Na czym polega norma ISO/IEC 27001?
Fiabilis Consulting Group realizuje program ochrony danych. Certyfikat ISO 27001 potwierdza naszą zdolność do ochrony wszelkich danych i informacji niezbędnych do prowadzonych przez nas analiz.
Zapewniamy naszym klientom, partnerom i pracownikom pełne bezpieczeństwo ich danych poprzez wdrożenie, aktualizowanie i utrzymywanie zintegrowanego, globalnego systemu zarządzania bezpieczeństwem informacji (SZBI).
Certyfikat potwierdza zdolność Fiabilis do oceny własnej gotowości na wszystkie występujące kategorie ryzyka, niezależnie od tego, czy wynikają one z infrastruktury, z ludzi czy z procesów.
Norma ISO 27701, uzupełnienie normy ISO/IEC 27001
W uzupełnieniu normy ISO 27001 Fiabilis uzyskał w 2022 roku certyfikat ISO 27701. Ta międzynarodowa norma certyfikacyjna rozszerza zakres normy 27001 na ład organizacyjny i środki bezpieczeństwa, które należy wdrożyć w celu ochrony danych osobowych. Uwzględnia główne obowiązujące akty dotyczące ochrony danych osobowych, a w szczególności RODO.
Norma ta pozwala nam w szczególności wykazać, zgodnie z zasadą rozliczalności, że nasze wewnętrzne praktyki przetwarzania danych osobowych są zgodne z podstawowymi zasadami RODO (zgodność z prawem, rzetelność, przejrzystość; ograniczenie celu; minimalizacja danych; prawidłowość; ograniczenie przechowywania; integralność i poufność).
Kontrola zewnętrzna i odnowienie certyfikatów ISO
Przegląd działań podjętych w celu ochrony Twoich danych
- Podpisanie Karty IT oraz zobowiązania do zachowania poufności
- Szkolenia, działania uświadamiające i regularna ocena wiedzy z zakresu bezpieczeństwa informacji
- Bezpośredni nadzór nad gośćmi sprawowany przez pracownika Fiabilis przez cały czas trwania wizyty
- Kontrola i ograniczony dostęp do pomieszczeń
- Zautomatyzowane i zdecentralizowane zarządzanie inwentarzem aktywów
- Polityka zarządzania, monitorowania i wycofywania powierzonych aktywów przez cały okres ich użytkowania
- Polityka bezpieczeństwa urządzeń (automatyczna blokada, złożoność i rotacja haseł, ochrona w czasie rzeczywistym przed złośliwym oprogramowaniem, zapora sieciowa, szyfrowanie dysków, ograniczenie instalacji oprogramowania, automatyczne aktualizacje itd.)
- Scentralizowana polityka zarządzania prawami dostępu oraz regularne niezależne przeglądy
- Polityka zarządzania dostawcami usług i zaopatrzenia, obowiązkowe zobowiązanie do poufności, coroczny audyt ich bezpieczeństwa
- Polityka kontroli prac programistycznych, audyt kodu, testy podatności
- Wszystkie nasze aktywa objęte są zarządzaniem w ramach naszego SZBI certyfikowanego zgodnie z ISO 27001
- Wyznaczenie w każdym kraju specjalisty ds. ochrony danych osobowych, który kontroluje zgodność naszej działalności z RODO i innymi przepisami o ochronie prywatności oraz wydaje opinie w konkretnych sprawach (IOD lub Privacy Champion)
- Przechowywanie wszystkich danych klientów i danych wewnętrznych na naszej własnej infrastrukturze wewnętrznej
- Rygorystyczna polityka wymiany i udostępniania plików wyłącznie za pośrednictwem naszych własnych narzędzi utrzymywanych wewnętrznie
- Pseudonimizacja danych już na etapie ich pobrania ze strony zakładu ubezpieczeń społecznych
- Brak jakiegokolwiek przekazywania danych wrażliwych podmiotom przetwarzającym
- Obowiązkowe uwierzytelnianie użytkowników loginem i hasłem, z obowiązkowym uwierzytelnianiem dwuskładnikowym (MFA) dla dostępu zdalnego (VPN)
- Scentralizowana archiwizacja logów dostępu do danych
- Rygorystyczny cykl życia danych zgodny z obowiązującymi przepisami (RODO) i zaleceniami lokalnymi (normy ISO 27001 i ISO 27701)
- Polityka kopii zapasowych jasno określająca szyfrowanie i miejsce przechowywania danych wewnętrznie (w naszych pomieszczeniach) oraz w bezpiecznej lokalizacji zewnętrznej.
- Cała infrastruktura jest utrzymywana lokalnie, w naszych własnych biurach
- Fiabilis dysponuje różnymi sieciami wewnętrznymi, umożliwiającymi precyzyjne zarządzanie dostępem i rozdzielenie środowisk
- Dostęp do danych, zastrzeżony dla pracowników Fiabilis, jest możliwy wyłącznie przez lokalne połączenie fizyczne lub przez VPN zabezpieczony uwierzytelnianiem dwuskładnikowym (MFA)
- Co roku, zgodnie z naszym certyfikatem ISO 27001, niezależna jednostka Aenor audytuje, kontroluje i certyfikuje nasz SZBI, a także kontroluje nasz system zarządzania informacjami o prywatności na podstawie ISO 27701.
- Wewnętrzny plan audytu zapewnia spójność cyklu PDCA (Plan, Do, Check, Act), niezbędną we wszystkich naszych procesach
- Co roku wewnętrzne zespoły IT przeprowadzają 3 wewnętrzne testy penetracyjne. Uzupełnia je 1 zewnętrzny i niezależny test penetracyjny wraz ze skanowaniem podatności.
Zgodność z ochroną danych – najczęstsze pytania
1) Jaka jest rola Fiabilis w przetwarzaniu danych klientów?
Fiabilis co do zasady przetwarza dane osobowe swoich klientów jako podmiot przetwarzający. Przed rozpoczęciem analizy podpisujemy z każdym klientem odpowiednią umowę o przetwarzaniu danych osobowych (Data Processing Agreement, DPA). Umowa ta precyzyjnie określa zasady, na jakich odbywać się będzie przetwarzanie, oraz nasze obowiązki w trakcie tego procesu, zgodnie z artykułem 28 RODO.
2) W jaki sposób dane są przekazywane do Fiabilis?
Stworzyliśmy bezpieczną i indywidualną platformę wymiany danych dla każdego klienta, za pośrednictwem której klient może przesyłać swoje dane bezpośrednio na nasz serwer. Klient może również wybrać przekazywanie danych zgodnie z własnymi wymaganiami, na przykład poprzez dedykowaną infrastrukturę wewnętrzną, którą sam udostępnia.
3) Gdzie i jak długo dane są przechowywane?
Twoje dane są przechowywane i przetwarzane wyłącznie na naszych bezpiecznych serwerach w Europie. Zgodnie z postanowieniami DPA są przechowywane przez uzgodniony okres, a następnie trwale usuwane.