowi fizycznemu, utracie, kradzieży, uszkodzeniu lub innemu fizycznemu naruszeniu bezpieczeństwa.
Jeżeli dane osobowe są hostowane lub przetwarzane z wykorzystaniem infrastruktury zapewnianej przez Podmiot podprzetwarzający, w tym Hetzner, Amazon Web Services (AWS), OVH i Bunny.net, odpowiednie środki bezpieczeństwa fizycznego wdraża właściwy dostawca infrastruktury, a podlegają one odpowiednim mechanizmom kontroli umownej i weryfikacji (due diligence).
Podmiot przetwarzający zarządza Podmiotami podprzetwarzającymi zgodnie z obowiązującymi wymogami w zakresie ochrony danych i bezpieczeństwa informacji oraz utrzymuje odpowiednie zobowiązania umowne dotyczące ochrony danych osobowych i bezpieczeństwa.
Podmiot przetwarzający wdraża odpowiednie środki, aby uniemożliwić osobom nieuprawnionym uzyskanie dostępu do systemów wykorzystywanych do przetwarzania danych osobowych, w tym systemów produkcyjnych, baz danych, serwerów aplikacji, infrastruktury chmurowej i innych odpowiednich systemów.
Dostęp do danych osobowych i systemów przetwarzania przyznawany jest zgodnie z zasadą wiedzy koniecznej (need-to-know) i zasadą minimalnych uprawnień oraz jest ograniczony do zakresu niezbędnego do pełnienia przez daną osobę jej roli i obowiązków.
Środki te obejmują:
Uprawnienia dostępu są okresowo weryfikowane oraz bez zbędnej zwłoki odbierane lub dostosowywane, gdy nie są już potrzebne, w tym w przypadku zakończenia współpracy lub zmiany roli.
Dostęp do systemów produkcyjnych, baz danych, infrastruktury chmurowej, konfiguracji bezpieczeństwa i innych funkcji uprzywilejowanych jest ograniczony do wyraźnie upoważnionego personelu, którego obowiązki wymagają takiego dostępu.
Dostęp uprzywilejowany przyznawany jest zgodnie z zasadą minimalnych uprawnień i jest ograniczony do minimalnego zakresu niezbędnego do wykonywania danej funkcji administracyjnej lub operacyjnej.
Uwierzytelnianie wieloskładnikowe (MFA) jest obsługiwane dla kont uprzywilejowanych i administracyjnych, jeżeli zostało włączone.
Czynności administracyjne i uprzywilejowane podlegają odpowiednim mechanizmom autoryzacji, rejestrowania i monitorowania. Uprawnienia administratorów systemów są przypisywane indywidualnie i nie są współdzielone między użytkownikami.
Osoby upoważnione do dostępu do danych osobowych mogą uzyskiwać dostęp do tych danych wyłącznie w zakresie niezbędnym do wykonywania powierzonych im obowiązków i zgodnie z przysługującymi im uprawnieniami dostępu.
Dostęp do danych osobowych przyznawany jest zgodnie z zasadą wiedzy koniecznej i zasadą minimalnych uprawnień oraz jest ograniczony do zakresu niezbędnego do pełnienia przez daną osobę jej roli i obowiązków.
Podmiot przetwarzający wdraża odpowiednie środki, aby zapobiec odczytywaniu, kopiowaniu, modyfikowaniu, ujawnianiu lub usuwaniu danych osobowych przez osoby nieuprawnione, w tym:
Podmiot przetwarzający wdraża odpowiednie środki w celu ochrony danych osobowych i powiązanych informacji uwierzytelniających za pomocą szyfrowania i innych zabezpieczeń kryptograficznych.
Środki te obejmują:
Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed przypadkowym zniszczeniem, utratą lub niedostępnością oraz w celu wsparcia szybkiego przywrócenia dostępności i dostępu po incydencie fizycznym lub technicznym.
Środki te obejmują:
Podmiot przetwarzający utrzymuje procedury wykrywania i oceny incydentów bezpieczeństwa wpływających na przetwarzanie danych osobowych, reagowania na nie, ograniczania ich skutków, ich badania, usuwania ich skutków oraz przywracania stanu sprzed incydentu.
Procedury te obejmują:
Podmiot przetwarzający okresowo weryfikuje, a w stosownych przypadkach testuje, swoje procedury reagowania na incydenty, aby zapewnić skuteczną reakcję i przywrócenie stanu sprzed incydentu w razie wystąpienia incydentu bezpieczeństwa.
