Dodržování předpisů

Zásady ochrany osobních údajů společnosti Rask

Společnost Brask

Účel

Tato směrnice popisuje postupy a technická opatření pro ochranu osobních údajů.

Rozsah

Provozní systémy, které zpracovávají údaje o zákaznících Rask , musí dodržovat tyto zásady.

Definice

Provozní data: Data, která se aktivně využívají a spravují pro potřeby obchodních činností a zákaznických služeb.

Provozní systémy: Systémy a infrastruktura, které vytvářejí, přijímají, ukládají nebo přenášejí údaje o zákaznících Rask .

Úlohy a povinnosti

Tuto směrnici spravuje a aktualizuje oddělení infrastruktury společnosti Brask ML. Tuto směrnici i veškeré její změny schvaluje generální ředitel a právní oddělení.

Zásady

Podle zásad společnosti Brask je nutné, aby:

• S daty nakládejte a chraňte je v souladu s klasifikací a schválenými standardy šifrování.
• Ukládejte data stejné bezpečnostní třídy společně; vyhněte se míchání citlivých a necitlivých dat. Používejte bezpečnostní opatření odpovídající nejvyšší bezpečnostní třídě v daném úložišti.
• Zaměstnanci nemají přímý administrativní přístup k produkčním datům, s výjimkou mimořádných situací (např. forenzní analýza, obnova po havárii).
• Deaktivujte nepotřebné služby na všech produkčních systémech.
• Zaznamenávejte veškerý přístup k produkčním systémům.
• Zajistěte monitorování zabezpečení na všech produkčních systémech (monitorování aktivity a integrity souborů, skenování zranitelností, detekce malwaru).

Zavádění opatření na ochranu osobních údajů a související procesy

Ochrana údajů zákazníků

Rask využívá platformu AWS s daty replikovanými napříč několika regiony, což zajišťuje redundanci a zotavení po havárii.

Zaměstnanci společnosti Brask dodržují následující postupy za účelem ochrany výrobních dat:

• Zavést a přezkoumávat kontrolní mechanismy, které zabrání neoprávněným změnám nebo zničení.
• Ukládejte důvěrná data za účelem vedení přístupových protokolů a automatizovaného monitorování zabezpečení.
• Rozdělte a omezte přístup k produkčním údajům zákazníků pouze na oprávněné zákazníky.
• Zašifrujte všechna produkční data v klidu pomocí klíčů spravovaných společností Brask.
• Chraňte šifrovací klíče a zařízení na generování klíčů před neoprávněným přístupem; k klíčovému materiálu mají přístup pouze oprávnění uživatelé.

Přístup

Přístup zaměstnanců k výrobě je ve výchozím nastavení zakázán a vyžaduje schválení. Dočasný přístup se uděluje podle potřeby a bezpečnostní tým jej posuzuje případ od případu.

Odloučení

• Údaje o zákaznících jsou na úrovni databáze/úložiště logicky odděleny pomocí jedinečných identifikátorů zákazníků.
• Vrstva API zajišťuje oddělení tím, že vyžaduje ověření klienta pomocí zvoleného účtu.
• Po ověření je do přístupového tokenu zahrnut jedinečný identifikátor zákazníka.
• API používá tento token k omezení přístupu k datům pouze na ověřený účet.
• Všechny dotazy na databázi/úložiště dat obsahují identifikátor účtu, aby bylo zajištěno správné oddělení dat.

Monitorování

Rask využívá Amazon CloudWatch k monitorování cloudových služeb. V případě selhání systému jsou klíčoví pracovníci informováni prostřednictvím SMS, chatu nebo e-mailu, aby mohli přijmout nápravná opatření.

Dohoda o mlčenlivosti (NDA)

Společnost Brask využívá dohody o mlčenlivosti k ochraně důvěrných informací prostřednictvím právně vymahatelných podmínek, které se vztahují na interní i externí strany. Mezi klíčové prvky patří:

• Definice pojmu
• Doba trvání smlouvy
• Kroky po ukončení
• Povinnosti v oblasti prevence neoprávněného zveřejnění
• Vlastnictví informací a duševního vlastnictví
• Povolené použití a práva
• Auditní a monitorovací činnosti
• Hlášení neoprávněného vyzrazení informací
• Vrácení nebo zničení informací po ukončení smlouvy
• Nároky z porušení smlouvy
• Pravidelné přezkoumání

Data v klidu

Šifrování

Zašifrujte všechny databáze, úložiště dat a souborové systémy v souladu se zásadami šifrování Rask .

Udržení

Uložte data do příslušných kategorií a uplatňujte plán uchovávání v souladu se zásadami správy aktiv a uchovávání dat Rask .

Faktory ovlivňující retenci:

• Právní a smluvní požadavky
• Datový typ (např. účetní záznamy, databázové záznamy, auditní protokoly)
• Typ úložného média (např. papír, pevný disk, server)

Skladování a likvidace

S daty v klidu nakládejte a zacházejte správně. Je třeba zohlednit následující:

• Oprávnění k přístupu a správě
• Určení dokumentů a lhůt pro uchovávání
• Technologické změny a přístup během uchovávání
• Časový rámec a formát předložení
• Způsoby likvidace

Vymazání dat

Citlivá data, která již nejsou potřebná, řádně vymažte v souladu s obchodními cíli společnosti Brask, platnými zákony a smlouvami s třetími stranami. O vymazání si pořizujte záznamy.

Data při přenosu

Nutnost

Údaje předávejte pouze v případě, že je to nezbytně nutné pro obchodní procesy.

Transferové faktory

Před výběrem způsobu přenosu dat je třeba zohlednit následující skutečnosti:

• Charakter, citlivost, důvěrnost a hodnota informací
• Velikost dat
• Dopad případné ztráty dat

Šifrování

Aby byla zajištěna bezpečnost dat při přenosu:

• Šifrování veškerého externího přenosu dat od začátku do konce pomocí klíčů spravovaných společností Brask, a to včetně přenosů do cloudu a k externím dodavatelům.
• Používání bezpečných protokolů, výměny klíčů a šifrovacích algoritmů pro připojení k internetu a intranetu.

Komunikační kanály pro koncové uživatele

Důvěrné a citlivé údaje nesmí být zasílány prostřednictvím elektronických komunikačních kanálů pro koncové uživatele, jako je e-mail nebo chat, pokud není aktivováno šifrování typu end-to-end.