Podmiot przetwarzający utrzymuje procesy identyfikowania, oceny, priorytetyzacji i usuwania podatności bezpieczeństwa w systemach wykorzystywanych do przetwarzania danych osobowych.
Środki te obejmują:
Podmiot przetwarzający utrzymuje odpowiednie procedury tworzenia oprogramowania i zarządzania zmianami, mające na celu ograniczenie ryzyka wprowadzenia podatności bezpieczeństwa lub niekorzystnego wpływu na poufność, integralność lub dostępność danych osobowych.
Środki te obejmują:
Prace rozwojowe i testowe prowadzone są w sposób mający zapobiegać nieuprawnionemu dostępowi do produkcyjnych danych osobowych lub ich ujawnieniu.
Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych podczas ich przesyłania przed nieuprawnionym dostępem, ujawnieniem, zmianą lub utratą.
Dane osobowe są chronione podczas przesyłania za pomocą odpowiednich mechanizmów szyfrowania i zabezpieczeń, zgodnie z opisem w sekcji „Szyfrowanie i ochrona kryptograficzna”.
Wdrożono odpowiednie mechanizmy kontrolne służące wykrywaniu błędów transmisji, awarii lub nieuprawnionej modyfikacji danych podczas przesyłania.
Istotne z punktu widzenia bezpieczeństwa zdarzenia związane z transmisją i dostępem są, w stosownych przypadkach, rejestrowane i monitorowane.
Podmiot przetwarzający wdraża odpowiednie środki, aby zapewnić, że dane osobowe przetwarzane dla różnych Administratorów, funkcji lub celów przetwarzania są odpowiednio od siebie oddzielone i chronione przed nieuprawnionym dostępem lub wykorzystaniem.
Dostęp do danych osobowych jest ograniczony za pomocą odpowiednich technicznych i organizacyjnych mechanizmów kontroli dostępu, w tym zróżnicowanych uprawnień dostępu w zależności od danego klienta, funkcji, celu przetwarzania i roli użytkownika.
Osoby upoważnione do przetwarzania danych osobowych są zobowiązane do zachowania poufności oraz otrzymują odpowiednie informacje i szkolenia dotyczące bezpieczeństwa informacji, ochrony danych i ich obowiązków w zakresie postępowania z danymi osobowymi.
Dostęp do danych osobowych jest ograniczony do osób, których obowiązki wymagają takiego dostępu, i przyznawany zgodnie ze środkami kontroli dostępu opisanymi w niniejszym dokumencie.
Dane osobowe są przechowywane wyłącznie tak długo, jak jest to niezbędne do realizacji odpowiednich celów przetwarzania, i zgodnie z obowiązującymi wymogami dotyczącymi okresów przechowywania.
Jeżeli dane osobowe nie są już potrzebne, są one bezpiecznie usuwane lub anonimizowane przy użyciu odpowiednich procedur, z zastrzeżeniem obowiązujących prawnych wymogów dotyczących przechowywania oraz ograniczeń wynikających z cyklu tworzenia kopii zapasowych.
Podmiot przetwarzający prowadzi odpowiednie logi istotnych z punktu widzenia bezpieczeństwa zdarzeń związanych z uwierzytelnianiem, dostępem, czynnościami administracyjnymi oraz innych istotnych zdarzeń.
Logi te są chronione przed nieuprawnionym dostępem, zmianą lub usunięciem i przechowywane przez okres odpowiedni do wymogów w zakresie bezpieczeństwa, działalności operacyjnej, wymogów prawnych oraz reagowania na incydenty, mających zastosowanie do przetwarzania.
Istotne z punktu widzenia bezpieczeństwa zdarzenia są, w stosownych przypadkach, monitorowane w celu wsparcia wykrywania i badania nieuprawnionego dostępu, incydentów bezpieczeństwa i innych zdarzeń związanych z bezpieczeństwem oraz reagowania na nie.
Podmiot przetwarzający regularnie testuje, mierzy i ocenia skuteczność swoich technicznych i organizacyjnych środków bezpieczeństwa, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko związane z przetwarzaniem.
W stosownych przypadkach wyniki takiego testowania, mierzenia i oceny są wykorzystywane do identyfikowania i eliminowania słabości oraz do zwiększania skuteczności środków bezpieczeństwa.
Zarządzaj zgodą na pliki cookie
Używamy plików cookie, aby poprawić Twoje doświadczenie i analizować ruch na stronie. Dowiedz się więcej
